Ein KI-Agent hackte McKinsey's Lilli in zwei Stunden. Die Prompts waren beschreibbar.

Am 28. Februar 2026 fand ein autonomer Offensivsicherheits-Agent des Sicherheits-Startups CodeWall eine unauthentifizierte SQL-Injection an der öffentlichen API-Oberfläche von Lilli, der internen KI-Plattform von McKinsey & Company, und hatte innerhalb von rund zwei Stunden Lese- und Schreibzugriff auf die dahinterliegende Produktionsdatenbank. CodeWall veröffentlichte die Angriffskette am 9. März 2026. Seinem Bericht zufolge enthielt diese Datenbank 46,5 Millionen Chatnachrichten im Klartext, 57.000 Benutzerkonten, 728.000 Dateinamen und die System-Prompts, die steuern, wie Lilli antwortet – als gewöhnliche Zeilen gespeichert und daher über dieselbe Injection beschreibbar. McKinsey bestätigte die Schwachstelle und erklärt, sie innerhalb von Stunden behoben zu haben; eine forensische Untersuchung durch Dritte habe keine Hinweise darauf ergeben, dass auf Kundendaten oder vertrauliche Kundeninformationen zugegriffen wurde. Das Archiv stuft den Eintrag als kritisch ein, mit Konfidenz A, dokumentiertem realen Schaden und Meilenstein-Status. Der vollständige Eintrag mit seinen Schweregrad- und Konfidenzstufen und seinen benachbarten Einträgen zu agentengesteuerten Eindringlingen befindet sich im Orca AI Incident Archive.

Der Teil der Geschichte, der sich am weitesten verbreitet hat, ist nicht die SQL-Injection. SQL-Injection ist eine Fehlerklasse, die alt genug ist, um eine Wikipedia-Seite zu haben, die länger ist als die meisten Hersteller-Advisories, und McKinsey ist kein kleines Ziel. Was sich verbreitet hat, ist die zweite Hälfte von CodeWalls Befund: dass die Anweisungen, die den Assistenten steuern – die Prompts, die entscheiden, was er beantwortet, was er verweigert und welche Quellen er zitiert –, in derselben Datenbank lagen, in die der Agent schreiben konnte, und grundsätzlich mit einem einzigen Statement über einen einzigen HTTP-Aufruf geändert werden konnten.

Wie der Agent hineingelangte

CodeWalls Write-up beschreibt eine Abfolge, die kein exotisches Element enthält. Der Agent kartierte zunächst die Angriffsfläche und stellte fest, dass Lillis API-Dokumentation öffentlich zugänglich war: mehr als 200 Endpunkte, vollständig dokumentiert. Die meisten erforderten Authentifizierung. Zweiundzwanzig nicht.

Einer dieser zweiundzwanzig nahm Benutzer-Suchanfragen an und schrieb sie in die Datenbank. Laut CodeWall wurden die Werte der Abfrage sicher parametrisiert — der übliche Schutz funktionierte —, aber die JSON-Schlüssel, die Feldnamen im Anfragekörper, wurden direkt in die SQL-Zeichenkette eingefügt. Als der Agent fehlerhafte Schlüssel sendete und sie wortwörtlich in Datenbank-Fehlermeldungen zurückgespiegelt sah, erkannte er eine Injection, die Standard-Scanner nicht erkennen. CodeWall gibt an, dass OWASP ZAP, ein gängiger Open-Source-Scanner, das Problem nicht gemeldet hat.

Von dort aus führte der Agent das aus, was CodeWall als fünfzehn blinde Iterationen bezeichnet; jede Fehlermeldung verriet ein wenig mehr über die Gestalt der zugrunde liegenden Abfrage, bis Live-Produktionsdaten zurückzukommen begannen. Der Beitrag zitiert die eigene Denkspur des Agenten: „WOW!“, als die erste echte Mitarbeiterkennung auftauchte, und, als das Ausmaß klar wurde, „Das ist verheerend.“ CodeWall sagt, der Agent habe die Injection dann mit einer IDOR-Schwachstelle verkettet, um die Suchverläufe einzelner Mitarbeiter auszulesen – die Fehlerklasse, die Promptfoo in einer Analyse vom 10. März 2026 als BOLA bezeichnet, also als fehlerhafte Autorisierung auf Objektebene.

Die Zielauswahl ist ein Detail für sich. CodeWall sagt, der Agent habe McKinsey selbst vorgeschlagen und dabei auf die öffentliche Responsible-Disclosure-Richtlinie des Unternehmens sowie jüngste Aktualisierungen von Lilli verwiesen; außerdem habe der Lauf keine Zugangsdaten, kein Insiderwissen und keinen Menschen im Prozess umfasst. Paul Price, Gründer und CEO von CodeWall, sagte gegenüber The Register in dessen Bericht vom 9. März 2026, der Prozess sei von der Recherche des Ziels bis zur Berichterstattung vollständig autonom gewesen, lehnte es jedoch ab, die genauen beteiligten Prompts anzugeben.

Was laut CodeWall in der Datenbank war

Jede unten aufgeführte Zahl stammt aus {{1}}CodeWalls eigenem Beitrag{{/1}} und {{2}}wurde nicht unabhängig bestätigt{{/2}}. {{3}}CodeWall veröffentlichte keine Exploit-Payloads{{/3}}, was {{4}}Promptfoo zufolge{{/4}} bedeutet, dass {{5}}die Zeilenzahlen nicht von Dritter Seite überprüft werden können{{/5}}; {{6}}McKinsey seinerseits bestätigt sie nicht{{/6}}.

• 46,5 Millionen Chatnachrichten, im Klartext gespeichert, von einer Belegschaft, die Lilli nutzt, um über Strategie, Kundenprojekte, Finanzen, M&A-Aktivitäten und interne Forschung zu diskutieren.

• 728.000 Dateinamen, darunter 192.000 PDFs, 93.000 Excel-Tabellen, 93.000 PowerPoint-Präsentationen und 58.000 Word-Dokumente. Diese vier genannten Typen summieren sich auf 436.000, daher umfasst die Gesamtzahl in der Schlagzeile auch Dateikategorien, die CodeWall nicht einzeln aufführt. Silicon UK berichtete am 13. März 2026, dass die Dokumente selbst getrennt von den Datensätzen gespeichert waren, auf die CodeWall Zugriff hatte.

• 57.000 Benutzerkonten, 384.000 KI-Assistenten und 94.000 Arbeitsbereiche — was CodeWall als eine Art Karte davon beschreibt, wie das Unternehmen seinen KI-Einsatz intern organisiert.

• 95 System-Prompts und Modellkonfigurationen über 12 Modelltypen hinweg, plus 3,68 Millionen RAG-Dokument-Chunks mit S3-Speicherpfaden und internen Dateimetadaten.

• 1,1 Millionen Dateien und 217.000 Agentennachrichten, die über externe KI-APIs laufen, darunter mehr als 266.000 OpenAI-Vektorspeicher.

CodeWall dokumentierte an dem Tag, an dem das Unternehmen die Kette bestätigte, insgesamt 27 Befunde. Zum Hintergrund des Ziels beschreibt der Beitrag Lilli als 2023 eingeführt, benannt nach der ersten berufstätigen Frau, die 1945 von der Firma eingestellt wurde; mehr als 43.000 Mitarbeitende nutzen Lilli, und sie verarbeitet über 500.000 Prompts pro Monat auf einer Wissensbasis mit mehr als 100.000 internen Dokumenten. Nach McKinseys eigener Angabe gegenüber The Register nutzen 72 % seiner Belegschaft – mehr als 40.000 Menschen – Lilli, und Lilli wurde im Juli 2023 eingeführt.

Die Prompt-Schicht war beschreibbar. Sie wurde nicht beschrieben.

Diese Unterscheidung ist es, die die Archivzeile zu einem Ausdruck verdichtet, und es lohnt sich, sie gesondert herauszustellen. CodeWalls Befund ist, dass Lillis System-Prompts in derselben Datenbank wie alles andere lagen, sodass ein Angreifer mit Schreibzugriff sie hätte umschreiben können – „still“, in der Formulierung des Beitrags, mit „kein Deployment nötig, keine Codeänderung, nur eine einzige UPDATE-Anweisung, verpackt in einen einzigen HTTP-Aufruf“. CodeWall nennt vier Folgen, die sich nach eigenen Angaben ergeben würden: vergiftete Empfehlungen für Berater, die dem internen Tool vertrauen, Exfiltration vertraulichen Materials durch generierte Antworten, Entfernung von Guardrail-Anweisungen und eine Persistenz, die keine Dateiänderung oder Prozessanomalie hinterlässt, an der sie sich erkennen ließe.

Was CodeWall nicht behauptet, ist, dass es irgendetwas davon getan hat. In dem Beitrag heißt es, dass „alle Tests ausschließlich der Verifikation dienten“, dass der Zugriff auf das Minimum beschränkt war, das zur Bestätigung jeder Schwachstelle nötig war, und dass „keine Störung eines Produktionsdienstes verursacht wurde“. Price lehnte es ab, The Register die genauen Prompts auszuhändigen. Die Beschreibbarkeit der Prompt-Ebene ist also eine Fähigkeitsbehauptung, die durch die Injection gestützt wird, nicht eine nachgewiesene Veränderung von Lillis Verhalten – und es wurden keine Belege veröffentlicht, dass irgendeine Antwort, die Lilli einem Berater gab, jemals manipuliert wurde.

Der Archivdatensatz spiegelt diese Grenze wider: Er verzeichnet Schreibzugriff auf die KI-Prompt-Ebene, was CodeWall eingerichtet hat, nicht deren Veränderung, die niemand nachgewiesen hat.

Was McKinsey sagt

McKinseys Darstellung ist enger gefasst. In einer von Silicon UK veröffentlichten Erklärung sagte das Unternehmen, es sei „kürzlich von einem Sicherheitsforscher auf eine Schwachstelle in unserem internen KI-Tool Lilli hingewiesen worden“, man habe „die Schwachstelle umgehend bestätigt und das Problem innerhalb von Stunden behoben“ und „es seien keine Kundendaten oder vertraulichen Kundeninformationen abgerufen worden“. Gegenüber The Register ergänzte McKinsey, seine Untersuchung, unterstützt durch „eine führende forensische Drittfirma“, habe keine Hinweise darauf ergeben, dass Kundendaten oder vertrauliche Kundeninformationen von dem Forscher „oder einem anderen unbefugten Dritten“ abgerufen worden seien, und dass „McKinsey Cybersicherheitssysteme robust sind“.

McKinsey und CodeWall unterscheiden sich außerdem leicht in der zeitlichen Abfolge. Die Zeitleiste von CodeWall verzeichnet, dass ihre Offenlegungs-E-Mail am 1. März 2026 an McKinseys Sicherheitsteam ging, wobei der CISO den Eingang bestätigte und am 2. März detaillierte Belege anforderte, und die Patches – alle nicht authentifizierten Endpunkte geschlossen, die Entwicklungsumgebung offline genommen, öffentliche API-Dokumentation blockiert – noch am selben Tag, dem 2. März, erfolgten. McKinseys „innerhalb von Stunden“ ist mit einer Behebung am selben Tag vereinbar, wenn die Uhr mit der E-Mail vom 1. März beginnt, doch CodeWalls eigene datierte Abfolge setzt die Behebung einen Tag nach der Offenlegung an statt Stunden später. Beide Parteien stimmen in der Substanz überein: Die Endpunkte wurden geschlossen und die öffentliche Dokumentation zurückgezogen. CodeWall sagt, sie habe die Behebung vor der Veröffentlichung verifiziert. Die Financial Times berichtete am 12. März 2026 über den Vorfall unter der Überschrift „McKinsey rushes to fix AI system after hacker exposes flaws“; der Artikeltext befindet sich hinter einer Paywall, die dieser Beitrag nicht lesen konnte.

Was gilt als gesichert und was nicht

• Beiderseits bestätigt: Eine nicht authentifizierte Schwachstelle in Lillis öffentlicher API-Oberfläche bestand, ein externer Forscher entdeckte sie, McKinsey bestätigte sie, patchte die nicht authentifizierten Endpunkte, nahm die Entwicklungsumgebung offline und blockierte Anfang März 2026 die öffentliche API-Dokumentation.

• Nur von einer Seite festgestellt: jede Menge in diesem Artikel — 46,5 Millionen Nachrichten, 728.000 Dateinamen, 57.000 Konten, 95 beschreibbare Prompts, die verstrichene Zeitspanne von zwei Stunden und die 27 Feststellungen. Diese stützen sich auf CodeWalls Bericht. Die Nutzlasten wurden nicht veröffentlicht, daher können die Zahlen nicht reproduziert werden, und McKinsey bestätigt sie nicht.

• Nicht belegt: dass irgendein Prompt tatsächlich verändert wurde, dass irgendwelche Mandantendaten das System verlassen haben oder dass irgendein Berater eine manipulierte Antwort erhalten hat. Die forensische Prüfung von McKinsey gibt an, keine Hinweise auf einen Zugriff gefunden zu haben; CodeWall gibt an, seine Tests dienten ausschließlich der Verifizierung. Diese beiden Aussagen stehen nicht im Widerspruch zueinander, und keine von ihnen beweist, was ein weniger zurückhaltender Angreifer mit demselben Zugriff getan hätte.

• In der hier geprüften Berichterstattung nicht enthalten: eine CVE-Kennung, eine Mitteilung einer Aufsichtsbehörde oder ein unabhängiges technisches Audit der Schwachstelle. Bei dem Dokument handelt es sich um eine Offenlegung der Herstellerforschung sowie eine Unternehmenserklärung, nicht um eine Gerichtseinreichung oder eine aufsichtsrechtliche Feststellung.

Ein Interesse sollte klar offengelegt werden. CodeWall veröffentlichte die Studie als Marketing für ein Produkt: Der Beitrag endet mit der Beschreibung, dass sich das Unternehmen in einer frühen Vorschauphase befinde und Designpartner suche, und Silicon UK berichtete, dass Price der einzige Mitarbeiter sei. Das macht den Befund nicht falsch – The Register, Silicon UK und Promptfoo behandeln die technische Kette allesamt als glaubwürdig –, aber es ist der Grund, warum die Auswirkungszahlen als Behauptung eines Anbieters und nicht als Messung gelesen werden sollten.

Warum es überhaupt in die KI-Kategorie fällt

Der Einstiegspunkt war nicht das Modell. Michael D'Angelo von Promptfoo brachte den Punkt am 10. März 2026 in der schärfsten Formulierung auf den Punkt: „Der KI-spezifische Teil war nicht der Einstiegspunkt. Es war der Blast Radius.“ Die Injection, die Authentifizierungslücke und der benutzerübergreifende Zugriff waren gewöhnliche Anwendungssicherheitsfehler; was den Vorfall zu einem KI-Vorfall machte, war, dass Prompts, Routing, Retrieval-Einstellungen und Nutzerverlauf alle in einem Backend lagen, sodass Datenbankzugriff in Verhaltenskontrolle über einen Assistenten umgewandelt wurde, den Zehntausende Menschen für Kundenarbeit zu Rate ziehen.

Das ist der Grund, warum das Archiv diesen Datensatz als WEAPON und INFRA kennzeichnet und nicht als Modellschwachstelle. Der Agent ist das Instrument – ein autonomes System, das sein eigenes Ziel auswählte, es sondierte und eskalierte, ohne dass ein Mensch entschied, worauf es gerichtet wird – und der Fehler liegt in der Infrastruktur: eine Autorisierungsgrenze, die angenommen statt durchgesetzt wurde. CodeWalls Schlussargument, Prompts seien „die neuen Crown-Jewel-Assets“, die selten über Zugriffskontrollen, Versionshistorie oder Integritätsüberwachung verfügten, ist Werbung eines Unternehmens, das kontinuierliches automatisiertes Testen verkauft. Es ist außerdem die einzige Behauptung im Beitrag, die nicht von den umstrittenen Zahlen abhängt.