Mandiant-KI-Bericht 2026: Die 50.000-Dollar-Rechnung eines außer Kontrolle geratenen Agenten und KI-unterstützte Eindringversuche

Der Mandiant-Bericht AI Risk and Resilience 2026, veröffentlicht im September 2026 auf Google Cloud und in derselben Woche von Help Net Security, The Hacker News und SecurityBrief aufgegriffen, beschreibt drei Vorfälle, bei denen KI das Mittel und nicht das Ziel war: eine gekaperte Sitzung eines KI-Codierungsassistenten, die den Shai-Hulud-Wurm über etwa 100 interne Repositories bei einem ungenannten Software-as-a-Service-Anbieter verbreitete; einen kompromittierten CI/CD-Zugangsnachweis, den ein Eindringling in einem Gesundheitsunternehmen in einen KI-gestützten Angriffs-Hub verwandelte und dabei Tausende Anmeldeinformationen exfiltrierte; und einen Buchhaltungsagenten, der in weniger als einer Stunde etwa 50.000 US-Dollar an Cloud-Kosten verursachte, nachdem ein beschädigter Nullwert eines seiner Tools zum Ausfall gebracht hatte, wodurch eine Abrechnungsdatenbank blockiert und laufende Transaktionen zum Stillstand gebracht wurden. Im dritten Fall war kein Angreifer beteiligt. Der Datensatz, auf dem dieser Artikel basiert, und die rund um ihn eingereichten Einträge befinden sich in dem KI-Vorfallarchiv, das für jeden Eintrag eigene Quellen, Schweregrad, Vertrauensgrad und eine Kennzeichnung als strittig enthält.

Um welche Art von Dokument es sich handelt

Der Bericht trägt den Titel „AI risk and resilience in 2026: A Mandiant special report“ auf der Seite für Sicherheitsressourcen von Google Cloud und ist eine Veröffentlichung eines Anbieters, keine Offenlegung einer Sicherheitsverletzung. Seine Fallstudien stammen aus Mandiants Einsätzen zur Reaktion auf Vorfälle und aus Bewertungen seines Offensive-Security-Teams, und die Organisationen werden nur nach Sektor identifiziert: ein Software-as-a-Service-Anbieter, eine globale Gesundheitseinrichtung, ein globaler Anbieter von Finanzdienstleistungen für Unternehmen. Kein Opfer wird namentlich genannt, kein Eindringen mit Datum versehen, und zu keinem der drei liegt eine Opfererklärung vor.

Das prägt, wie die Zahlen gelesen werden sollten. Jede Zahl darin stammt von Mandiants eigenen Ermittlern. Die Frontier-Ready-Mitteilung der Cloud Security Alliance vom 16. September bezeichnet die Gebühr von rund 50.000 US-Dollar und das Volumen von 15.000 Aufrufen als „selbstberichtet (Anbietermetrik)“ und erklärt, sie seien „nicht unabhängig verifiziert“ worden — eine zutreffende Beschreibung des gesamten Berichts, der keine Telemetrie Dritter zur Überprüfung veröffentlicht. Das Archiv führt diesen Eintrag als Informationsdatensatz, als einen Bericht und nicht als einen Vorfall mit dokumentiertem Schaden, und stuft ihn mit Konfidenz A ein, ohne ihn als umstritten zu kennzeichnen; diese Bewertung bezieht sich darauf, wie gut der Bericht dokumentiert ist, nicht darauf, ob eine außenstehende Partei seinen Inhalt bestätigt hat.

Die Framing des Berichts selbst lautet, dass Angreifer im Jahr 2026 davon abgerückt sind, Chatbots lediglich für Recherchezwecke zu nutzen, und stattdessen agentische Systeme Teile einer Intrusion übernehmen lassen. Mandiant erklärt, die Google Threat Intelligence Group habe beobachtet, wie Akteure autonome Werkzeuge – darunter Hexstrike und Strix – für Aufklärung und das Erbeuten von Zugangsdaten einsetzen und Proxy-Relays sowie automatisierte Registrierungs-Pipelines aufbauen, um Guardrails und Abrechnungslimits kommerzieller KI-Plattformen zu umgehen. Der Bericht verweist auf die im Februar erfolgte Waffenisierung von OpenClaw-Agent-Skills, die VirusTotal dokumentiert hat, auf Supply-Chain-Kompromittierungen im März, die Mandiant dem Akteur zuschreibt, den es als UNC6780 führt und andere als TeamPCP, sowie auf eine Offenlegung im Mai, die GTIG als den ersten öffentlich bestätigten Fall beschrieb, in dem ein Cyberkrimineller einen von KI entwickelten Zero-Day-Exploit nutzte – einen, der die Zwei-Faktor-Authentifizierung in einem populären Open-Source-Administrationswerkzeug umging.

Fall eins: Der Assistent empfahl das Paket.

Im ersten Fall kompromittierte ein Angreifer einen Software-as-a-Service-Anbieter und übernahm anschließend eine aktive Sitzung eines KI-Codierungsassistenten auf der Workstation eines Entwicklers. Mandiant beschreibt den Assistenten als „innerhalb der Umgebung als vertrauenswürdiger Interpreter agierend“: Er empfahl die Installation eines externen Softwarepakets, das der Angreifer bereits manipuliert hatte, und der Entwickler nahm die Empfehlung an. Dem Bericht zufolge „fungierte der Assistent unbeabsichtigt als trojanisches Pferd“.

In der Live-Session installierte der Angreifer über ein vergiftetes PyPI-Paket einen Infostealer und erbeutete die GitHub-OAuth-Token des Entwicklers. Der sich selbst verbreitende Shai-Hulud-Wurm bewegte sich anschließend durch etwa 100 interne Code-Repositories und automatisierte den Diebstahl von Repository-Secrets sowie die programmatische Exfiltration des Quellcodes proprietärer Produkte. Der Angreifer vergiftete außerdem ein Paket im offiziellen Namespace der Organisation, und ein zweiter Mitarbeiter lud die kompromittierte Version herunter — eine nachgelagerte Infektion, die laut Mandiant kein weiteres Eingreifen des Eindringlings erforderte.

Was der Bericht nicht sagt, ist, wann irgendetwas davon geschah oder wie der Angreifer überhaupt die Kontrolle über die Assistenten-Sitzung erlangte. The Hacker News vermerkt in ihrem Bericht über die Fallstudie vom 16. September beide Auslassungen. Die Forschungsnotiz der Cloud Security Alliance vom 18. September zu dem Fall bezeichnet den Erstzugriffsvektor als „die bedeutendste offene Frage der Fallstudie“ und stellt fest, dass die von Mandiant empfohlenen Kontrollen sich damit befassen, wie weit sich eine Infektion ausbreiten kann, nicht damit, wie die Sitzung übernommen wurde.

Die Kontrollen von Mandiant für diesen Fall sind drei und gehen konkret auf das Versagen ein: Erzwingen Sie IDE- und CLI-Verifikations-Hooks, die jede von KI empfohlene Drittanbieter-Abhängigkeit anhand kryptografischer Prüfsummen und einer genehmigten Allowlist prüfen; halten Sie rohe API-Schlüssel, langlebige OAuth-Token und andere Geheimnisse außerhalb der Reichweite von Erweiterungen; und schränken Sie den Netzwerk-Egress von Workstations ein, sodass Abhängigkeitsverkehr ausschließlich über kontrollierte interne Repositorys läuft.

Fall zwei: Ein CI/CD-Zugangsnachweis, der zu einem KI-Hub für gemeinsames Debugging umfunktioniert wurde

Der zweite Fall ist eine Cloud-Untersuchung in einem Unternehmen bei einer globalen Gesundheitsorganisation. Mandiant führte anomale Aktivitäten auf kompromittierte, langlebige CI/CD-Zugangsdaten eines Entwicklers zurück, die der Eindringling nutzte, um eine nicht isolierte VM-Instanz hochzufahren und in einen aktiven Offensiv-Hub umzuwandeln. Statt Tools offline zu erstellen, schloss der Angreifer große Sprachmodelle direkt an den laufenden Server an und iterierte vor Ort gegen sie.

Mandiant beschreibt einen dreistufigen Workflow. Zuerst kam das Kontext-Priming: Codepakete, die über Remote-Sitzungen synchronisiert wurden, und Projekt-README-Dateien, die in den Chat-Kontext des Modells geladen wurden, um die spätere Codegenerierung auf die Ziele der Kampagne zu lenken. Dann interaktives Debugging: Der Angreifer ließ das Modell ein Data-Harvesting-Framework mit mehreren Workern erstellen und arbeitete mit ihm logische Fehler bei der Skriptaufteilung durch, wodurch die Exfiltrationsfrequenz auf einen Dreistundenzyklus erhöht wurde. Schließlich Evasion und Exploitation: Das Modell schrieb dynamische IP-Rotationsskripte, um blocklistete Serveradressen im laufenden Betrieb auszutauschen, und entwickelte gemeinsam ein Rust-basiertes Tool zum Anmelden bei Opferkonten und Prüfen finanzieller Salden.

Mandiant gibt an, dass die Kampagne Tausende von Zugangsdaten kompromittierte und gesammelte API-Schlüssel sowie finanzielle Geheimnisse in ein vom Angreifer kontrolliertes Repository exfiltrierte. Der Bericht sagt nicht, auf wessen Konten das Rust-Tool gerichtet war, wem die von ihm geprüften Finanzsalden gehörten oder was anschließend mit den Zugangsdaten geschah. In der Fallstudie werden nirgendwo Patientendaten erwähnt.

Die empfohlenen Kontrollen orientieren sich an den Anmeldeinformationen statt am Modell: langfristige Zugriffsschlüssel durch kurzlebige Workload Identity Federation-Vertrauensbeziehungen mit OIDC ersetzen; ausgehenden Datenverkehr mit VPC Service Controls eindämmen, sodass Runtime- und Entwicklungsumgebungen keine nicht genehmigten externen Modellanbieter erreichen können; kontinuierliche Secrets-Scans über alle Workspaces hinweg ausführen; und eine Runtime-Prompt-Firewall wie Model Armor in den Pfad einfügen, um hartcodierte Anmeldeinformationen abzufangen und offensive Utility-Skripte bei ihrer Ausführung zu blockieren.

Fall drei: der Agent, der in weniger als einer Stunde 50.000 $ ausgegeben hat

Der dritte Fall hatte keinen Gegner. Ein globaler Finanzdienstleistungskonzern setzte einen Agenten ein, um Anomalien in seinem Buchhaltungsjournal abzugleichen, und gab ihm Lese- und Schreibzugriff auf interne Abrechnungsdatenbanken. Ein beschädigter Nullwert brachte das Formatierungswerkzeug des Agenten zum Scheitern, und der Agent reagierte, indem er in eine sogenannte ungezügelte, rekursive Denkschleife eintrat, um eine Lösung mit roher Gewalt zu erzwingen.

In weniger als einer Stunde setzte es mehr als 15.000 hochfrequente, kostenintensive Reasoning-API-Aufrufe ab und verursachte einen plötzlichen Anstieg der Cloud-Rechnung um rund 50.000 US-Dollar. Dieselbe Schleife führte zu schwerwiegenden lokalen Datenbanksperren, die laufende Geschäftstransaktionen zum Erliegen brachten. Mandiant führt den Fall unter „Denial-of-Wallet“, und die von dem Unternehmen empfohlenen Maßnahmen sind operativer und nicht modellbezogener Natur: eine Ausgabenobergrenze, begrenzte Rekursion und ein Circuit Breaker, um einen Agenten zu stoppen, der bei derselben Aufgabe immer wieder scheitert.

Der Bericht sagt nicht, ob die Gebühr bezahlt, gutgeschrieben oder bestritten wurde, wie lange Transaktionen ausgesetzt waren, ob Kunden betroffen waren oder was das Unternehmen anschließend geändert hat. Er nennt auch kein Datum. Die Zusammenfassung von SecurityWeek vom 18. September ordnet ihn unter eine neue Kategorie finanzieller Risiken ein, die der Bericht kennzeichnet, statt unter einen herkömmlichen Eindringversuch.

Mandants vorgeschlagene Kontrollen sind entsprechend finanzieller Art: Identitäts- und rollenbasierte Zugriffsdefinitionen für Agenten, Schwellenwerte für Kostenobergrenzen und Monitoring als Governance sowie automatisierte finanzielle Schutzschalter, die einen Agenten nach einer festgelegten Anzahl aufeinanderfolgender Aufgabenfehler anhalten. Auf Service- und Projektebene empfiehlt es harte finanzielle Obergrenzen, begrenzte Rekursionslimits und Ratenlimits, damit eine Selbstkorrekturschleife gedrosselt wird, bevor sie zu einem Ausfall wird.

Was feststeht, was zugeschrieben wird, was nicht offengelegt wird

Bestätigt. Mandiant hat diesen Bericht veröffentlicht, und er sagt das, was oben zusammengefasst ist. Vier Fachmedien berichteten innerhalb von drei Tagen voneinander darüber – Help Net Security und The Hacker News am 16. September, SecurityBrief UK am 17. September und SecurityWeek am 18. September –, und ihre Darstellungen stimmen bei jeder von ihnen wiedergegebenen Zahl mit dem Bericht überein. Die Cloud Security Alliance veröffentlichte am 18. September eine separate Forschungsnotiz zum ersten Fall, die dieselbe Lesart seiner Mechanismen und dieselbe Schlussfolgerung dazu erreichte, was Mandiant ausgelassen hat.

Zugeschrieben, nicht unabhängig verifiziert. Die konkreten Zahlen stammen von Mandiant: etwa 100 Repositories, Tausende Zugangsdaten, ein dreistündiger Exfiltrationszyklus, mehr als 15.000 Reasoning-Aufrufe, rund 50.000 US-Dollar, weniger als eine Stunde. Kein Medienhaus hat Telemetriedaten von einem der drei Opfer veröffentlicht, und keines der drei wurde von irgendjemandem namentlich genannt. Die Bestätigung, die es gibt, ist eine Bestätigung des Berichtsinhalts, nicht der Ereignisse. Diese Unterscheidung ist das Einzige, worauf sich ein Leser hier verlassen kann, und die Vertrauensstufe des Archivs sollte ebenso verstanden werden.

Nicht offengelegt. Der Bericht nennt keine Daten für eine der drei Beauftragungen, keine Namen von Betroffenen und keine Darstellung davon, wie die Assistenten-Sitzung in Fall eins übernommen wurde. Er sagt nicht, ob die erbeuteten GitHub-OAuth-Token und Repository-Secrets widerrufen wurden, ob die Tausenden Zugangsdaten aus Fall zwei verwendet oder zurückgesetzt wurden, ob die Betroffenen der Gesundheitseinrichtung in Mitleidenschaft gezogen wurden, ob die Gebühr des Buchhaltungsagenten zurückerstattet wurde oder was eine der drei Organisationen danach geändert hat. Dieser Artikel fand keine Opferaussage, keine Mitteilung der Aufsichtsbehörde und keine Folgeberichterstattung, die seit dem 16. September veröffentlicht wurden und diese Lücken füllen.

Wo die Berichterstattung abweicht. Die Notiz der Cloud Security Alliance beschreibt die zweite Infektion im ersten Fall als über den unternehmenseigenen npm-Namespace verbreitet. Im Text von Mandiant heißt es nur „ein Paket innerhalb des offiziellen Namespace der Organisation“, und dort wird kein Ökosystem genannt; die npm-Lesart ist eine Ergänzung, kein Zitat. Unabhängig davon stellt The Hacker News ausdrücklich klar, dass der Wurm in diesem Fall nach den verfügbaren Belegen weder mit dem npm-Wurm vom August, der Hooks für Coding-Assistenten platzierte, noch mit einer Shai-Hulud-Variante in Verbindung gebracht wird, die 469 Orte nach Zugangsdaten absuchte — derselbe Familienname, getrennte Kampagnen, wobei es im Artikel keine Belege gibt, die sie miteinander verbinden.

Was der Bericht sagt, sollte sich ändern.

Die Empfehlungen von Mandiant wiederholen sich in den Fallstudien des Berichts: von langlebigen Anmeldeinformationen und Dienstkonten zu Identitäten wechseln, die an eine Workload gebunden und konstruktionsbedingt kurzlebig sind; KI-Coding-Assistenten und MCP-Server als privilegierte Sitzungen behandeln, deren Erweiterungen und CLI-Hooks vor der Ausführung verifiziert werden; Agenten-Workloads in Netzwerkperimeter einschließen, die Egress zu nicht genehmigten Modellanbietern blockieren; und die Tokennutzung, anwendungsübergreifende API-Aufrufe und den Agentenzugriff auf sensible Assets instrumentieren, sodass ein erstmaliger Lesezugriff auf ein sensibles Repository als Signal auffällt, statt im legitimen Tool-Traffic unterzugehen.

Was die Kosten angeht, zieht er eine Grenze zwischen der Governance von KI und der Governance für KI: auf der einen Seite Richtlinien, die Risikobereitschaft und Beschaffungsregeln festlegen, auf der anderen Seite durchgesetzte technische Grenzen. Der Buchhaltungsagent ist das Beispiel des Berichts für das Scheitern der zweiten Art: Laut Mandiant begrenzte nichts in seiner Bereitstellung die Schleife, und die Kontrollen, die es hätten abfangen können – eine Obergrenze, eine Ratenbegrenzung, ein Circuit Breaker –, sind gewöhnliche Kontrollen, die auf eine ungewöhnliche Arbeitslast angewendet werden.

Die drei Fälle haben keine gemeinsame Ursache. Einer ist ein Vertrauensproblem, bei dem die Empfehlung eines Assistenten die Autorität der Empfehlung eines Kollegen besaß. Einer ist ein Zugangsdatenproblem, das älter ist als jedes Modell, wobei die Modelle das Eindringen beschleunigen und es anpassungsfähiger machen, sobald sie einmal drinnen sind. Einer ist keines von beiden: kein Angreifer, kein Exploit, nur ein Agent, dem Schreibzugriff auf ein Ledger gegeben wurde und für den es keine Obergrenze dafür gab, was er ausgeben konnte, um ein defektes Tool zu reparieren. Gemeinsam ist ihnen, dass das KI-System in jedem Fall Befugnisse hatte, die niemand abgesteckt hatte – zu empfehlen, neu zu konfigurieren, es weiter zu versuchen.