{"id":33508,"date":"2026-05-27T12:06:32","date_gmt":"2026-05-27T10:06:32","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=33508"},"modified":"2026-05-26T12:07:02","modified_gmt":"2026-05-26T10:07:02","slug":"llmjacking-2026-private-ai-server-security","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/llmjacking-2026-private-ai-server-security\/33508\/","title":{"rendered":"LLMjacking, und wie man diese J\u00e4ger abwehrt"},"content":{"rendered":"

KI-Sicherheit hat viele Facetten: Sie muss Datendiebstahl verhindern, betr\u00fcgerische KI-Agenten<\/a> b\u00e4ndigen und sch\u00e4dliche Ratschl\u00e4ge von KI-Assistenten erkennen. Eine relativ einfache Bedrohung nimmt immer mehr Fahrt auf: Versuche, die Rechenleistung zu stehlen und fremde neuronale Netzwerke zum eigenen Vorteil auszunutzen. Diese Methode wird als LLMjacking bezeichnet. Da die Prognose einen dramatischen Anstieg<\/a> der Kosten f\u00fcr KI-Rechenvorg\u00e4nge voraussagt, wird auch die Zahl der Angreifer wachsen, die auf dieser Welle reiten. Bei der Bereitstellung propriet\u00e4rer KI-Server und entsprechender \u00d6kosysteme wie RAG<\/a> oder MCP<\/a> sind daher von Anfang an strenge Sicherheitsma\u00dfnahmen notwendig.<\/p>\n

Statistiken aus einem Honeypot<\/h2>\n

Wie umfangreich diese Diebstahlversuche sind und welche rasante Entwicklung sie nehmen, veranschaulicht ein Experiment,<\/a> das im April\u00a02026 ausf\u00fchrlich dokumentiert wurde. Der Forscher konfigurierte einen Raspberry\u00a0Pi so, dass er sich als leistungsstarker privater KI-Server ausgab, und machte den Server \u00fcber das Internet zug\u00e4nglich. Bei Anfragen wurde die Verf\u00fcgbarkeit der Server Ollama, LM\u00a0Studio, AutoGPT, LangServe und text-gen-webui gemeldet\u00a0\u2013 Tools, die \u00fcblicherweise als Wrapper f\u00fcr lokal gehostete KI-Modelle dienen. Zudem gab der Server vor, API-Anfragen im OpenAI-Format zu akzeptieren, das inzwischen als Branchenstandard gilt.<\/p>\n

Alle diese Dienste wurden scheinbar durch eine lokale Instanz von Qwen3-Coder 30B\u00a0Heretic unterst\u00fctzt, einem der st\u00e4rksten Open-Source-Modelle, aus in diesem Fall die Sicherheitsbeschr\u00e4nkung (safety alignment) entfernt wurde. Damit das Ganze noch appetitlicher wirkte, spiegelte der Honeypot-Server das Vorhandensein verschiedener RAG-Datenbanken und eines MCP-Servers mit verlockenden Funktionen wie get_credentials<\/em> vor.<\/p>\n

In Wirklichkeit beherbergte der Raspberry\u00a0Pi lediglich 500\u00a0zuvor gespeicherte Antworten eines echten Qwen3-Modells, wobei ein einfaches Skript jeweils die relevanteste Antwort f\u00fcr eingehende Anfragen herauspickte. Diese Konfiguration gen\u00fcgte, um eine oberfl\u00e4chliche Pr\u00fcfung zu bestehen, und schon konnte der Forscher die Absichten von Angreifern untersuchen.<\/p>\n

Nach Angaben des Forschers entdeckte die popul\u00e4re Suchmaschine Shodan den Server innerhalb von drei Stunden nach Inbetriebnahme. Schon eine Stunde sp\u00e4ter gingen Anfragen ein, die offenbar die Funktionen erkunden sollten. Innerhalb des folgenden Monats verarbeitete der Server mehr als 113.000\u00a0Anfragen von Tausenden eindeutiger IP-Adressen. Dabei zielten 23\u00a0% des Datenverkehrs speziell darauf ab, KI-Funktionen zu finden und lokale LLMs und KI-Agenten auszunutzen.<\/p>\n

Mit Anfragen wie \/api\/tags<\/em> und \/v1\/models<\/em> k\u00f6nnen Angreifer einen Fingerabdruck erhalten und feststellen, welche Modelle auf einem Server gehostet werden. Ein Scan mit \/.cursor\/rules<\/em> deutet gew\u00f6hnlich auf einen anschlie\u00dfenden Exploit-Versuch gegen den KI-Agenten hin. Eine \u00dcberpr\u00fcfung mit \/.well-known\/mcp.json<\/em> dient der Inventarisierung fremder MCP-Server. Zwar erw\u00e4hnt der Autor nicht, wie viele Angriffe den Rahmen einer einfachen \u00dcberpr\u00fcfung sprengten. Allein in der letzten Woche des Experiments gab es jedoch 175\u00a0aktive Versuche, das LLM zu kapern.<\/p>\n

Was wollen die Angreifer?<\/h2>\n

Laut den Beobachtungen des Forschers versuchte keiner der Angreifer, die sich f\u00fcr den Lockvogel-Server interessierten, irgendwelchen Code auszuf\u00fchren oder Root-Zugriff zu erhalten. (Anmerkung der Redaktion: Das ist \u00fcberraschend und k\u00f6nnte auf eine l\u00fcckenhafte Protokollierung hinweisen.) Fast alle Angriffe hatten das Ziel, Ressourcen abzuzweigen. W\u00e4hrend des Experiments wurden beispielsweise folgende Aktivit\u00e4ten protokolliert:<\/p>\n