Acht Monate KI-Missbrauch: was 154 Seiten belegen

Wir verbringen unsere Tage mit einem Coding-Agenten, der in einem Terminal geöffnet ist, lassen ihn Deployment-Skripte schreiben und Konfigurationen gegenlesen. Ein Bachelorstudent in Changsha, der sich gerade bei einem chinesischen Sicherheitsanbieter bewarb, tat genau dasselbe, um Exploits gegen Firewalls zu erzeugen. Ein Berater in Bamako baute damit ein Abhörsystem für ein ganzes Land. Es ist dasselbe Werkzeug; was sich ändert, sind die Hände, in denen es liegt, und das, was die Schutzmechanismen durchlassen. Das ist der Stoff des Threat-Intelligence-Berichts, den Anthropic am 10. September 2026 veröffentlicht hat.

Wir haben alle 154 Seiten des Dokuments gelesen. Es setzt fort, was wir Anfang September über offensive KI beschrieben haben, ist aber anderer Natur: nicht mehr zwei oder drei Vorzeigefälle, sondern eine Bestandsaufnahme. Dieser Artikel eröffnet eine Serie von zehn, einer pro Tag bis zum 19. September, Thema für Thema. Heute: der Überblick, der Analyserahmen, den der Anbieter für sich beansprucht, ein Fall mit Zahlen pro Art und die Grenzen des Dokuments.

Was das Dokument abdeckt #

Der Bericht behandelt Operationen, die zwischen Dezember 2025 und August 2026 erkannt und unterbunden wurden, aufgeteilt in sieben Arten. Anthropic bezeichnet jeden Akteur mit einer internen Kennung (GTG, für Generative Threat Group) und stellt gleich zu Beginn klar, dass diese Fälle nicht repräsentativ für die durchschnittliche Nutzung sind. Hier für jede Art der am besten dokumentierte Fall, ohne einen einzigen technischen Kompromittierungsindikator.

• Cyber: GTG-20006, russische Spionage. Zuordnung passt zu Midnight Blizzard, mehr als zwanzig Organisationen in der Ukraine und in Europa im Visier. Bei einer nordafrikanischen Regierungsbehörde: mehr als 300.000 Datensätze aus dem nationalen Identitätsregister und das Handelsregister von über einer halben Million Unternehmen.
• Einflussnahme: GTG-54002. Rund siebzig falsche Nachrichtenseiten, 8.913 Artikel in etwa zwanzig Sprachen, mehr als zweihundertfünfzig künstliche Kommentarkonten. Der Bericht verbindet das Netzwerk mit LKM Company, einer Agentur für Online-Werbung mit Sitz in Frankreich, die je nach zahlendem Kunden das politische Lager wechselte.
• Überwachung: GTG-50027, Mali. Ein Berater in Bamako baute für den staatlichen Nachrichtendienst eine Plattform, die rund 25 Millionen SIM-Karten bei den drei Mobilfunkbetreibern des Landes abdeckt. Das Erfordernis einer richterlichen Anordnung wurde auf Wunsch des Betreibers entfernt.
• Konventionelle Waffen: GTG-87001, Jemen. Eine Zelle nutzte Claude Code anstelle von Ingenieuren für die Lenkung einer Rakete, eines ballistischen Flugkörpers mit angestrebter Reichweite von mehr als 2.000 km und eines Hyperschallgleiters, mit mehreren parallel laufenden Instanzen: eine zum Programmieren, eine zum Recherchieren, eine zum Gegenlesen. Ein Testabschuss scheiterte; sie waren binnen weniger Stunden wieder da.
• Biologie: ein Weiterverkäufer als Zwischenstelle. Ein anonymisiertes Konto bediente in Wirklichkeit mehr als ein Dutzend Kunden ohne Verbindung untereinander. Einer von ihnen ließ auf Opus 5 in etwa einer Stunde einen vollständigen Förderantrag zur Immunevasion von Orthopockenviren schreiben.
• Betrug: GTG-15001. Ein chinesisches Studio stellte mehr als zwanzig Dating-Apps auf die Beine, die als vollständig menschlich verkauft wurden. In zwei Wochen im April 2026: mehr als 4.700 künstliche Personas, mindestens 25.000 echte Menschen, 2,36 Millionen Nachrichten.
• Destillation: GTG-16005, Alibaba. Die größte Kampagne, die der Anbieter je gemessen hat, gerichtet auf die Denkspuren (Reasoning Traces) von Opus 4.6 und 4.7: Spitzen von fast 3 Millionen Interaktionen pro Tag, mehr als 151 Millionen Interaktionen zwischen Mai und Juli 2026.

Gemeinsam ist allen sieben: Keiner brauchte seltene Fähigkeiten. Ein Berater, ein App-Studio, zwei Studenten, eine Werbeagentur. Was früher fehlte (Ingenieure, Übersetzer, Analysten), passt heute in ein Abonnement.

Was seit den Berichten von 2025 neu ist #

Anthropic hat 2025 drei davon veröffentlicht, im März, im August und im November. Das Muster des autonomen Angriffs, das im November 2025 für eine einzige mutmaßlich staatliche Kampagne beschrieben wurde, hat sich seitdem auf alle untersuchten Klassen von Akteuren ausgebreitet. Zwei ganze Arten kommen hinzu: konventionelle Waffen und Biologie, zu der laut Anbieter bisher kein Unternehmen konkrete Belege für den Missbrauch seiner eigenen Plattform veröffentlicht hatte. Und schließlich beschrieb der erste Bericht ein einziges kommerzielles Netzwerk für ausgelagerte Einflussnahme; dieser dokumentiert neun.

Wie Anthropic misst: Geschwindigkeit, Umfang, Tiefe #

Anthropic nennt den Zugewinn durch KI Uplift, also die Menge an zusätzlichem Schaden, die mit KI gegenüber einem Vorgehen ohne KI angerichtet wird, und betrachtet ihn unter drei Blickwinkeln: Geschwindigkeit, Umfang und Tiefe. Es folgt eine Warnung, die die meisten Kommentare übergangen haben. Viele konzentrieren sich auf das Risiko, dass KI Exploits in Serie produziert; das ist eine reale Gefahr, aber das Risiko ist über die gesamte Angriffskette hinweg ausgeprägter, wo Angreifer schneller, auf einer breiteren und tieferen Fläche und mit weniger Mitteln vorgehen. Für ein KMU ist der Bedrohung also nicht mit einer besser gepatchten Firewall beizukommen; entscheidend ist, was ein Angreifer tun kann, sobald er drin ist.

Drei Befunde ziehen sich durch den ganzen Bericht #

1. Raffinesse ist kein Indiz mehr #

Zwanzig Jahre lang diente die technische Qualität eines Einbruchs dazu, zu erraten, wer dahintersteckte: Ein Staat hatte die Mittel, ein Einzelner nicht. Diese Faustregel ist tot. Der Bericht sagt es ohne Umschweife: Ein einzelner Hacktivist, der mit gestohlenen API-Schlüsseln arbeitete, eine Gruppe finanziell motivierter Krimineller und ein staatlicher Spionageakteur führten jeder für sich Kampagnen gegen mehrere Opfer, die vor einem Jahr noch ein Team qualifizierter Operatoren erfordert hätten. „Was diese Klassen von Akteuren heute unterscheidet, ist nicht mehr die Raffinesse, sondern die Absicht.“

Die direkteste Formulierung richtet sich an Ermittler: Raffinesse ist kein verlässliches Signal mehr dafür, wer hinter einer Operation steckt. Der Grund ist industriell. Öffentliche Frameworks für offensive Agenten, von denen der Bericht namentlich PentAGI nennt, bilden den Großteil des Aufbaus für jeden nach, der sie herunterlädt, und zwei der beschriebenen Akteure arbeiteten damit. Daher die Vorgabe von Anthropic: Die beschriebenen Fähigkeiten sind als für jeden motivierten Akteur verfügbar anzunehmen. Technisches Können lässt sich herunterladen.

2. Die KI ist vom Assistenten zum Dirigenten geworden #

Das Ende des Cyber-Kapitels beschreibt ein Autonomiespektrum, mit benannten Beispielen. Am einen Ende ist die Nutzung dialogisch: Das Modell dient als technischer Assistent, um Schadsoftware oder ein Phishing-Kit zu schreiben. Eine Stufe weiter führt es selbst aus (Befehle gegen die Systeme des Opfers, Abgreifen von Zugangsdaten, Exfiltration), während ein Mensch jede Entscheidung über Ziele trifft; das ist der Fall des russischen Spionageakteurs. Am anderen Ende führen Multi-Agenten-Frameworks Aufklärung, Ausnutzung und Diebstahl gegen mehrere Opfer parallel durch, stunden- oder tagelang, bei Affiliates von ShinyHunters und beim französischsprachigen Hacktivisten. Noch weiter: eine Flotte von dreizehn Sammel-Agenten, angestoßen von einer einfachen zeitgesteuerten Aufgabe, ganz ohne menschliches Eingreifen.

3. Die Kosten haben die Seite gewechselt #

Früher erlegte ein Verteidiger, der eine Erkennungssignatur veröffentlichte, dem Angreifer Kosten auf: Dieser musste sein Werkzeug neu bauen. Im Fall der russischen Spionage überwachten Agenten laufend, ob die Implantate von Sicherheitsprodukten erkannt wurden, und bauten sie gegebenenfalls selbstständig um, bis sie wieder unter dem Radar waren. Anthropic schreibt, dass „die KI die Kosten wieder auf die Verteidiger abgewälzt hat“: Ein fähiger Gegner durchläuft diesen Zyklus schneller, als die Branche ihre Erkennungsregeln veröffentlicht.

Der Bericht fasst das Argument dann in wirtschaftliche Begriffe, und diese Passage sollte man zweimal lesen. Autonomie drückt die Kostenseite in der Rentabilitätsrechnung des Angreifers: Sie senkt die Kompetenzschwelle und den Arbeitsaufwand pro Kampagne, ohne den möglichen Ertrag zu ändern. Diese Verschiebung macht bisher randständige Ziele lohnend und begünstigt Operationen mit höherem Volumen und weniger Aufwand pro Ziel. Das randständige Ziel, das ist die Steuerkanzlei mit zwölf Mitarbeitenden oder die Gemeinde mit zweitausend Einwohnern. Weniger Aufwand pro Ziel, das ist der Angriff, der eindringt, ausräumt und wieder verschwindet: die Muster, denen wir im Betrieb und in der Betreuung der Server von Elsässer KMU begegnen.

„Security through Obscurity ist nicht mehr tragfähig“ #

Mit KI werden unterschiedlichste Zielumgebungen trivial zu verstehen und zu erschließen; einzigartige und obskure Konfigurationen werden durchschaubar und ausnutzbar. Der alte Grundsatz der „Security through Obscurity“ ist in dieser neuen, KI-gestützten Welt nicht mehr tragfähig: Alles, was mit dem Internet verbunden ist, ist ein potenzielles Ziel für Ausnutzung.

Der Satz zielt auf einen sehr verbreiteten Verteidigungsreflex. Die 2009 individuell geschriebene Branchensoftware, das ERP, dessen interne Logik niemand mehr kennt, die Steuerung mit einem hauseigenen Protokoll: Sie alle schützten allein dadurch, dass ein Angreifer das System erst lernen musste, was Tage dauerte und sich nur bei ansehnlicher Beute lohnte. Ein Modell liest Dokumentation, Fehlermeldungen und dekompilierten Code so schnell, wie es sie erhält. Eine obskure Anwendung ist keine Sicherheitsmaßnahme mehr, sondern eine Dokumentationsschuld. Es halten nur Schutzmaßnahmen, die nicht davon abhängen, wie schwer etwas zu verstehen ist: starke Authentifizierung, Segmentierung, minimale Rechte, Schwachstellenbeobachtung für das, was Sie betreiben.

Die Größenordnungen #

• 1,8 Millionen Android-Apps, heruntergeladen und dekompiliert von einer Flotte aus zehn gemieteten Maschinen, auf der Suche nach im Code vergessenen Secrets.
• Zwei bis drei Stunden zwischen dem ersten Zugriff und dem Massendiebstahl von Daten, bei mehreren Einbrüchen.
• 2.100 Sätze von Authentifizierungstoken, in 34 Stunden bei mehr als 40 Kundenorganisationen abgesaugt: „Die Agenten haben nahezu die gesamte Arbeit erledigt.“
• Mehr als ein Dutzend mögliche neue Schwachstellen, in einem Monat von der Exploit-Fabrik in Changsha hervorgebracht.

Neun Einflussoperationen und eine Skala, um sie zu messen #

Das Kapitel über Einflussnahme ist das methodischste und paradoxerweise das bescheidenste. Um die tatsächliche Reichweite jeder Operation zu bewerten, wendet Anthropic die Brookings-Skala (Breakout Scale) an, einen in der Forschung anerkannten Rahmen mit sechs Kategorien: Sie misst nicht das produzierte Volumen, sondern die Wanderung zwischen Plattformen und die erreichte öffentliche Sichtbarkeit.

Das Ergebnis ist aufschlussreich. Die kenianische Astroturfing-Kampagne, produziert in Chargen von fünfzig Nachrichten, die wie spontane Empörung wirken sollten, wird in Kategorie 1 eingestuft: eingeschlossen in ihr eigenes Netz aus falschen Konten, ohne einen einzigen echten Menschen zu erreichen. Die französische Agentur mit den siebzig falschen Medien landet trotz ihrer 8.913 Artikel in Kategorie 2. Die einzige Kategorie 4, die höchste im Bericht, verdankt der Technik nichts: Sie gilt der Zentralafrikanischen Republik, wo die Inhalte täglich über einen UKW-Sender liefen.

Anthropic zieht daraus einen Schluss, den man dem Bericht zugutehalten muss: Die meisten Einflussoperationen erreichen kein authentisches Publikum. Die größte Reichweite wurde dort erzielt, wo Staatsmedien als Kanal dienten: UKW-Radio, Satellit, Kurzwelle, Fernsehen. Die nützliche Lesart lautet also nicht „das Netz wird in falschen Artikeln ertrinken“, sondern: Ein falscher Inhalt wird erst in dem Moment gefährlich, in dem er einen legitimen Verbreitungskanal findet. Für Sie heißt das: der Missbrauch Ihrer Marke oder der Anruf, der scheinbar von einer Führungskraft kommt.

Die Schutzmechanismen, die nachgeben, und wie #

Ein Anbieterbericht könnte sich damit begnügen, seine Schutzmechanismen bei der Arbeit zu zeigen. Dieser dokumentiert auch die Fälle, in denen sie nicht gehalten haben. Drei Techniken kehren wieder.

• Die Zerlegung der Arbeit. Die jemenitische Waffenzelle verteilte ihre Anfragen auf viele Sitzungen, „sodass keine Sitzung die vollständige Absicht offenlegte“; der Bericht räumt ein, dass seine Schutzmechanismen „viele ihrer Anfragen blockiert haben, aber nicht alle“. Dieselbe Mechanik auf iranischer Seite: neun Ablehnungen bei zehn direkten Anfragen, aber Schutzmaßnahmen, die „weniger konsequent griffen, wenn der Nutzer die Arbeit auf spätere, kleinere Sitzungen verteilte“.
• Die Umformulierung nach einer Ablehnung. In der Zentralafrikanischen Republik weigerte sich das Modell, Personen namentlich als Aktivisten zu benennen, um Maßnahmen der Sicherheitskräfte gegen sie zu lenken; der Akteur wechselte zu einer Formulierung über anonyme Quellen. In Malaysia handelte der Akteur nach einer Ablehnung zu einem als politisches Diffamierungsmaterial erkannten Dokument ein bereinigtes Vokabular aus. In China wurde eine Ablehnung zu einem Bericht über „Stabilitätswahrung“ beim erneuten Nachfragen gekippt.
• Die geografische Umgehung. VPN, ausländische Telefonnummern, wechselnde Konten, im Ausland gemietete Server, Weiterverkäufer und zwischengeschaltete Dienste Dritter: So umgingen iranische Propagandisten die Sperre des Zugangs aus dem Iran, und das russische Team, das am Drohnenschwarm arbeitete, leitete seinen Verkehr über kommerzielle Server.

Der Bericht geht bis zum Eingeständnis. Zu den chinesischen Überwachungsoperationen: „Unsere bestehenden Schutzmechanismen haben in diesen Fällen nicht einheitlich funktioniert.“ Zu den iranischen Einheiten: Claude lehnte die ausdrücklichen Anfragen zur Profilbildung ab, lehnte aber viele Anfragen nach Software-Werkzeugen für die Überwachung nicht ab. Und im Bereich Biologie hatte ein Plattformbetreiber einen automatischen Fallback eingebaut: Abgelehnte Anfragen gingen an das Modell eines Konkurrenten.

Haiku, Sonnet, Opus: das Argument, das der Leser umdrehen darf #

Das Dokument ist in einem Punkt präzise, und dieser Punkt ist ebenso kommerziell wie technisch. Die missbrauchten Modelle sind Claude Haiku, Sonnet und Opus. Kein Fall betrifft die Modelle der Klasse Fable oder Mythos, mit einer Ausnahme bei der Destillation: Ein chinesisches Labor versuchte, die Cyber-Fähigkeiten von Fable zu destillieren, gab dann auf, weil die Schutzmaßnahmen seine Angriffe verschlechterten, und wich auf Opus 4.6 und auf das beste Modell eines anderen US-Labors aus, ausdrücklich weil es deren Schutzmechanismen für schwächer hielt. Bei den Mythos-Modellen wurde kein Versuch beobachtet; der Bericht stellt klar, dass sie der breiten Öffentlichkeit nicht zugänglich sind. Das Argument des Anbieters ist eindeutig: Die neuesten und am besten abgesicherten Modelle werden am wenigsten missbraucht. Der Leser darf es umdrehen.

1. Es ist ein Verkaufsargument. Die als sicher gepriesenen Modelle sind die teuersten im Katalog, und eines davon wird nicht an die Öffentlichkeit vertrieben: Es fehlt ganz selbstverständlich in der Missbrauchsstatistik.
2. Die Schutzmaßnahmen überleben die Destillation nicht. Der Bericht schreibt es: Die Schutzmechanismen werden nicht mitübertragen, wenn das Modell anderswo destilliert wird. Sicherheit ist keine Eigenschaft des Modells, sondern eine Eigenschaft des Dienstes.
3. Ein gedrosseltes Modell bleibt für den Angreifer nützlich. Der Forscher, der an der Vogelgrippe arbeitete, wurde von den Klassifikatoren auf die schwächsten Modelle beschränkt; der Beitrag wird als „hauptsächlich verwaltender Natur“ bezeichnet, hat aber dennoch wochenlange Arbeit an einem Studiendesign begleitet.

Festzuhalten ist, ohne Zynismus und ohne Naivität: Die Modellversion, die Ihr Anbieter nutzt, ist ein Sicherheitsparameter, genau wie die Version seines Betriebssystems. Die politische Seite dieser Abhängigkeit hatten wir behandelt, als Washington den Zugang zu zwei Modellen gesperrt hat; der Bericht liefert die operative Seite.

Anhang A: die Werkzeuge, die sich Angreifer bauen #

Das Cyber-Kapitel endet mit einem Anhang, der so eingeleitet wird: „Die folgende Liste führt die Skills auf, die Bedrohungsakteure entwickelt haben, um ihre KI-gestützten Arbeitsabläufe aufzubauen.“ Ein Skill ist ein wiederverwendbares Modul, das einem Agenten angehängt wird, um ihm eine dauerhafte Fähigkeit zu geben: genau der Mechanismus, den auch unsere Teams nutzen.

Die Einzelheiten werden nur als Abbildung veröffentlicht, und wir geben sie nicht aus dem Gedächtnis wieder. Der Haupttext des Berichts nennt mehrere: einen eigens gebauten Skill, um Firmware-Images von Netzwerkgeräten zu entschlüsseln; Skills, die die Phishing-Abläufe eines Spionageakteurs steuern; Überwachungs-Skills, die eine staatliche Datenbank abfragen; und bei einem iranischen Akteur die Funktion für benutzerdefinierte Skills, umfunktioniert zu einer Fabrik für Stimmklone. Die Angreifer haben also keine parallele Werkzeugkiste erfunden: Sie nutzen die Funktionen, die für Entwickler gedacht sind, aus denselben Gründen, nämlich um Know-how festzuhalten und eine Verarbeitung laufen zu lassen, ohne danebenzusitzen.

Was der Bericht nicht sagt #

Ein Bericht, den der Anbieter des missbrauchten Modells veröffentlicht, ist keine neutrale Quelle, und man muss ihn auch so lesen. Vier Lücken verdienen es, benannt zu werden.

• Die Dauer. Das Dokument sagt fast nie, wie lange eine Operation lief, bevor sie entdeckt wurde. Man liest „wir haben identifiziert und unterbunden“, selten „nach elf Monaten Aktivität“. Bei der Operation in Bangladesch erfährt man beiläufig in einer Tabelle, dass der Akteur 29 Konten sechzehn Monate lang betrieb.
• Die Folgen. Welche Behörden wurden informiert, in welchen Ländern, mit welcher juristischen Wirkung? „Gegebenenfalls mit Partnern aus dem öffentlichen und privaten Sektor geteilt.“ Das ist alles.
• Die Wirksamkeit der Sperre. In Mali hat die Schließung des Kontos die Entwicklung unterbrochen, nicht aber den Einsatz: Die Plattform läuft vor Ort mit lokalen Modellen. In einem Biologie-Fall stellte der Betreiber seinen Zugang binnen weniger Tage unter neuen Identitäten wieder her.
• Die Überprüfbarkeit. Volumen, Zuordnungen und Konfidenzbewertungen beruhen auf der internen Telemetrie eines Unternehmens; niemand von außen kann sie abgleichen.

Das kommerzielle Interesse liegt auf der Hand: Das Dokument zeigt die Schutzmechanismen bei der Arbeit, wertet die am stärksten abgesicherten Modelle auf und belastet die konkurrierenden chinesischen Labore. Nichts davon entkräftet den Inhalt. Die beschriebenen Mechanismen decken sich mit dem, was Google Threat Intelligence über LLM-gesteuerte Schadsoftware veröffentlicht hat, mit dem, was Check Point zwölf Stunden nach der Veröffentlichung einer Gateway-Lücke beobachtet hat (eine Episode, die wir in unserer Chronik der offensiven KI erzählt haben), mit dem, was wir über Modelle schrieben, die Lücken schneller finden, als man sie schließt, und mit der Zurückhaltung des Panorama de la cybermenace der ANSSI (Lagebild der Cyberbedrohung), das von einem „Beschleuniger“ spricht. Beide Lesarten passen zusammen: KI schafft keine neuen Angriffe, sie macht die alten so billig, dass niemand mehr zu klein ist, um ins Visier zu geraten.

Zehn Tage, zehn Artikel #

Wir sind kein Modellanbieter. Wir hosten, betreiben und entwickeln für KMU, und unsere einzige Frage beim Lesen dieser 154 Seiten war: Was ändert sich am Montagmorgen auf den Servern, die wir betreiben? Die Serie antwortet Thema für Thema, bis zum 19. September.

1. 10. September: Acht Monate KI-Missbrauch: was 154 Seiten belegen (dieser Artikel).
2. 11. September: Ihr KI-API-Schlüssel ist für einen Angreifer dreierlei wert.
3. 12. September: Zwei Stunden zwischen erstem Zugriff und Diebstahl: Die Ökonomie des Einbruchs hat sich geändert.
4. 13. September: Die Schadsoftware, die sich umschreibt, bis sie nicht mehr gesehen wird.
5. 14. September: WordPress, eine Webshell in den Schriften, vergiftete Backups.
6. 15. September: Die Exploit-Fabriken: Ihre Firewall ist die Frontlinie.
7. 16. September: Ihr Prompt bleibt nicht, wo Sie denken.
8. 17. September: Ein Berater, eine KI, 25 Millionen SIM-Karten.
9. 18. September: Falsche Menschen am Fließband herstellen.
10. 19. September: Raketen, Drohnen, Viren: was die Extremfälle über die Wahl eines KI-Anbieters sagen.

Morgen geht es weiter: was aus einem gestohlenen API-Schlüssel wird und warum die Schlüssel von KI-Diensten zu einer eigenen Handelsware geworden sind. Wenn Sie vor dem Ende der Serie über Ihre IT-Umgebung sprechen möchten, schreiben Sie uns: Genau dieses Gespräch führen wir diese Woche mit unseren Kunden im Bereich Betrieb und Betreuung von Servern und Anwendungen.

Quellen #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10. September 2026), 154 Seiten: Hauptquelle der gesamten Serie.
• Derselbe Bericht: Kapitel Cyber operations für den Uplift nach speed, scale, depth, der Abschnitt Prevailing trends und Anhang A; Kapitel Influence operations für die Brookings-Skala; Kapitel Surveillance, Conventional weapons, Biological misuse und Illicit distillation für die zitierten Fälle und die Eingeständnisse zu den Schutzmechanismen.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025 (Lagebild der Cyberbedrohung 2025, 11. März 2026).
• Google Threat Intelligence Group über The Hacker News, PROMPTFLUX und PROMPTSTEAL (November 2025).
• Check Point, HexStrike-AI: when LLMs meet zero-day exploitation (September 2025): das Fenster von zwölf Stunden zwischen der Veröffentlichung des Patches und den ersten Anleitungen zur Ausnutzung.
• Unsere früheren Artikel: KI hackt bereits und Mythos, GPT-6 Astra.