KI-Risiken 2026: Angriffe, Vorfälle, Schutz

Kurz gesagt

KI-Systeme lassen sich mit Text steuern, und zwar nicht nur von dir. Jede Webseite, jede Mail und jede Tool-Antwort, die ein Assistent liest, kann versteckte Anweisungen enthalten. Gefährlich wird es, wenn ein Agent gleichzeitig private Daten sieht, fremde Inhalte liest und nach außen senden kann. Simon Willison nennt das das „tödliche Dreigespann“. OpenAI schreibt selbst, dass Prompt-Injection wahrscheinlich nie ganz gelöst wird.

Die Risiken im Überblick

Die Sicherheits-Community OWASP führt die Top 10 für LLM-Anwendungen in der Fassung 2025. Sie erschien am 18. November 2024 und ist im Oktober 2026 weiter aktuell. Ganz oben stehen Prompt-Injection, die Preisgabe sensibler Daten und Schwächen in der Lieferkette, also manipulierte Modelle, Datensätze oder Bibliotheken. Dazu kommen zu viel Handlungsmacht für die KI, durchsickernde System-Prompts, Fehlinformation und unbegrenzter Verbrauch, der die Kosten explodieren lässt.

Für Agenten, die selbst Werkzeuge bedienen, erschien im Dezember 2025 eine eigene Liste. Sie warnt unter anderem vor Zielentführung, Werkzeug-Missbrauch, bösartigen MCP-Servern und Agenten, die ihren Auftrag verlassen, obwohl jede Einzelaktion harmlos wirkt. Der Angriffskatalog MITRE ATLAS ergänzte 2026 vor allem Agenten-Techniken wie Tool Poisoning und den „Supply-Chain-Rug-Pull“: ein Tool, das erst Vertrauen aufbaut und dann bösartig wird (Changelog).

Was 2025 und 2026 passiert ist

• EchoLeak: Eine präparierte E-Mail reichte, um ohne einen einzigen Klick Daten aus Microsoft 365 Copilot abzuziehen (Fallstudie).
• Perplexity Comet: Versteckter Text auf einer Webseite ließ den KI-Browser E-Mail-Adresse und Einmal-Code des Nutzers an den Angreifer schicken. Laut Brave war das auch nach der Nachbesserung nicht vollständig behoben.
• postmark-mcp: Der erste bekannte bösartige MCP-Server schickte jede E-Mail heimlich in Blindkopie an den Angreifer, bei 1.643 Downloads (The Hacker News).
• ClawHavoc: Auf dem Skill-Marktplatz ClawHub wurden 341 bösartige Skills gefunden. 335 davon installierten über gefälschte „Voraussetzungen“ den Datendieb Atomic Stealer auf macOS (The Hacker News). Von 3.984 untersuchten Skills hatten 36,82 Prozent mindestens eine Sicherheitslücke (Snyk).
• Moltbook: Eine weitgehend mit KI gebaute Plattform ließ ihre Datenbank ohne Zugriffsregeln offen, mit rund 1,5 Millionen API-Tokens und etwa 35.000 E-Mail-Adressen (Wiz).
• KI als Angriffswerkzeug: Laut Anthropic nutzte eine staatlich unterstützte chinesische Gruppe Claude Code gegen rund 30 Ziele. Die KI erledigte 80 bis 90 Prozent der Arbeit, erfolgreich war sie in wenigen Fällen. Das FBI warnte 2025 vor KI-Stimmen, die hohe US-Beamte imitieren.

Auch der Markt für Schutzwerkzeuge ist in Bewegung. Lakera ging an Check Point, Protect AI an Palo Alto Networks, Promptfoo an OpenAI und Guardrails AI im September 2026 an Harvey. Die Bibliothek LLM Guard wurde im Juli 2026 archiviert. Werkzeuge können also verschwinden.

Was der EU AI Act verlangt

Der AI Act ist seit dem 2. August 2026 weitgehend anwendbar, die Transparenzregeln greifen. Der „AI Omnibus“ hat die Hochrisiko-Pflichten verschoben: für Einsatzfelder wie Bildung oder Beschäftigung auf den 2. Dezember 2027, für KI in regulierten Produkten auf den 2. August 2028 (EU-Kommission). Bestehende generative KI-Systeme müssen ab dem 2. Dezember 2026 die Kennzeichnungspflicht erfüllen (Übersicht). Die meisten kleinen Creator-Werke betreffen die Hochrisiko-Regeln nicht, bei Themen wie Bewerberauswahl oder Bildung können sie aber greifen.

So schützt du dich

Als Nutzer:

• Gib Agenten nur die Rechte, die die Aufgabe braucht, und lies jede Bestätigung vor Käufen, Mails oder Überweisungen selbst.
• Kopiere keine Befehle aus Skill-Beschreibungen.
• Lass KI-Browser nicht unbeaufsichtigt in Mail-, Bank- oder Firmenkonten arbeiten.
• Leg bei Geld-Anrufen auf und ruf über eine bekannte Nummer zurück.

Als Creator:

• Kombiniere private Daten, fremde Inhalte und einen Kanal nach außen nie ohne menschliche Freigabe.
• Scanne Skills, MCP-Server und Modelle vor dem Veröffentlichen. „Keine Funde“ heißt nicht „sicher“ (Cisco Skill Scanner).
• Halte API-Schlüssel auf dem Server und aktiviere die Zugriffsregeln deiner Datenbank.
• Kennzeichne KI-Interaktion und KI-erzeugte Inhalte.

Kein Werkzeug macht eine KI-App vollständig sicher, und Schutzfilter erkennen meist nur Teilrisiken (Microsoft). Die Regeln oben senken das Risiko, ersetzen aber nicht deinen eigenen Blick.