TrendAi
State of AI Security-Studie: KI-Angriffe treffen im ersten Halbjahr 2026 nicht das Modell, sondern sein Umfeld.
Exponierte MCP-Server, veraltete KI-Infrastruktur und kompromittiertes Entwicklervertrauen sind im ersten Halbjahr 2026 die größten Risikotreiber laut einer Studie von TrendAI.
Zusammenfassung (TL; DR):
- 43.175 KI-bezogene Diensteinstanzen in 25 Branchen identifiziert, davon 1.468 Tools, die ausschließlich in einer einzigen Branche eingesetzt werden.
- 1.467 exponierte MCP-Server, darunter Instanzen mit unauthentifiziertem Zugriff auf Patientendaten.
- 12.461 frei erreichbare Ollama-Instanzen, überwiegend mit veralteten Softwareständen.
- 85 Prozent der Pwn2Own-Teilnehmer nutzen selbst LLMs in ihrer Sicherheitsforschung; der Wettbewerb brachte 47 Zero-Days und rund 1,3 Millionen US-Dollar Preisgeld hervor – ein neuer Rekord.
Bekannte Schwachstellen, neues Tempo
Der Bericht widerspricht der Annahme, KI bringe grundlegend neue Angriffsarten hervor. Stattdessen beschleunigt sie bestehende: Die Analyse des Pwn2Own-Wettbewerbs zeigt, wie KI-gestützte Schwachstellenanalyse die Zeit von der Offenlegung einer Lücke bis zur einsatzfähigen Exploitation von Wochen auf Stunden verkürzen kann. Gleichzeitig bleibt die Exploit-Ökonomie im Untergrund träge – mehr als 70 Prozent der nachgefragten Exploits richten sich gegen Schwachstellen, die älter als zwei Jahre sind. Für Verteidiger bedeutet das, dass Offenlegungsdatum, CVSS-Score oder Exploit-Wahrscheinlichkeit sich nicht mehr getrennt und im gewohnten Tempo bewerten lassen. Das Zeitfenster zwischen Patch und Ausnutzung schließt sich schneller, unabhängig davon, ob eine Lücke neu oder Jahre alt ist.
KI-Infrastruktur wird zur kritischen Infrastruktur und bleibt oft ungeschützt
MCP-Server, die als Schnittstelle zwischen KI-Agenten und Unternehmenssystemen fungieren, werden vielerorts wie gewöhnliche Utilities behandelt, obwohl sie privilegierten Zugriff auf Datenbanken, Dateien und Anwendungen haben. Ein aktueller Scan fand 1.467 exponierte Instanzen; auf 70 Hosts war die Funktion execute_sql erreichbar, mindestens drei Server erlaubten unauthentifizierten Zugriff auf Patientendaten. Eine Analyse von mehr als 19.000 MCP-Server-Quellcodes ergab zudem, dass 48 Prozent der Projekte empfehlen, Zugangsdaten in unsicheren .env-Dateien oder Klartext-Konfigurationen zu speichern.
Dasselbe Muster zeigt sich bei Inferenz-Engines und Vektordatenbanken. Von 12.461 exponierten Ollama-Servern lief nur eine Handvoll auf der aktuellsten Version, die meisten deutlich dahinter. Die Vektordatenbank Chroma, 2025 und 2026 bereits bei Pwn2Own erfolgreich angegriffen, findet sich am häufigsten in einer veralteten Version im Netz. Popularität korreliert dabei nicht mit Update-Disziplin – bei Ollama gilt eher das Gegenteil: Je verbreiteter die Software, desto größer die Zahl veralteter, angreifbarer Instanzen.
Blinde Flecken entstehen schon bei der Einführung: Ein Großteil des identifizierten Risikos liegt nicht bei bekannten Anbietern wie OpenAI, Microsoft Copilot oder Google Gemini, sondern bei spezialisierten Branchenlösungen wie etwa in der Rechtsrecherche, Betrugserkennung oder medizinischen Dokumentation, die viele Governance-Programme schlicht nicht erfassen.
Der eigentliche Angriffsvektor: Entwicklervertrauen statt Modellangriff
Die folgenreichsten Vorfälle des Halbjahres bestätigen dieses Bild: Sie entstanden nicht durch Angriffe auf KI-Modelle, sondern durch kompromittierte Software-Lieferketten. Präparierte Versionen des KI-Gateways LiteLLM enthielten einen mehrstufigen Mechanismus zum Diebstahl von Zugangsdaten und zur lateralen Bewegung in Kubernetes-Umgebungen; entdeckt wurde der Angriff nur durch einen Programmierfehler in der Schadsoftware selbst. Die kompromittierte VS-Code-Erweiterung Nx Console lieferte einen Credential-Stealer aus. Nach einem Verpackungsfehler bei Claude Code tauchten binnen 24 Stunden gefälschte GitHub-Repositories mit angeblich „geleakten“ Dateien auf, die tatsächlich Schadsoftware verbreiteten.
Angreifer benötigen also keinen Durchbruch gegen ein KI-Modell, wenn Paketregistries, IDE-Erweiterungen, GitHub-Mechanismen oder OAuth-Berechtigungen denselben Zugang zuverlässiger liefern. Dasselbe Prinzip zeigt sich bei Cyberkriminalität und Agentic AI: Kriminelle Akteure industrialisieren zunehmend den Missbrauch öffentlicher Identitäten, Lieferantenbeziehungen und Plattformvertrauen, statt eigene Angriffswerkzeuge zu entwickeln.
Über die Studie: Der Bericht wertet TrendAI-Telemetriedaten aus dem ersten Halbjahr 2026, eigene Schwachstellenforschung, eine Befragung der Teilnehmer des Pwn2Own-Wettbewerbs Berlin 2026 sowie öffentlich dokumentierte Sicherheitsvorfälle aus. Er knüpft an den vorherigen TrendAI-Report Fault Lines in the AI Ecosystem an.
Häufige Fragen (FAQ)
Nicht die KI-Modelle selbst, sondern ungeschützte Server und kompromittierte Software-Lieferketten. Angreifer nutzen gezielt exponierte MCP-Server, veraltete Inferenz-Engines und manipulierte Entwickler-Tools aus.
Die Zeit von der Offenlegung einer Sicherheitslücke bis zum fertigen Exploit schrumpft von Wochen auf Stunden. KI-gestützte Analysen beschleunigen das Finden und Ausnutzen von Schwachstellen massiv.
Tausende offene MCP-Server und veraltete Ollama-Instanzen im Netz. Viele dieser Systeme erlauben unauthentifizierten Zugriff auf sensible Daten (wie Patientendaten) oder nutzen unsichere Klartext-Konfigurationen.
