Google: Angreifer wechseln von einzelnen KI-Prompts zu agentischen Angriffsketten

Googles Threat Intelligence Group (GTIG) beschreibt in ihrem KI-Threat-Tracker für das dritte Quartal 2026 einen wichtigen Wandel: Angreifer nutzen künstliche Intelligenz nicht mehr nur für einzelne Hilfsaufgaben. Einige verknüpfen KI-gestützte Schritte zu agentischen Workflows, die Verzögerungen durch menschliche Eingriffe während eines Einbruchs verringern können. Das bedeutet nicht, dass es bereits nachweislich völlig selbstständig agierende Cyberangriffe gibt. Für Verteidiger bleibt aber weniger Zeit, um verdächtige Aktivitäten zu erkennen, zu untersuchen und zu stoppen. 25

Vom einzelnen Prompt zur koordinierten Angriffskette

Bislang zeigte sich KI-Missbrauch häufig in klar abgegrenzten Aufgaben: Informationen über ein Ziel recherchieren, eine Phishing-Mail formulieren, Code schreiben oder Fehler beheben. Laut Googles Update vom September setzen fortgeschrittenere Akteure nun zunehmend auf Abläufe, in denen KI-Systeme mehrere zusammenhängende Aufgaben übernehmen und weitere Automatisierung unterstützen. 25

Das ist mehr als nur KI, die ein Skript formuliert. Verknüpfte Workflows können etwa schneller von der Aufklärung über Schwachstellenscans und das Sammeln von Zugangsdaten bis zur technischen Fehlerbehebung und weiteren Schritten wechseln. Weniger menschliche Eingriffe verkürzen dabei das klassische Reaktionsfenster von IT-Sicherheitsteams. 25

Zugangsdaten-Diebstahl in weniger als sechs Stunden

Ein besonders konkretes Beispiel betrifft einen finanziell motivierten Akteur. Dieser nutzte laut Berichten ein Multi-Agenten-Framework, um eine groß angelegte Operation zum Abgreifen von Zugangsdaten in weniger als sechs Stunden aufzubauen und zu starten. Die Agenten automatisierten dabei unter anderem Scans, das Sammeln von Zugangsdaten und die Behebung technischer Probleme. 212

Entscheidend ist dabei nicht allein die automatisierte Erstellung von Schadcode. KI-Agenten können eine Operation auch dann weiterlaufen lassen, wenn alltägliche technische Schwierigkeiten auftreten. Dadurch sinkt der manuelle Aufwand, um einen Angriff zu koordinieren und zu skalieren.

Staatlich unterstützte Gruppen nutzen KI entlang des gesamten Angriffsverlaufs

GTIG berichtet, dass staatlich unterstützte Akteure KI für Aufgaben vom frühen Informationsgewinn über Ziele bis zur Fehleranalyse während laufender Angriffe einsetzen. Die mit China in Verbindung gebrachte Spionagegruppe BASINCASTLE soll große Sprachmodelle für Recherche sowie zur Lösung von Problemen während eines Einbruchs verwendet haben. 1

Eine weitere China-nahe Gruppe habe versucht, mit Gemini ein automatisiertes Framework für Penetrationstests aufzubauen. Agentische KI sollte dabei frühe Phasen eines Eindringversuchs eigenständig ausführen. 1

Die Beispiele zeigen: KI kann Angreifern schon lange vor einer möglichen Störaktion helfen – etwa bei Recherche, technischen Experimenten und der Anpassung eines Vorgehens während einer Operation.

Phishing und Identitätsvortäuschung bleiben zentrale Risiken

Die größte Breitenwirkung generativer KI dürfte zunächst bei bekannten Angriffsmethoden liegen, die Menschen ins Visier nehmen – nicht bei völlig neuen Angriffskategorien. KI kann Phishing- und Social-Engineering-Material schneller erstellen, stärker auf Empfänger zuschneiden und sprachlich überzeugender über Regionen und Sprachen hinweg formulieren. GTIG hatte bereits zuvor beobachtet, dass Angreifer KI zur Informationsbeschaffung, für realistisch wirkende Phishing-Betrügereien und zur Malware-Entwicklung einsetzen. 11

Das betrifft auch Identitätsvortäuschung und Einflussoperationen. KI-gestützte Inhalte können glaubwürdigere Vorwände, erfundene Online-Identitäten und täuschende Nachrichten in großer Zahl ermöglichen. Berichte zu den Q3-Ergebnissen nennen iranische, staatlich unterstützte Gruppen, die Gemini unter anderem für Phishing und die Erstellung falscher Identitäten genutzt haben sollen. 4

Für Unternehmen und Beschäftigte folgt daraus eine einfache Regel: Eine professionell geschriebene E-Mail oder ein überzeugendes Dokument ist kein verlässlicher Echtheitsbeweis mehr.

Wichtiges Gegengewicht: Keine vollautonomen Angriffe in freier Wildbahn beobachtet

Googles Einschätzung ist kein Beleg dafür, dass Angreifer bereits vollständig autonome Angriffssysteme gegen reale Ziele einsetzen. GTIG erklärte ausdrücklich, bislang keine Bedrohungsakteure beobachtet zu haben, die komplett autonome Angriffspipelines gegen Ziele „in the wild“ eingesetzt hätten. 2

Der Bericht dokumentiert vielmehr eine Entwicklung in Richtung größerer Autonomie. Agenten können bereits wesentliche Teilaufgaben übernehmen und einzelne Abschnitte einer Angriffskette verbinden; Ziele und folgenreiche Entscheidungen werden offenbar weiterhin von Menschen vorgegeben. Die kurzfristige Herausforderung besteht daher weniger in einem einzelnen „KI-Superhacker“ als darin, dass bekannte Angriffe schneller, kostengünstiger und schwerer rechtzeitig einzuordnen werden. 25

Was Verteidiger daraus ableiten sollten

Der Tracker legt nahe, nicht nur gegen ausgefeiltere Methoden, sondern vor allem gegen höhere Geschwindigkeit vorzugehen:

• Identitätsangriffe priorisieren: Phishing-resistente Authentifizierung einsetzen und ungewöhnliche Nutzung von Zugangsdaten überwachen.
• Erkennung und Eindämmung beschleunigen: Agentengestützte Abläufe können rasch von Aufklärung über Zugang bis zur Datensammlung fortschreiten.
• Kritische Anfragen über einen zweiten Kanal prüfen: Änderungen von Bankverbindungen, Passwortanfragen oder Aufforderungen zur Freigabe sensibler Dateien sollten nicht allein anhand einer E-Mail oder eines Dokuments bestätigt werden.
• KI-Assets und Entwicklungsprozesse absichern: Laut GTIG nehmen Angriffe auf KI-bezogenes geistiges Eigentum, KI-Nutzer, Systeme und Schwachstellen in Lieferketten zu. 15

Die Kernbotschaft von Googles Q3-Tracker ist damit nüchtern, aber dringlich: Vollautonome Cyberangriffe sind noch keine beobachtete Realität. KI hilft Kriminellen und staatlich unterstützten Gruppen jedoch bereits heute dabei, vertraute Angriffsmethoden koordinierter, schneller und besser skalierbar einzusetzen. 25