Viele erwarten, dass der erste spektakuläre KI-Hack ein klassischer Datenleak wird, entdeckt von einem Whistleblower. Daniel Miessler nicht. Er beschreibt eine Angriffsform namens „Prompt Injection Worm“. Sie kombiniert bekannte Manipulationstechniken mit der Masse an KI-Agenten, die bis Ende 2026 E-Mails, Chats und Formulare verarbeiten. Das klingt nach Science-Fiction, folgt aber laut Miessler einer simplen Mechanik aus drei Entwicklungen.
Die Mechanik eines sich selbst verbreitenden Angriffs
Miessler beschreibt den Ablauf in mehreren Schritten. Open-Source-Modelle werden bis Ende 2026 oder Anfang 2027 die Leistungsfähigkeit der damals führenden kommerziellen Systeme erreichen oder übertreffen. Angreifer – privat oder staatlich – sammeln seit Monaten oder Jahren Zieladressen. Das sind Eingabestellen, an denen KI-Systeme Inhalte aus E-Mails, Webformularen oder Messenger-Diensten parsen. Die Akteure warten noch. Ein Angriff nützt erst, wenn viele Ziele KI-Agenten in ihren Posteingängen und Workflows laufen haben.
Sobald dieser Zeitpunkt erreicht ist, beginnt der Angriff. Miessler skizziert ein Szenario mit Zero-Day-Prompt-Injections, die unentdeckt an den Guardrails kommerzieller und quelloffener Modelle vorbeischlüpfen. Diese Injektionen tragen mehrere Nutzlasten: Ein Befehl exportiert Daten an einen externen Speicher, ein zweiter leitet die manipulierte Nachricht an alle Kontakte des Opfers weiter. So schließt sich der Kreis. Eine empfangene Nachricht infiziert den KI-Parser. Der Parser exfiltriert sensible Daten und verschickt den Schadcode an neue Opfer. Die Verbreitung läuft ohne menschliches Zutun. Der Begriff „Wurm“ trifft also zu.
Warum der Zeitpunkt entscheidend sein könnte
Miessler sieht die Intelligenz der Modelle und die Zahl der Parser gleichzeitig ansteigen. Das ist kein Zufall, sondern ein strategisches Fenster. Wer Zieladressen gesammelt hat, kann den Angriff genau dann starten, wenn die Verbreitungsdynamik maximal ist. In seinen Diagrammen zeigt er, wie sich drei Kurven – Modellfähigkeit, Parser-Verbreitung und vorbereitete Zieladressen – in der zweiten Jahreshälfte kreuzen.
Miessler unterscheidet zwei Varianten. Die laute veröffentlicht alle erbeuteten Daten auf einmal. Das löst sofortige Gegenmaßnahmen aus, etwa das Rotieren aller Zugangsdaten. Die leise Variante nutzt erbeutete Zugangsdaten über Monate hinweg unbemerkt aus. Miessler hält sie für wahrscheinlicher. Sie lässt den Verteidigern wenig Reaktionszeit, und der Schaden wird erst spät entdeckt.
Zwei Szenarien für den Ernstfall
In seiner Analyse arbeitet Miessler die Konsequenzen beider Varianten heraus. Beim lauten Szenario wachen Organisationen eines Morgens auf und finden Terabytes an Kundendaten, Anmeldedaten und internen Dokumenten öffentlich. Das Ausmaß ist medial sichtbar, die Reaktion eindeutig: Passwörter rotieren, Logs prüfen, Vorfallsberichte schreiben. Beim leisen Szenario fehlt genau dieses auslösende Moment. Die Angreifer nutzen die Zugangsdaten über Wochen, greifen auf weitere Systeme zu, eskalieren schrittweise ihre Privilegien und hinterlassen kaum Spuren für ein typisches SIEM.
Miessler hält diese Variante für das größere Risiko. Die Detektion dauert deutlich länger. Beim lauten Angriff lässt sich binnen Stunden reagieren. Beim leisen bleibt er über Monate unentdeckt. Deshalb rät er, sich nicht nur auf Prävention zu konzentrieren, sondern auch darauf, einen bereits erfolgten Vorfall zu erkennen und einzugrenzen.
Was Defensive in einer KI-Welt leisten muss
Auf die Frage nach Gegenmaßnahmen nennt Miessler drei Anforderungen. Erstens: Inventarisierung. Man muss wissen, wo KI-Systeme Inhalte parsen und auf welche Datenquellen sie zugreifen. Zweitens: kontinuierliche Bedrohungsmodellierung. Jede Integration – ob E-Mail, CRM oder interner Chat – braucht ein eigenes Threat-Model, das regelmäßig aktualisiert wird. Drittens: gestapelte Verteidigungslinien und vorbereitete Reaktionspfade für den Fall, dass ein Angriff bereits stattgefunden hat.
Miessler verweist auf seine früheren Arbeiten. Bereits 2023 warnte er, dass autonom agierende Agenten mit zu weitreichenden Berechtigungen eines der größten Sicherheitsprobleme der kommenden Jahre sein würden. Das klang damals überzogen. Heute lesen KI-Agenten E-Mails, verwalten Kalender und führen API-Aufrufe aus. Die Warnung klingt dringlicher.
Das strukturelle Problem offener Modelle
Miessler hebt ein strukturelles Problem hervor: das Wettrüsten zwischen Prompt-Injection-Abwehren und der wachsenden Intelligenz unbeschränkter Open-Source-Modelle. Ein Modell, das komplexe Aufgaben löst, umgeht in der Regel auch eingebaute Sicherheitsschranken. Diese Korrelation ist nicht auflösbar, weil sie in der Natur der Sache liegt.
Wer ein Modell trainiert, Texte zuverlässig als Befehle zu interpretieren, trainiert es auch darin, Umgehungen für Anweisungen zu finden. Dieselben Fähigkeiten machen einen Agenten nützlich und anfällig. Miessler ist pessimistisch, was die Chancen der Defensive angeht. Sein Pessimismus beruht auf einem einfachen Unterschied: Angreifer müssen nur einen erfolgreichen Pfad finden, Verteidiger müssen alle möglichen absichern.
Was das für deine eigene Sicherheitspraxis bedeutet
Wenn wir Miesslers Szenario ernst nehmen, gibt es konkrete Aufgaben. Prüfe, welche KI-Tools in deinem Posteingang, Browser oder Chat-Anwendungen Inhalte lesen. Nicht jede Integration ist offensichtlich. Browser-Erweiterungen, E-Mail-Plugins und CRM-Connectoren fallen oft erst auf, wenn man gezielt sucht. Frage dich für jede Stelle: Welche Berechtigungen hat das System? Welche Daten könnte es exportieren?
Nimm in dein Threat-Model Annahmen auf, die über klassisches Phishing hinausgehen. Ein Prompt-Injection-Angriff tarnt sich nicht als Anmeldeseite, sondern als harmlose Nachricht, die dein KI-Agent im Hintergrund verarbeitet. Firewalls und Spam-Filter helfen wenig, weil die Nutzlast für den Menschen unauffällig wirkt. Detektionslogik muss dort ansetzen, wo der Agent agiert: bei ungewöhnlichen Datenexporten, Kontakten zu unbekannten Adressen, Anmeldedaten außerhalb üblicher Kontexte.
Miessler räumt ein, dass es eine Prognose ist. Form, Zeitpunkt und Ausmaß lassen sich nicht vorhersagen. Vorbereitung dagegen schon. Wer weiß, wo seine Parser arbeiten, welche Daten sie erreichen können und wie ein Vorfall erkannt würde, verschiebt das Risiko von der Kategorie „überrascht werden“ in die Kategorie „gewappnet sein“. Genau darauf zielt sein Beitrag ab. Die Ruhe vor dem Sturm, schreibt er, sei real. Nutze sie.
Quelle: danielmiessler.com
