Am häufigsten gaben sich die Kampagnen als Anthropics Claude aus: Auf diese Marke entfielen 60 Prozent der Analysen, auf ChatGPT und Codex von OpenAI 33 Prozent. Als Einstieg dienten SEO-Vergiftung, bösartige Anzeigen, nachgebaute Download-Seiten und KI-bezogene Artefakte.

Allen Varianten ist nach Darstellung der Any.Run-Forscher ein Muster gemeinsam. “Die Angriffe teilen eine Eigenschaft: Der entscheidende Schritt wird vom Mitarbeiter ausgeführt. Er fügt einen ‘Installationsbefehl’ ein, startet einen überzeugend wirkenden Installer oder meldet sich in einem gefälschten Fenster an”, heißt es in dem Bericht. Damit könnten Quellcode, Cloud- und KI-API-Schlüssel, aktive Geschäftssitzungen, Werbekonten und Abrechnungszugänge gefährdet werden — “eine einzelne Nutzeraktion wird so zu potenzieller Datenoffenlegung, Kontoübernahme, finanziellem Verlust oder einer Störung von Entwicklungs- und Marketingabläufen”.

Die Zahl von 1.258 Analysen wertet das Forschungsteam als Beleg für eine Zunahme solcher Angriffe. “Diese Zahl allein zeigt, wie verbreitet das Problem geworden ist, insbesondere wenn man bedenkt, dass Sicherheitsteams aus mehr als 16.000 Unternehmen weltweit Any.Run nutzen, um verdächtige Aktivitäten zu untersuchen”, sagte ein Sprecher des Teams. Wie viele Infektionen es tatsächlich gab, lasse sich nicht bestätigen, die Daten deuteten aber darauf hin, dass die Kampagnen eine erhebliche Zahl von Nutzern erreicht hätten.

ClickFix und InstallFix dominieren

Taktiken vom Typ ClickFix machten dem Bericht zufolge knapp die Hälfte der untersuchten KI-Kampagnen aus. Gefälschte Kommandozeilen-Installer, von Any.Run als InstallFix bezeichnet, standen für 27 Prozent der Analysen, klassische ClickFix-Angriffe mit vorgeschalteter gefälschter Download-Seite für 17 Prozent. Angriffsketten, die mit missbrauchten KI-Chats oder bösartigen Artefakten begannen, machten 25 Prozent aus.

“Fake AI und ClickFix hängen eng zusammen”, sagte der Any.Run-Sprecher. In 45 Prozent der Analysen habe der Angreifer das Opfer dazu gebracht, einen Befehl zu kopieren und in die eigene Umgebung einzufügen. Das zeige, wie weitgehend Angreifer KI-Köder bereits mit ClickFix-Techniken kombinierten.

Die Köder bieten typischerweise gefälschte CLI-Installer für verschiedene KI-Werkzeuge an — platziert auf GitHub-Seiten oder in kopierter Dokumentation, die auf vertrauenswürdigen Plattformen wie Cloudflare Pages, GitLab Pages, Google Sites, GitHub oder sogar auf den KI-Plattformen selbst liegt. Zielgruppe sind vor allem Entwickler. Gefälschte Anzeigen und vergiftete Suchergebnisse richten sich dagegen meist an Marketing-Mitarbeiter.

“Wir erwarten, dass gefälschte KI-Köder noch häufiger werden, da laufend neue KI-Werkzeuge erscheinen und das öffentliche Interesse hoch bleibt”, so das Forschungsteam. Nutzer suchten oft nach Installationsanleitungen, ohne zu wissen, welchen Quellen sie trauen könnten — genau das nutzten Angreifer aus.

Die KI-Varianten von InstallFix und ClickFix zielen darauf ab, Entwickler-Arbeitsplätze zu kompromittieren und so an Quellcode, SSH-Schlüssel, CI/CD-Token sowie Cloud- und KI-API-Schlüssel der betroffenen Organisation zu gelangen. “Dieser Ansatz ist gegen Entwickler besonders wirksam, weil die Installation legitimer KI-Coding-Werkzeuge häufig das Ausführen von Terminalbefehlen erfordert”, sagte der Sprecher. Dadurch ließen sich bösartige Anweisungen leichter als normale Installationsschritte tarnen. Marketing-Fachkräfte seien für Angreifer zwar weniger attraktiv, Any.Run warnte aber, dass über solche Angriffe Zugangsdaten für besonders wertvolle Geschäftskonten kompromittiert werden könnten.

LLMshare: Schadcode direkt auf den KI-Plattformen

Neben InstallFix und ClickFix gewinnt nach Angaben von Push Security eine Technik namens “LLMshare” an Bedeutung. Dabei erstellen Angreifer Inhalte auf KI-Plattformen in geteilten Chats, die oft wie Installationsanleitungen oder Service-Updates aussehen und Schadsoftware enthalten; über Malvertising und SEO-Vergiftung wird Traffic auf diese bösartigen Chats gelenkt. Bei geteilten Artefakten gehen die Angreifer ähnlich vor und veröffentlichen die schädlichen Inhalte direkt auf den KI-Plattformen.

“Die jüngsten Varianten mit geteilten Chats, Artefakten und zuletzt auch eigenen GPTs sind besonders fies”, sagte Dan Green, Forscher bei Push Security. Es handle sich um legitime KI-Seiten — die echten Domains von Claude, ChatGPT und anderen —, weshalb Nutzer dort keinen bösartigen Link erwarteten.

LLMshare sei ebenso wirksam wie InstallFix, weil es “ganz normale Interaktionen und Verhaltensweisen im Netz” in der Phase rascher KI-Verbreitung ausnutze, so Green. KI-bezogene InstallFix-Angriffe machen demnach fünf bis zehn Prozent der monatlichen Erkennungen von Push Security aus, mit monatlich steigender Tendenz. “Heute wird jeder ermutigt, KI-Werkzeuge zu nutzen, und viele davon werden ganz legitim über die Kommandozeile installiert”, sagte Green. “Normale Anwender arbeiten dadurch zunehmend wie Entwickler, was es Angreifern leicht macht, sie zu manipulieren.”

Erkennung schwierig, Ansatz bei den Abläufen

Weil viele dieser Angriffe legitime Domains nutzen und teils direkt auf den imitierten KI-Plattformen liegen, ist die Erkennung nach Einschätzung der Any.Run-Forscher schwierig. Ansatzpunkt sei deshalb das Nutzerverhalten: “Jedes Muster in dieser Untersuchung beginnt damit, dass ein Mitarbeiter auf eigene Faust nach einem KI-Werkzeug sucht”, heißt es im Bericht. Empfohlen werden:

  • eine kurze Liste freigegebener KI-Werkzeuge samt offizieller Bezugsquellen (Herstellerseite, winget, Homebrew oder das Paket des Anbieters)
  • Installation über MDM oder das unternehmenseigene Softwareportal
  • Einschränkung der Möglichkeit für Standardnutzer, Befehle einzufügen und auszuführen
  • Schulungen, Installationsbefehle stets gegen die offizielle Herstellerdokumentation zu prüfen statt gegen Links Dritter, Anzeigen oder geteilte Chats