Angriffe auf KI-Systeme richten sich häufig nicht gegen die Modelle selbst, sondern gegen deren technische Umgebung. Das zeigt die aktuelle „State of AI Security“-Studie von TrendAI für das erste Halbjahr 2026. Besonders exponierte MCP-Server, veraltete Software und kompromittierte Entwicklerwerkzeuge schaffen neue Angriffsflächen. Gleichzeitig beschleunigt Künstliche Intelligenz die Ausnutzung bereits bekannter Sicherheitslücken.

Mit dem zunehmenden Einsatz Künstlicher Intelligenz in Unternehmen wachsen auch die Anforderungen an die IT-Sicherheit. Dabei stehen nicht unbedingt die KI-Modelle selbst im Mittelpunkt möglicher Angriffe. Vielmehr entstehen Sicherheitsrisiken durch unzureichend geschützte Schnittstellen, veraltete Softwareversionen und Schwachstellen in der Software-Lieferkette. Zu diesem Ergebnis kommt der aktuelle Bericht „Aftershocks: The Hidden Cost of Speed at Scale — 1H 2026 State of AI Security“ von TrendAI.

Die Untersuchung basiert auf Telemetriedaten aus dem ersten Halbjahr 2026, eigener Schwachstellenforschung, einer Befragung von Teilnehmern des Pwn2Own-Wettbewerbs Berlin 2026 sowie öffentlich dokumentierten Sicherheitsvorfällen. Insgesamt identifizierten die Sicherheitsforscher 43.175 KI-bezogene Diensteinstanzen in 25 Branchen. Darunter befinden sich 1.468 spezialisierte Tools, die ausschließlich innerhalb einer bestimmten Branche eingesetzt werden.

Die Ergebnisse verdeutlichen, dass sich die Angriffsfläche durch den Einsatz unterschiedlicher KI-Anwendungen zunehmend verteilt. Neben bekannten Plattformen geraten insbesondere spezialisierte Lösungen für Rechtsrecherche, Betrugserkennung oder medizinische Dokumentation in den Fokus. Solche Anwendungen werden von bestehenden Governance- und Sicherheitsprogrammen nicht immer vollständig erfasst.

Exponierte MCP-Server gefährden sensible Unternehmensdaten

Eine zentrale Schwachstelle bildet die Infrastruktur, über die KI-Anwendungen mit Unternehmenssystemen kommunizieren. Dazu gehören insbesondere Server auf Basis des Model Context Protocol (MCP). Sie ermöglichen KI-Agenten den Zugriff auf Datenbanken, Dateien und Anwendungen und verfügen damit teilweise über weitreichende Berechtigungen.

TrendAI identifizierte 1.467 öffentlich erreichbare MCP-Server. Auf 70 Hosts war die Funktion execute_sql verfügbar, über die sich Datenbankabfragen ausführen lassen. Mindestens drei Server ermöglichten sogar einen Zugriff auf Patientendaten ohne vorherige Authentifizierung.

Zusätzliche Risiken ergeben sich aus dem Umgang mit Zugangsdaten. Eine Untersuchung von mehr als 19.000 MCP-Server-Quellcodes ergab, dass 48 Prozent der Projekte empfehlen, Zugangsdaten in unsicheren .env-Dateien oder Klartext-Konfigurationen abzulegen.

Auch bei anderen Komponenten der KI-Infrastruktur zeigen sich Defizite. Von 12.461 öffentlich erreichbaren Ollama-Instanzen verwendete lediglich eine Handvoll die aktuellste Softwareversion. Bei der Vektordatenbank Chroma, die bereits bei Pwn2Own-Wettbewerben 2025 und 2026 erfolgreich angegriffen wurde, fanden die Forscher ebenfalls häufig veraltete Installationen.

KI beschleunigt die Ausnutzung bekannter Sicherheitslücken

Die Studie zeigt zudem, wie künstliche Intelligenz die Geschwindigkeit von Cyberangriffen verändert. KI-gestützte Verfahren können die Zeit zwischen der Veröffentlichung einer Schwachstelle und der Entwicklung eines funktionsfähigen Exploits von mehreren Wochen auf wenige Stunden verkürzen.

Beim Pwn2Own-Wettbewerb Berlin 2026 gaben 85 Prozent der befragten Teilnehmer an, selbst Large Language Models (LLMs) für ihre Sicherheitsforschung einzusetzen. Insgesamt wurden bei dem Wettbewerb 47 Zero-Day-Schwachstellen aufgedeckt. Das ausgeschüttete Preisgeld erreichte mit rund 1,3 Millionen US-Dollar einen neuen Rekord.

Gleichzeitig bleiben ältere Sicherheitslücken ein wesentliches Problem. Laut TrendAI richten sich mehr als 70 Prozent der im kriminellen Untergrund nachgefragten Exploits gegen Schwachstellen, die bereits seit über zwei Jahren bekannt sind.

Für Unternehmen bedeutet dies, dass die Priorisierung von Sicherheitsupdates nicht allein vom Alter einer Schwachstelle oder ihrer Bewertung nach dem Common Vulnerability Scoring System (CVSS) abhängen sollte. Auch die Geschwindigkeit, mit der Angreifer vorhandene Schwachstellen ausnutzen können, gewinnt an Bedeutung.

Software-Lieferketten und Entwicklerwerkzeuge als Einfallstor

Neben ungeschützter Infrastruktur untersucht der Bericht mehrere Angriffe auf das Vertrauensverhältnis zwischen Entwicklern, Softwarekomponenten und Plattformen.

So enthielten manipulierte Versionen des KI-Gateways LiteLLM Schadcode, der Zugangsdaten entwenden und eine seitliche Ausbreitung innerhalb von Kubernetes-Umgebungen ermöglichen sollte. Der Angriff wurde laut Bericht aufgrund eines Programmierfehlers in der Schadsoftware entdeckt.

Auch die kompromittierte Visual-Studio-Code-Erweiterung Nx Console wurde zur Verbreitung eines Credential-Stealers genutzt. In einem weiteren Fall erschienen nach einem Verpackungsfehler bei Claude Code innerhalb von 24 Stunden gefälschte GitHub-Repositories. Diese gaben vor, geleakte Dateien bereitzustellen, verbreiteten tatsächlich jedoch Schadsoftware.

Die Beispiele verdeutlichen, dass Angreifer nicht zwangsläufig Schwachstellen in KI-Modellen ausnutzen müssen. Stattdessen können sie über manipulierte Softwarepakete, Entwicklungsumgebungen, Repository-Plattformen oder missbrauchte OAuth-Berechtigungen Zugriff auf Systeme und sensible Informationen erlangen.

KI-Sicherheit erfordert umfassende Kontrolle der Infrastruktur

Aus den Studienergebnissen ergeben sich insbesondere Anforderungen an die Verwaltung und Absicherung der eingesetzten KI-Komponenten. Dazu gehören die vollständige Erfassung aller KI-Dienste, die Überprüfung von Zugriffsrechten und Authentifizierungsverfahren sowie ein konsequentes Patch-Management.

Ebenso wichtig ist die Kontrolle von Software-Abhängigkeiten und Entwicklerwerkzeugen. Unternehmen müssen dabei nicht nur etablierte KI-Plattformen berücksichtigen, sondern auch spezialisierte Anwendungen und die mit ihnen verbundenen Schnittstellen.

Der Bericht macht deutlich, dass viele Risiken im KI-Umfeld auf bereits bekannten Sicherheitsproblemen beruhen. Neu ist vor allem die Geschwindigkeit, mit der sich Schwachstellen identifizieren, ausnutzen und über vernetzte Systeme verbreiten lassen.

Weitere Informationen zu TrendAI finden Sie hier.