Künstliche Intelligenz ist aus dem beruflichen Alltag nicht mehr wegzudenken – genau diese Selbstverständlichkeit machen sich Angreifer zunehmend zunutze. Statt KI-Unternehmen oder -Modelle direkt anzugreifen, missbrauchen sie vertraute KI-Plattformen als Verteilungswege für Malware-Kampagnen. Das Huntress Security Operations Center (SOC) hat in den vergangenen neun Monaten dokumentiert, wie Bedrohungsakteure geteilte KI-Inhalte, öffentliche Mini-Apps und gesponserte Suchplatzierungen nutzen, um gezielt Angriffe gegen KI-Nutzer zu führen.
Angreifer missbrauchen vertraute KI-Plattformen für Malware-Kampagnen
Das größte alltägliche Risiko geht nicht von Attacken auf die KI-Modelle selbst aus, sondern von der Zweckentfremdung der Funktionen, die Nutzer bereits kennen und denen sie vertrauen. Die Angreifer müssen kein Sicherheitsleck überwinden – sie nutzen die offizielle Infrastruktur der Plattformen als Teil ihrer Angriffskette. Die Folge ist eine Form der Malware-Verbreitung, die bei klassischen Sicherheitslösungen häufig unter dem Radar bleibt.
Welche legitimen KI-Funktionen werden zweckentfremdet?
Das Huntress SOC hat beobachtet, dass Bedrohungsakteure mehrere echte Funktionen großer KI-Plattformen für ihre Kampagnen verwenden:
- Claude Artifacts: Inhalte, die Claude generiert und in einer Chat-Vorschau anzeigt. Nutzer können sie veröffentlichen und über einen öffentlichen Link teilen.
- claude.ai/share-Links: Teilbare URLs, die entstehen, wenn eine Claude-Konversation veröffentlicht wird. Werden sie in öffentlich zugänglichen Bereichen wie Foren oder sozialen Netzwerken gepostet, können Suchmaschinen sie indexieren.
- ChatGPT- und Grok-Konversationen: Geteilte, indexierbare Unterhaltungen auf chatgpt.com und grok.com, die bei typischen Fehlersuchen in den Suchergebnissen weit oben erscheinen können.
Alle diese Funktionen liegen innerhalb einer Vertrauensgrenze: Nutzer erkennen die Plattform, das Design und die umgebenden Inhalte wieder. Anweisungen oder Downloads aus diesem Umfeld wirken dadurch legitim, auch wenn sie von Angreifern präpariert wurden. Die Kampagnen sind häufig nur wenige Stunden oder Tage aktiv, bevor der Plattformbetreiber die Inhalte entfernt – diese Zeit reicht jedoch aus, um eine Vielzahl von Opfern zu täuschen.
FakeAgent: Malware-Verteilung über ein Claude Artifact
Im Juli verzeichnete das Huntress SOC eine Kampagne namens FakeAgent, die mehr als 29 Organisationen traf. Ausgangspunkt war ein schädliches Claude Artifact, das auf der echten Domain claude.ai gehostet wurde. Öffentliche Artifacts sind für einfache Demos gedacht und werden von Anthropic nur minimal geprüft; eine allgemeine Haftungsausschluss-Kennzeichnung ist der einzige Schutz. Die Angreifer nutzten diese Lücke, um eine täuschend echte Download-Seite für die Claude-Desktop-App zu erstellen.
Opfer, die bei Bing nach der Desktop-Anwendung von Claude suchten, landeten über die Suchergebnisse auf der gefälschten Seite. Der vermeintliche Download-Link führte jedoch nicht zum offiziellen Installationspaket, sondern leitete auf eine externe Domain weiter, die den Fernzugriffstrojaner SectopRAT auslieferte. Huntress meldete das Artifact der Plattform, woraufhin Anthropic es bis zum 22. Juli entfernte. Vorfälle, die mit derselben Weiterleitungsdomain in Verbindung standen, traten jedoch noch bis in den August hinein auf.
Gefälschte Installationsanleitung über claude.ai/share
Ein zweiter Vorfall zeigt, wie Angreifer geteilte Konversationen für gezielte Malware-Verteilung missbrauchen. Ein Opfer suchte bei Google nach „Claude on Mac“ und klickte auf ein gesponsertes Suchergebnis. Dieses führte auf einen claude.ai/share-Link, der als offizielle Apple-Support-Anleitung gestaltet war. Da die Seite auf einer echten Anthropic-Domain lag, fehlten die üblichen Warnsignale: keine nachgebaute URL, kein Zertifikatshinweis, keine verdächtige Absenderadresse.
Die gefälschte Anleitung wies das Opfer an, einen curl-Befehl in das Terminal einzufügen. Dadurch wurde eine sechsstufige Angriffskette ausgelöst, die den MacSync-Stealer installierte. Die Schadsoftware sammelte Cookies, Zugangsdaten, Schlüsselbunddaten, Telegram-Sitzungen sowie SSH- und Cloud-Schlüssel – also praktisch den gesamten digitalen Identitätsbestand eines betroffenen Systems.
KI-Vergiftung: Manipulierte Ratschläge auf ChatGPT und Grok
Die dritte Variante zielt auf KI-generierte Fehlerbehebung. Im Dezember führte die Suche nach „Speicherplatz auf macOS freigeben“ zu ChatGPT- und Grok-Konversationen, die in den Suchergebnissen weit oben erschienen. Statt technisch korrekter Lösungen enthielten sie Anweisungen im ClickFix-Stil. Bei dieser Methode werden Nutzer aufgefordert, einen Befehl in die Zwischenablage zu kopieren und im Terminal oder in der Windows-Ausführen-Box auszuführen, wodurch die Schadsoftware auf dem System landet.
Die Angreifer hatten die Konversationen präpariert, über die Teilen-Funktion eine öffentliche URL auf den vertrauenswürdigen Domains erzeugt und die Links per SEO-Vergiftung an die Spitze der Google-Ergebnisse gebracht. Da die URLs auf chatgpt.com und grok.com lagen, behandelten die Opfer die Empfehlungen als vertrauenswürdig. Die ausgeführten Terminal-Befehle führten zur Installation des AMOS-Stealers, der sensible Daten abgriff und an die Angreifer übertrug.
Was Sicherheitsteams jetzt tun sollten
Keine dieser Attacken hat die Sicherheitsmechanismen der KI-Plattformen selbst überwunden. Die Angreifer nutzen das Vertrauen, das Nutzer in bekannte Marken und echte Domains haben. Für Unternehmen bedeutet das: KI-gestützte Arbeitsabläufe sind inzwischen eine eigene Angriffsfläche, die über die bloße Modellnutzung hinausgeht.
Um sich gegen solche Kampagnen zu schützen, sollten Sicherheitsverantwortliche folgende Maßnahmen umsetzen:
- Das Ausführen von Skripten aus der Zwischenablage blockieren, um ClickFix- und Terminal-basierte Angriffe zu erschweren.
- Application Allowlisting einführen, damit nur freigegebene Anwendungen ausgeführt werden können.
- Neue geplante Aufgaben und Änderungen an Antivirus-Ausschlüssen kontinuierlich überwachen.
- Mitarbeiter für ClickFix-Köder und gefälschte Support-Anleitungen sensibilisieren.
- Verdächtige KI-Inhalte wie Artifacts oder geteilte Konversationen unmittelbar an den Plattformbetreiber melden.
Diese Kampagnen sind kurzlebig, aber ihr Schadenspotenzial ist hoch. Durch schnelle Meldungen und mehrschichtige Kontrollen lässt sich das Zeitfenster, das Angreifern für die Verbreitung zur Verfügung steht, deutlich verkleinern. Entscheidend ist, dass Mitarbeiter KI-Plattformen nicht mehr als automatisch sicher betrachten, sondern als Teil der digitalen Angriffsfläche eines Unternehmens.
Die beobachteten Fälle zeigen, wie Angreifer das Vertrauen in KI-Plattformen systematisch in Malware-Distribution übersetzen. Solange geteilte KI-Inhalte von Suchmaschinen indexiert werden und bei Nutzern als vertrauenswürdig gelten, werden sich diese Muster weiterentwickeln. Sicherheitsteams sollten daher nicht nur die Modelle selbst betrachten, sondern auch die scheinbar harmlosen Funktionen rund um sie – von Teilen-Schaltflächen bis zur Auffindbarkeit über Suchanfragen.
