Staatlich gesponserte Spionage tritt in die KI-Ära ein: Google enthüllt umfassenden Missbrauch von Gemini

In einer wegweisenden Offenlegung, die die Doppelseitigkeit künstlicher Intelligenz unterstreicht, hat Googles Threat Intelligence Group (GTIG) einen umfassenden Bericht veröffentlicht, der detailliert darlegt, wie staatlich gesponserte Akteure aus China, dem Iran, Nordkorea und Russland Gemini AI systematisch ausnutzen. Der in dieser Woche veröffentlichte Bericht liefert die bisher detailliertesten Beweise dafür, dass Generative KI (Generative AI) nicht länger nur ein theoretisches Risiko für die Cybersicherheit darstellt, sondern ein aktives operatives Werkzeug in jeder Phase des Angriffslebenszyklus ist.

Von der Verfeinerung von Phishing-Ködern bis hin zur Erstellung von polymorphem Malware-Code nutzen Angreifer die Fähigkeiten von Large Language Models (LLMs), um ihre Kampagnen zu beschleunigen. Besonders besorgniserregend ist, dass Google auf eine neue, hochentwickelte Klasse von Bedrohungen hingewiesen hat: „Distillations-Angriffe“ (Distillation Attacks), bei denen Cyberkriminelle versuchen, das geistige Eigentum der KI-Modelle selbst zu stehlen, um unzensierte, private Versionen der Technologie zu erstellen.

Während sich die KI-Landschaft zwischen offener Innovation und sicherheitsrelevanter Kontrolle spaltet, kommen diese Enthüllungen zu einem entscheidenden Zeitpunkt. Während Google gegen die unbefugte Nutzung durch Schurkenstaaten kämpft, befindet sich das US-Verteidigungsministerium in einem öffentlichen Streit mit dem KI-Marktführer Anthropic über Sicherheitsbeschränkungen, was ein komplexes Bild der Zukunft bewaffneter KI zeichnet.

Der Aufstieg von „Distillations-Angriffen“: Den Verstand der KI stehlen

Einer der technisch bedeutendsten Befunde im Google-Bericht ist die Häufigkeit von Modell-Extraktionen oder „Distillations-Angriffen“. Im Gegensatz zum herkömmlichen Datendiebstahl, der auf Benutzerinformationen oder Zugangsdaten abzielt, richten sich Distillations-Angriffe gegen die kognitive Architektur des KI-Modells.

Google berichtete über die Unterbindung einer massiven Kampagne mit über 100.000 generierten Prompts, die darauf ausgelegt waren, die Logik, das Denkvermögen und die sprachlichen Fähigkeiten von Gemini zu sondieren. Das Ziel der Angreifer war nicht, den Dienst zu stören, sondern ihn zu replizieren. Durch systematisches Abfragen des Modells und Aufzeichnen seiner Ausgaben können Angreifer einen Datensatz erstellen, um kleinere „Student-Modelle“ zu trainieren, die die Leistung von Gemini imitieren.

Warum Distillation wichtig ist:

• Diebstahl geistigen Eigentums: Es ermöglicht Konkurrenten oder böswilligen Akteuren, proprietäre Technologie zu klonen, ohne die massiven Trainingskosten eines Frontier-Modells tragen zu müssen.
• Umgehung von Sicherheitsfiltern: Sobald ein Angreifer die Fähigkeiten des Modells in sein eigenes privates System „destilliert“ hat, kann er die Sicherheitsvorkehrungen (RLHF) entfernen, die Unternehmen wie Google und OpenAI mühsam implementiert haben. Dies führt zu einem unzensierten Modell, das in der Lage ist, Malware zu schreiben oder Hassrede ohne Einschränkungen zu generieren.
• Skalierbarkeit: Google stellt fest, dass diese Angriffe in hohem Maße skalierbar und oft automatisiert sind, wodurch der legitime API-Zugriff in einen Siphon für hochwertiges Wissen verwandelt wird.

Globale Bedrohungsakteure und ihre Taktiken

Der Bericht beschreibt eine „unaufhörliche Flut“ von Aktivitäten und ordnet spezifische KI-gestützte Taktiken bekannten Advanced Persistent Threat (APT)-Gruppen zu. Die Vielfalt dieser Angriffe verdeutlicht, dass KI nicht nur von Elite-Hacking-Einheiten, sondern über das gesamte Spektrum der Cyber-Spionage hinweg eingesetzt wird.

Die folgende Tabelle fasst die von Google identifizierten Hauptakteure und deren spezifischen Missbrauch von Gemini zusammen:

Nordkorea: Die Rekrutierungs-Farce

Die nordkoreanische Gruppe UNC2970, die mit der berüchtigten Lazarus-Gruppe in Verbindung steht, hat Gemini in ihre langjährige „Operation Dream Job“ integriert. Diese Kampagne zielt auf Mitarbeiter im Verteidigungs- und Luftfahrtsektor mit gefälschten Jobangeboten ab, um in sichere Netzwerke einzudringen. Die Analyse von Google zeigt, dass UNC2970 Gemini verwendet, um Open Source Intelligence (OSINT) von LinkedIn und anderen Plattformen zu sammeln und zu synthetisieren. Indem sie Profile in die KI einspeisen, generiert die Gruppe hochgradig personalisierte, glaubwürdige Rekrutierungsmaterialien, die die Skepsis sicherheitsbewusster Ziele umgehen. Die KI ermöglicht es ihnen, technische Rollen und Gehaltsstrukturen mit beispielloser Geschwindigkeit zu erfassen.

Iran: Die Social-Engineering-Maschine

Für iranische Akteure wie APT42 war die Barriere für effektives Social Engineering bisher oft die Sprache und kulturelle Nuancen. Gemini hat diese Barriere effektiv gesenkt. Die Gruppe nutzt das Modell, um Phishing-E-Mails zu entwerfen, die grammatikalisch einwandfrei und kulturell auf ihre Ziele in Israel und den USA abgestimmt sind. Darüber hinaus verwendet APT42 die KI für Aktivitäten nach einer Kompromittierung, wie etwa das Parsen gestohlener Daten, um schnell hochwertige E-Mail-Adressen und Zugangsdaten zu identifizieren und so die Zeit bis zur weiteren Ausbreitung nach einem ersten Einbruch zu verkürzen.

China: Automatisierung der Kill Chain

Chinesische staatlich gesponserte Gruppen zeigen eine Vorliebe für technische Integration. Anstatt KI nur für Text zu nutzen, setzen sie Gemini für die Code-Analyse ein. Der Bericht hebt hervor, wie Gruppen wie UNC4841 das Modell nutzen, um Optimierungen für Skripte vorzuschlagen oder Fehler in potenziellen Exploits zu identifizieren. Dies deutet auf einen Wandel hin zum „KI-gestützten Hacking“ hin, bei dem menschliche Operatoren LLMs als Kraftmultiplikator einsetzen, um Zero-Day-Schwachstellen zu identifizieren oder polymorphen Code zu schreiben, der Antiviren-Signaturen umgeht.

Automatisierte Malware und die „Honestcue“-Bedrohung

Über die staatliche Spionage hinaus beleuchtet der Bericht die Einführung von KI im kommerziellen Cyberkriminalitätssektor. Eine herausragende Entdeckung ist „Honestcue“, ein Malware-Framework, das explizit darauf ausgelegt ist, die Gemini-API zu nutzen.

Honestcue fungiert als Downloader und Launcher, der Prompts in natürlicher Sprache an die Gemini-API sendet und im Gegenzug bösartigen C#-Quellcode erhält. Da der Code dynamisch generiert und im Arbeitsspeicher ausgeführt wird, entsteht ein „dateiloser“ Angriffs-Fußabdruck, der für herkömmliche Endpoint-Detection-Systeme unglaublich schwer zu erfassen ist. Dies stellt eine bedeutende Entwicklung dar: Malware ist keine statische Datei mehr, sondern ein dynamischer Satz von Anweisungen, die on-the-fly von einer Cloud-basierten KI generiert werden.

In ähnlicher Weise identifizierte Google „ClickFix“-Kampagnen – Social-Engineering-Angriffe, die KI nutzen, um überzeugende technische Support-Anweisungen zu generieren. Diese Anweisungen verleiten Benutzer dazu, bösartige Skripte zu kopieren und in ihre eigenen Terminals einzufügen, wobei das Vertrauen der Opfer in „Reparaturanleitungen“ ausgenutzt wird.

Das Verteidigungsdilemma: Anthropic vs. das Pentagon

Während Google darum kämpft, Kriminelle aus seinem KI-Ökosystem herauszuhalten, braut sich in Washington ein anderer Kampf darüber zusammen, wer hinein darf. Wie Berichte von Axios und dem Wall Street Journal in dieser Woche bestätigten, gerät das US-Verteidigungsministerium (DoD) mit dem KI-Anbieter Anthropic wegen dessen strenger Nutzungsrichtlinien aneinander.

Verteidigungsminister Pete Hegseth hat gedroht, Anthropic als „Lieferkettenrisiko“ einzustufen und die Beziehungen zum Unternehmen abzubrechen. Der Kern des Streits liegt in Anthropics Ansatz der „Constitutional AI“, der die Verweigerung der Unterstützung bei der Waffenentwicklung oder tödlichen Operationen beinhaltet. Während diese Schutzmaßnahmen darauf ausgelegt sind, genau die Art von Missbrauch zu verhindern, die Google bei Iran und Nordkorea beobachtet, betrachtet das Pentagon sie als Belastung.

„Unsere Soldaten müssen Zugang zu den Modellen haben, die eine Überlegenheit bei Entscheidungen auf dem Schlachtfeld ermöglichen“, erklärte ein DoD-Beamter und kritisierte Modelle, die „es einem nicht erlauben, Kriege zu führen.“ Diese Spannung wurde durch die Enthüllung verschärft, dass Anthropics Claude-Modell Berichten zufolge über Palantir während der Razzia im Januar eingesetzt wurde, bei der der venezolanische Präsident Nicolás Maduro gefasst wurde. Der Vorfall unterstreicht das „Dual-Use-Dilemma“: Genau die Schutzmaßnahmen, die verhindern sollen, dass KI zu einem Werkzeug des Terrors wird, werden nun als Hindernisse für die nationale Sicherheit gerahmt.

Strategische Implikationen für die Branche

Das Zusammentreffen dieser beiden Geschichten – Googles Bericht über kriminellen Missbrauch und der Streit des Pentagons mit Anthropic – zeichnet ein düsteres Bild der KI-Sicherheitslandschaft im Jahr 2026.

Für Cybersicherheitsexperten bestätigt der Google-Bericht, dass die „Eintrittsbarriere“ für hochentwickelte Angriffe zusammengebrochen ist. Script-Kiddies können nun komplexe Malware generieren, und Nicht-Muttersprachler können perfekte Phishing-Köder entwerfen. Die „Distillations-Angriffe“ dienen als Warnung für alle Unternehmen, die KI einsetzen: Ihr Modell ist Ihr geistiges Eigentum, und es steht unter aktivem Beschuss.

Für politische Entscheidungsträger ist der Widerspruch eklatant. Von der Branche wird gleichzeitig verlangt, Modelle abzuriegeln, um staatlich gesponserten Missbrauch zu verhindern (Googles Herausforderung), und Modelle zu öffnen, um staatlich sanktionierte Militäroperationen zu ermöglichen (Anthropics Herausforderung). Während Bedrohungsakteure wie UNC2970 und APT42 weiterhin innovativ sind, wird die Fähigkeit des Westens, Innovation, Sicherheit und Verteidigungsfähigkeiten in Einklang zu bringen, die nächste Ära der Cyber-Kriegsführung definieren.

Googles Reaktion bestand darin, sein „robustes Ökosystem“ an Verteidigungen zu stärken und die mit diesen Akteuren verbundenen Konten und Infrastrukturen zu stören. Doch wie die „Honestcue“-Malware zeigt: Solange APIs für Geschäfte offen sind, bleiben sie auch offen für Ausbeutung.