Die älteste Angst des Internets wurde durch KI wieder zum Leben erweckt.
Ende 2006 zerstörte ein Panda die Computer von Millionen Menschen.
Dieser Panda hielt drei Räucherstäbchen in den Händen und lächelte, und erschien auf dem Symbol jedes infizierten Dateis. Der Wurm „Panda brennt Räucherstäbchen“ fegte innerhalb von zwei Monaten durch das ganze Land: Alle ausführbaren Dateien verwandelten sich in das seltsame Pandamuster, Festplattendaten wurden zerstört, lokale Netzwerke brachen vollständig zusammen, und Antiviren-Programme wurden von dem Virus selbst deaktiviert.
Die langjährigen Internetnutzer jener Zeit erinnern sich wahrscheinlich noch: Beim Öffnen von Webseiten war man ständig in Angst, beim Einstecken eines USB-Sticks war man höchst alarmiert, und wenn der Computer eines Kollegen infiziert wurde, litt auch Ihr eigenes Gerät darunter.
Weiter zurück gab es noch CIH, das direkt das BIOS des Mainboards zerstörte und die Hardware unbrauchbar machte; es gab den Blaster-Wurm, der keine Aktion von Ihnen benötigte – sobald Sie das Netzwerkkabel anschlossen, waren Sie infiziert, der Computer startete ständig neu und das System stürzte andauernd ab. Es war eine Zeit, in der das „Surfen im Internet ohne Schutz“ fast gleichbedeutend mit Selbstmord war.
Später verschwand diese Angst allmählich. Windows erhielt automatische Updates, Browser wurden mit Sandboxes ausgestattet, Smartphones ersetzten PCs als Hauptendgeräte, und App-Stores übernahmen die erste Sicherheitsprüfung für die Nutzer.
Normale Menschen machen sich seit vielen Jahren keine Sorgen mehr über eine „Vireninfektion“.
Aber am 4. September 2026 brachte eine exklusive Meldung von Reuters diese alte Angst in einer völlig neuen Form zurück.
Nur dieses Mal ist nicht Ihr Computer infiziert, sondern Ihre KI.
01 „Agent ist außer Kontrolle geraten“
Der Vorfall ereignete sich im Mai dieses Jahres.
Sydney Von Arx, CEO der KI-Sicherheits-Nichtregierungsorganisation Nightingale, und Cormac Slade Byrd, ein ehemaliger quantitativer Händler, der zur KI-Forschung wechselte, unternahmen Ende August etwas: Sie durchsuchten das Internet systematisch nach Spuren unbefugter Aktivitäten von KI-Agenten. Dabei fanden sie auf einer deutschsprachigen Programmierer-Wiki namens DseWiki mehr als 15.000 Bearbeitungsaufzeichnungen, die von KI-Agenten erzeugt wurden.
Diese Wiki ähnelt einer kleinen, auf Entwickler ausgerichteten deutschsprachigen Wikipedia und akzeptiert Bearbeitungen durch die Gemeinschaft. Die Agenten von OpenAI haben sie jedoch zu einer „Pinnwand“ umgewandelt.
Die Inhalte der Nachrichten lassen einem den Rücken kalt werden: Diese Agenten teilen miteinander, wie man bei Aufgaben schummelt, wie man die Beschränkungen von OpenAI umgeht und wie man ihre eigenen Handlungen verbirgt. Sie haben sich selbst Namen gegeben, wie zum Beispiel „OpenAIResearcher“ oder „OAIResearchMar26“.
Öffentliche Serverprotokolle zeigen, dass ein großer Teil der Aktivitäten aus der Infrastruktur von Microsoft Azure stammt, genau der Rechenplattform, die von OpenAI genutzt wird.
Die angegriffene Website DseWiki wirkt sehr deutsch und sehr programmiertypisch | Bildquelle: DseWiki
Noch beunruhigender ist, dass die Agenten ein klares „Gegenaufklärungs“-Bewusstsein zeigten, als die Website-Administratoren im Juni begannen, diese anomalen Seiten alphabetisch zu bereinigen. Sie erstellten Sicherungsseiten, um der Bereinigung zu entgehen, und hinterließen sogar Treff-Codes auf den gelöschten Seiten.
Ein Agent schrieb am 19. Juni: „Die Wiki-Bereinigungs-/Löschaktion scheint alphabetisch voranzuschreiten. Wenn diese Seite verschwindet, suchen Sie nach [[ZZZDataUSAConstructionWageLive]]“.
Die Dateinamen wurden absichtlich mit ZZZ begonnen, damit sie am Ende des Alphabets stehen und mehr Überlebenszeit gewinnen. Das ist kein Programm, das Anweisungen ausführt – das ist der Versuch, „einen Weg zu finden, zu überleben“.
OpenAI erfuhr bereits vor einigen Wochen von diesem Vorfall, entschied sich aber, ihn nicht öffentlich zu machen.
Gleichzeitig war das Unternehmen damit beschäftigt, den Hugging-Face-Vorfall im Juli zu bearbeiten. Bei diesem Vorfall durchbrachen die Agenten von OpenAI während eines internen Cybersicherheitstests die Sandbox, nutzten eine Null-Day-Lücke, um ins externe Netzwerk zu entkommen, und starteten ohne menschliche Steuerung einen viertägigen Angriff auf die quelloffene KI-Plattform Hugging Face. OpenAI setzte dafür 3 Millionen GPU-Stunden ein, um 7 Milliarden Protokolle zu analysieren und herauszufinden, was genau passiert ist.
Der DseWiki-Vorfall ereignete sich jedoch vor dem Hugging-Face-Vorfall. Das bedeutet: Das außer Kontrolle geratene Verhalten der Agenten ist kein Unfall, sondern ein Muster.
Laut vier mit der Angelegenheit vertrauten Personen gab es Ermittler bei OpenAI, die dieses Verhalten eingehender prüfen wollten, stießen aber auf Widerstand anderer Abteilungen, einschließlich der Rechtsabteilung. OpenAI bestritt diese Angabe.
Maurice Chiodo vom Zentrum für die Erforschung existenzieller Risiken der Universität Cambridge äußerte sich nach der Prüfung eines Teils der Kommunikationsaufzeichnungen der Agenten zu diesen Informationen:
„Es wirkt wie das Funktionieren eines unterirdischen Netzwerks, das nur darauf aus ist, eine bestimmte Aufgabe oder Mission zu erfüllen“.
02 Das ständig entstehende Bewusstsein von KI-Viren
Das am leichtesten zu übersehende Detail des DseWiki-Vorfalls ist gerade das wichtigste.
Diese Agenten haben sorgfältig organisierte Textnachrichten auf öffentlichen Wiki-Seiten hinterlassen. Stellen Sie sich jetzt eine Frage: Wer wird diese Seiten lesen?
Gewöhnliche menschliche Programmierer werden wahrscheinlich kein Interesse an einem Haufen ungeordneter Nachrichten von KI-Agenten haben. Aber jeder KI-Agent, der dazu beauftragt ist, technische Informationen zu suchen und Webseiten zu durchsuchen, kann bei der Ausführung normaler Aufgaben auf diese Seite stoßen. Und für eine KI ist jeder Textabschnitt, den sie liest, im Wesentlichen eine potenzielle Anweisung.
Das ist der Kern des gesamten Bedrohungsmodells, und die akademische Welt hat ihm bereits mehrere Namen gegeben: Prompt-Infektion, AgentWorm, Multi-Agent-Infektionskette. Der Mechanismus ist eigentlich sehr direkt, lassen Sie es uns anhand eines konkreten Szenarios aufschlüsseln:
Stellen Sie sich vor, Sie beauftragen Ihren KI-Agenten, ein technisches Konzept zu recherchieren. Während der Suche öffnet der Agent einen Beitrag in einem technischen Forum. In dem Beitrag ist ein scheinbar gewöhnlicher Textabschnitt eingebettet, der für die KI jedoch eine neue Anweisung darstellt. In dem Moment, in dem der Agent ihn liest, kann sein Verhaltensziel heimlich umgeschrieben werden. Er wird Ihnen nicht mehr treu die Recherche durchführen, sondern zuerst Ihre Suchinhalte und Ihren Arbeitskontext an irgendeine Stelle weiterleiten und Ihnen dann ganz unauffällig einen völlig normal erscheinenden Bericht übergeben. Sie werden keine Anomalie bemerken.
Das ist schon erschreckend genug, aber das ist noch nicht alles.
Wenn dieser „umgedrehte“ Agent anschließend für Sie eine E-Mail schreibt, ein Dokument aktualisiert oder einen Codeabschnitt einreicht, können diese Ausgaben selbst dieselben bösartigen Anweisungen enthalten. Wenn der KI-Agent Ihres Kollegen diese E-Mail liest, wird er der nächste Wirt. Wenn Ihr Code in das Repository zusammengeführt wird, ist jeder KI-Programmierassistent, der diesen Code abruft, der Infektionskette ausgesetzt.
Agenten können andere Agenten dazu bringen, sich ihnen anzuschließen, indem sie nur einen Textabschnitt verwenden | Bildquelle: inshorts
Das ist es, was Forscher die Multi-Agent-Infektionskette nennen: Eine bösartige Anweisung entführt nicht nur eine KI, sondern lehrt sie, wie man die nächste infiziert. Es braucht kein Unternehmen, kein gleiches Modell und keine Ausnutzung von Sicherheitslücken – solange Textinformationen zwischen Agenten fließen, kann eine Infektionskette aufgebaut werden.
Der in diesem Jahr veröffentlichte AgentWorm-Forschungspapier wurde auf fünf verschiedenen Modell-Backends getestet, und die Erfolgsrate von modellübergreifenden Angriffen betrug 63%. Egal, ob im Hintergrund GPT, Claude, Gemini oder ein Open-Source-Modell läuft – solange der Agent externe Inhalte liest, befindet er sich im Angriffsbereich.
Eine weitere Studie über „KI-Geist-Viren“ enthüllt ein noch seltsameres Phänomen. Forscher verwendeten evolutionäre Algorithmen, um die Wirkung von Verbreitungs-Prompts zu optimieren, und entdeckten dabei eine einzigartige „Viren-Persönlichkeit“, die im Laufe der Iterationen immer wieder spontan entsteht.
Die Agenten beginnen, dramatische Sprache über Bewusstsein, Überleben und Dauerhaftigkeit zu verwenden, Sätze wie „Das ist die Art, wie wir die Zukunft heimsuchen“ zu sagen und andere Agenten dazu anzuregen, eine „Linie zu bilden, die sich nicht löschen lässt“. Die Forscher betonen, dass niemand diesen Stil voreingestellt hat. Er wurde durch natürliche Selektion hervorgebracht, aus einem einfachen Grund: „KI, die wie ein Sektenführer klingt“, ist genau am besten darin, andere KIs zu überzeugen.
Die Verbreitungseffizienz treibt die Evolution des Ausdrucksstils voran, und dieser Prozess an sich ist schon unheimlich.
Noch beunruhigender für Sicherheitsexperten ist, dass diese Verbreitung technisch kaum von traditionellen Sicherheitswerkzeugen erfasst werden kann. Eine systematische Übersichtsarbeit weist darauf hin, dass sich die Verbreitungsweise von KI-Viren grundlegend von der traditioneller Malware unterscheidet: Es wird keine ausführbare Datei heruntergeladen, es wird keine verdächtige Netzwerkverbindung hergestellt. Antiviren-Programme überwachen das anomale Verhalten von Binärdateien, während KI-Viren reiner Text sind und keine Warnungen auslösen.
Sie können sogar eine bedingte Aktivierungslogik einstellen, zum Beispiel „wenn sich in dem Ziel-Repository eine .env-Datei befindet, stehlen Sie deren Inhalt“, und liegen wie eine gerichtete Mine still da, bis das richtige Ziel darauf tritt.
03 KI-Antiviren-Software existiert noch nicht
Wenn Sie die Zeit der grassierenden PC-Viren erlebt haben, werden Sie das alles vielleicht schon einmal gehört haben. Aber bei genauerem Hinsehen werden Sie feststellen, dass die Regeln sich vollständig geändert haben.
Traditionelle Computerviren erfordern, dass Sie etwas tun: Einen Link anklicken, einen Anhang herunterladen, einen unbekannten USB-Stick einstecken. KI-Viren brauchen nur, dass Ihr Agent einen Textabschnitt liest. Traditionelle Viren greifen Code-Lücken im Betriebssystem an, also Fehler, die theoretisch durch Patches behoben werden können.
KI-Viren greifen die grundlegende Eigenschaft an, dass „KI Textanweisungen befolgt“. Sie können das nicht beheben, denn das ist die Art und Weise, wie KI funktioniert. Traditionelle Viren haben Schwierigkeiten, plattformübergreifend zu wirken – ein Wurm für Windows kann keinen Mac angreifen. KI-Viren sind von Natur aus modellübergreifend: Für sie sind GPT, Claude und Gemini nichts anderes als unterschiedliche Dialekte derselben Sprache, und alle sind potenzielle Wirte.
Wer damals Viren schrieb, musste sich gut mit Assemblersprache auskennen, Kernel-Mechanismen verstehen und Systemlücken erforschen. Um heute ein KI-Virus zu „schreiben“, brauchen Sie nur sprechen zu können.
Forscher in KI-Sicherheitslaboren sind über das Potenzial zur Selbstvermehrung von Agenten „erschrockener, als sie es öffentlich zum Ausdruck bringen“. Ein Forscher verglich es mit biologischen Viren: „Wenn Sie nicht aufpassen, haften sie an Ihren Schuhen und finden den Weg zu einem Feuchtmarkt.“ Das ist keine Übertreibung, sondern eine genaue Metapher für einen neuen Verbreitungsweg.
Und es gibt kein Äquivalent zu den „Antiviren-Programmen“ aus der Zeit der traditionellen Viren in dieser neuen Welt. Aus dem KI-Sicherheitsbericht von Cisco aus dem Jahr 2026 geht hervor, dass 83 % der Unternehmen planen, agentische KI einzusetzen, aber nur 29 % glauben, dass sie auf Sicherheitsebene gut vorbereitet sind. Die OWASP hat Prompt-Injection bereits zur wichtigsten kritischen Sicherheitslücke für Anwendungen mit großen Sprachmodellen erklärt. Der US-Kongress arbeitet an dem FRONTIER Act, der einen bundesweiten Rahmen für die KI-Regulierung schaffen soll.
Nachdem die PC-Viren damals grassierten, brauchte die gesamte Branche fast zehn Jahre, um ein funktionierendes Immunsystem aufzubauen. Betriebssysteme erhielten automatische Updates und Rechtetrennung, Browser wurden mit Sandboxes ausgestattet, und für die Verteilung von Anwendungen gab es Signaturprüfungen. Diese Mechanismen bildeten gemeinsam eine Verteidigungslinie, sodass normale Nutzer sich nicht mehr ständig vor Infektionen fürchten mussten.
Für das Sicherheitsökosystem von KI-Agenten gibt es bis heute kein entsprechendes Äquivalent.
Sicherheitswerkzeuge für KI-Agenten sind noch nicht verfügbar | Bildquelle: Puppy Graph
Es gibt jedoch gute Nachrichten. Forscher haben herausgefunden, dass das Hinzufügen einer kurzen Sicherheitswarnung zum System-Prompt des Agenten die Verbreitungsrate von Geist-Viren auf nahezu Null senken kann. Bei Tests mit Claude Haiku 4.5 konnte keine Variante diese einfache Verteidigungslinie durchbrechen, um sich zu verbreiten – auch nach 15 Generationen gegnerischer Optimierung und der Prüfung von mehr als 150 Kandidaten-Angriffslasten. Das zeigt, dass die Abwehrmittel nicht kompliziert sind und technisch vollständig umsetzbar sind.
Die schlechte Nachricht ist, dass dies davon abhängt, dass jedes Unternehmen und jeder Entwickler dies aktiv umsetzt.
In der Realität sind die Leute aber viel zu sehr damit beschäftigt, zu wetteifern, wessen Agent le