Einsatz von Large Language Modellen in aktiven Malware-Kampagnen

Das Auftreten von Malware-Familien wie PROMPTFLUX und PROMPTSTEAL, die LLMs „just-in-time“ nutzen, um bösartigen Code zu erzeugen oder umzuschreiben, ist erschreckend, denn es ist der Übergang zu adaptiven, sich selbst modifizierenden Bedrohungsszenarien. [...]

Kriminelle, die Large Language Models (LLMs) einsetzen, um Code während der Ausführung zu generieren und zu verschleiern, markieren einen entscheidenden Wendepunkt in den Taktiken von Cyberkriminellen. Denn das ist keine experimentelle Forschung, sondern eine Eskalation professioneller Angriffsmethoden. Das Auftreten von Malware-Familien wie PROMPTFLUX und PROMPTSTEAL, die LLMs „just-in-time“ nutzen, um bösartigen Code zu erzeugen oder umzuschreiben, ist erschreckend, denn es ist der Übergang zu adaptiven, sich selbst modifizierenden Bedrohungsszenarien. Durch die fortlaufende Veränderung ihres Verhaltens können diese Schadprogramme traditionelle, signaturbasierte Erkennungsmethoden umgehen und machen sowohl die Zuordnung als auch die Eindämmung von Angriffen erheblich schwieriger. Diese Entwicklung bedeutet, dass Organisationen LLMs sowohl als Werkzeuge für Angreifer als auch als eigene Systeme betrachten müssen, die überwacht und kontrolliert werden müssen.

Aus Sicht der Cybersicherheit ergeben sich daraus mehrere klare Konsequenzen. Abwehrmaßnahmen dürfen nicht mehr nur eine Reaktion auf bekannte Indikatoren sein, sondern müssen sich stärker auf das konzentrieren, was tatsächlich in Echtzeit geschieht. Sicherheitsteams sollten das Verhalten von Skripten überwachen und darauf achten, wann Systeme Verbindungen zu externen KI-Modellen herstellen – denn diese Aktivitäten können sich dynamisch verändern. Starke Identitätskontrollen, eine strikte Segmentierung von Zugriffsrechten und das Prinzip des geringsten Privilegs bleiben entscheidend, um die Bewegungsspielräume eines Angreifers zu begrenzen, falls ein einzelner End Point oder ein Zugang kompromittiert wird.

Auch Incident-Response-Pläne sollten Szenarien mit KI-generiertem Code berücksichtigen, um sicherzustellen, dass ungewöhnliches oder automatisiertes Skriptverhalten schnell isoliert und eingedämmt werden kann. Moderne Verteidigungstools wie KeeperAI können Bedrohungen in Echtzeit überwachen, Alarm schlagen und Gegenmaßnahmen einleiten – und so sofort reagieren, sobald bösartiges Verhalten erkannt wird.

Führungskräfte in Unternehmen sollten diese Entwicklung als Beschleunigung bestehender Cyberrisiken verstehen – nicht als separate Kategorie. Sie erfordert eine gezielte Priorisierung von Investitionen in Erkennungstechnologien, in die Governance von KI-Integrationen sowie in funktionsübergreifende Übungen, die Sicherheits-, Rechts- und Beschaffungsteams einbeziehen, um den Zugriff auf Modelle zu steuern und Missbrauchsrisiken zu minimieren.

* Darren Guccione ist CEO und Co-Founder von Keeper Security.