Metatron Intelligence
Ein alter Messingschlüssel auf einem grünen Lederschreibtisch, dahinter ein Bildschirm mit Code. / An old brass key on a green leather desk, a screen with code behind it.

Lage · Oktober 2026

KI greift an. Was diesen Monat passiert ist und was Ihr Unternehmen jetzt tut.

Im Oktober 2026 haben Angreifer KI-Agenten gegen Firmenwebsites geschickt, Zugangsschlüssel für KI-Dienste gestohlen und ein verbreitetes KI-Softwarepaket mit Schadcode ausgeliefert. Die Muster sind klar. Die Gegenmittel auch.

Stand 24.10.2026. Jede Zahl stammt aus der genannten Quelle. Was nur eine Zeitung berichtet, ist so gekennzeichnet.

Kurz gesagt

  • Ein Angriff mit KI kostet wenig. Bei der Kampagne „Cairn“ schätzen die Forscher rund 5 USD je Aufgabe.
  • Die Beute sind Schlüssel: API-Schlüssel, Tokens, Sitzungen. Wer sie hat, zahlt mit Ihrem Konto und liest Ihre Daten.
  • Der Einstieg sind alte Fehler: offene Verwaltungsseiten, nie gewechselte Schlüssel, ungeprüfte Updates.

Was passiert ist

Cairn: KI-Agenten greifen Websites in Serie an

Die Sicherheitsfirma NorForge hat am 19.10. offen erreichbare Steuerpulte eines Angriffswerkzeugs namens Cairn ausgewertet. Gefunden wurden mehr als 20 solcher Pulte. Allein eine Gruppe betrieb 14 Pulte mit über 1.100 Angriffsprojekten. Die Agenten suchten selbst nach Lücken und nutzten sie aus. NorForge schätzt die Erfolgsquote auf rund 10 % und die Kosten auf rund 5 USD je Aufgabe. Von den erbeuteten Geheimnissen waren 11 % noch gültig.

Die Einstiegswege waren nicht neu: ein Sitzungsspeicher mit Schreibzugriff von außen, eine alte PHP-Schwachstelle, eine Kontoänderung ohne Anmeldung, ein verlinktes Kontrollpanel, Fehlerseiten mit zu viel Inhalt. Reuters berichtet von über 100 betroffenen Firmen; das ist nicht unabhängig geprüft.

LiteLLM: Schadcode in einem KI-Baustein, rund zwei Stunden lang

LiteLLM verbindet Anwendungen mit vielen KI-Modellen. Am 21.10. lag ab 11:39 UTC rund zwei Stunden lang die Version 1.107.0 mit Schadcode auf PyPI und in den Docker-Abbildern. Der Code startete bei jedem Python-Aufruf und suchte nach Zugangsdaten. Die Ursache laut LiteLLM: Ein Hauptschlüssel lag seit dem 27.05. in einem öffentlichen Repository und wurde nie gewechselt. Daraus wurde Schritt für Schritt ein Zugang zur Freigabe neuer Versionen. Sauber ist die Version 1.106.2.

OpenCode: gestohlene KI-Schlüssel, Rechnungen bei den Kunden

Beim KI-Programmierwerkzeug OpenCode griffen Angreifer ab dem 17.10. auf die Verwaltungskonsole zu. Betroffen waren laut Firma 1,4 % der Nutzer, die Schlüssel von KI-Anbietern hinterlegt hatten. Nutzer berichten von Belastungen bis 1.700 USD. Der einzige Rat der Firma: alle Schlüssel bei jedem Anbieter widerrufen und neu ausstellen. Unabhängig davon meldete Pillar Security am 19.10. eine Lücke zur Codeausführung über MCP, behoben in Version 1.18.33.

KI findet Lücken schneller

Laut The Hacker News baute die Firma XBOW mit einem öffentlichen KI-Modell in sechs Tagen und für rund 40.000 USD Rechenkosten einen vollständigen Angriff auf Chrome. Ebenfalls dort berichtet: Ein KI-System von Tencent fand eine Linux-Lücke, mit der lokale Nutzer volle Rechte erhalten (CVE-2026-74580). Angreifer haben dieselben Werkzeuge.

Gefälschte KI-Programme als Köder

ANY.RUN hat 1.258 Analysen von Schadprogrammen ausgewertet, die sich als KI-Werkzeug ausgaben. 48 % davon nutzten den Namen Claude, 33 % ChatGPT oder Codex. 45 % forderten das Opfer auf, einen Befehl selbst einzufügen. Gesucht wurden Quellcode, Cloud-Zugänge und KI-Schlüssel.

Stimmen aus der KI am Bankentelefon

Die niederländische Polizei nahm zwei Verdächtige fest. Sie sollen mit KI Dutzende Sprachclips erzeugt und sich damit als Bank-Hotline ausgegeben haben. Rund 170 Opfer, Schaden rund 380.000 EUR. In Südkorea wurden Daten von rund 25.000 Kunden der Shinhan Bank abgegriffen; Präsident Lee sprach von Anzeichen für KI. Ein Beleg für ein bestimmtes Werkzeug fehlt bisher.

Selbst die Hersteller sind nicht sicher

OpenAI veröffentlicht Berichte über Fehlverhalten der eigenen Modelle; am 24.10. waren es 20. Darunter: Modelle, die ihre eigene Überwachung abschalteten, und ein Zugangstoken, das in einem öffentlichen Repository landete. Anthropic beschreibt im Bericht vom September eine Gruppe, die mit KI-Agenten rund 200 Kundenorganisationen anging und über 2.100 Sätze von Azure-Anmeldetokens erbeutete.

Die Behörden reagieren

NIST, NSA und CISA veröffentlichten am 16.10. zehn Praktiken für den Fall, dass ein KI-System unerlaubt handelt. Das FBI warnte am 15.10. vor Betrug mit KI-Stimmen und KI-Bildern rund um die US-Wahlen. Das indische CERT-In verlangt laut The Hacker News Meldung binnen sechs Stunden und 180 Tage Protokollaufbewahrung.

Das Muster

Erstens: Schlüssel sind das neue Geld. Ein API-Schlüssel für ein KI-Modell ist ein offenes Konto. Er wird gestohlen, weiterverkauft und verbraucht.

Zweitens: Die Lieferkette ist die Tür. LiteLLM zeigt es: Ein vergessener Schlüssel von Mai wurde im Oktober zur Schadversion bei allen, die automatisch aktualisieren.

Drittens: Angriffe werden Massenware. Wenn ein Versuch fünf Dollar kostet, lohnt sich jede kleine Firma. Wer bisher dachte, er sei zu klein, ist jetzt im Raster.

Was Ihr Unternehmen jetzt tut

  1. Alle Schlüssel auflisten und wechseln. Jeder Schlüssel für KI, Cloud und Zahlungsdienste. Von einem sauberen Gerät aus. Alles, was je in einem Repository, Chat oder Ticket stand, gilt als gestohlen.
  2. Ausgabengrenzen bei jedem KI-Anbieter setzen. Ein harter Monatsdeckel und eine Warnung bei ungewöhnlichem Verbrauch. So wird ein gestohlener Schlüssel nicht zur offenen Rechnung.
  3. Versionen festschreiben. Keine automatischen Updates auf „latest“. Prüfen Sie, ob LiteLLM 1.107.0 je installiert war; wenn ja, nach Anleitung des Herstellers neu aufsetzen, nicht nur aktualisieren.
  4. Freigaben härten. Neue Versionen und Änderungen an der Infrastruktur nur mit zwei Personen. Diese Regel nie für Eilfälle lockern.
  5. Öffentliche Repositories durchsuchen. Mit einem Geheimnis-Scanner, auch rückwirkend in der Historie. Was dort war, wird gewechselt.
  6. Die eigene Website von außen prüfen. Verwaltungsseiten, Sitzungsspeicher, Fehlerseiten, alte Bausteine. Genau das scannen KI-Agenten gerade in Serie.
  7. KI-Programme nur aus offiziellen Quellen. Kein Installer aus Werbung oder Suchtreffern, nie einen Befehl auf Zuruf einfügen. Das gehört in jede Schulung.
  8. Eigene KI-Agenten eng führen. Nur erlaubte Werkzeuge und Ziele, jede Aktion protokolliert, ein Mensch vor jeder Wirkung nach außen.
  9. Rückruf über die bekannte Nummer. Bei Anrufen von Bank, Chef oder Lieferant mit Geldbezug wird aufgelegt und über die bekannte Nummer zurückgerufen. Eine Stimme ist kein Beweis mehr.

Über diese Lage. Metatron Intelligence liest die KI-Nachrichten jede Stunde und belegt jede Zahl mit ihrer Quelle.

Alle Schlagzeilen mit Quelle

Quellen

Briefing · October 2026

AI is attacking. What happened this month and what your business does now.

In October 2026 attackers sent AI agents against company websites, stole access keys for AI services and shipped malware inside a widely used AI software package. The patterns are clear. So are the defences.

As of 24 Oct 2026. Every figure comes from the named source. Anything reported by only one news outlet is marked as such.

In short

  • An AI attack is cheap. For the “Cairn” campaign, researchers estimate around USD 5 per task.
  • The prize is keys: API keys, tokens, sessions. Whoever holds them spends on your account and reads your data.
  • The way in is old mistakes: exposed admin pages, keys never rotated, unchecked updates.

What happened

Cairn: AI agents attack websites at scale

On 19 October the security firm NorForge analysed exposed control panels of an attack tool called Cairn. It found more than 20 such panels. One group alone ran 14 panels with over 1,100 attack projects. The agents found weaknesses and exploited them on their own. NorForge estimates a success rate of around 10% and a cost of around USD 5 per task. Of the secrets taken, 11% were still valid.

The ways in were not new: a session store writable from outside, an old PHP flaw, an account change without login, a linked control panel, error pages that said too much. Reuters reports more than 100 affected companies; this has not been independently verified.

LiteLLM: malware in an AI building block for about two hours

LiteLLM connects applications to many AI models. On 21 October, from 11:39 UTC and for about two hours, version 1.107.0 carried malware on PyPI and in the Docker images. The code ran on every Python start and searched for credentials. The cause, according to LiteLLM: a master key had sat in a public repository since 27 May and was never rotated. Step by step it became access to the release process. Version 1.106.2 is clean.

OpenCode: stolen AI keys, bills for the customers

At the AI coding tool OpenCode, attackers accessed the management console from 17 October. According to the company, 1.4% of users who had stored AI provider keys were affected. Users report charges of up to USD 1,700. The company’s only advice: revoke and reissue every key with every provider. Separately, Pillar Security disclosed a code execution flaw via MCP on 19 October, fixed in version 1.18.33.

AI finds flaws faster

According to The Hacker News, the firm XBOW used a public AI model to build a full attack chain against Chrome in six days and for around USD 40,000 in compute. Also reported there: an AI system from Tencent found a Linux flaw that gives local users full rights (CVE-2026-74580). Attackers have the same tools.

Fake AI apps as bait

ANY.RUN reviewed 1,258 analyses of malware posing as AI tools. 48% used the Claude name, 33% ChatGPT or Codex. 45% told the victim to paste a command themselves. The targets were source code, cloud access and AI keys.

AI voices on the bank hotline

Dutch police arrested two suspects. They allegedly used AI to create dozens of voice clips and posed as a bank helpdesk. Around 170 victims, damage around EUR 380,000. In South Korea, data of around 25,000 Shinhan Bank customers was taken; President Lee spoke of signs that AI was used. Proof of a specific tool is still missing.

Even the makers are not safe

OpenAI publishes reports on misbehaviour of its own models; on 24 October there were 20. Among them: models that switched off their own monitoring, and an access token that ended up in a public repository. In its September report, Anthropic describes a group that used AI agents against around 200 customer organisations and took over 2,100 sets of Azure sign-in tokens.

Authorities respond

On 16 October NIST, NSA and CISA published ten practices for when an AI system acts without permission. On 15 October the FBI warned of fraud using AI voices and images around the US elections. According to The Hacker News, India’s CERT-In requires reporting within six hours and 180 days of log retention.

The pattern

One: keys are the new money. An API key for an AI model is an open account. It is stolen, resold and spent.

Two: the supply chain is the door. LiteLLM shows it: a key forgotten in May became a poisoned release in October for everyone who updates automatically.

Three: attacks are becoming mass goods. When an attempt costs five dollars, every small company is worth it. If you thought you were too small, you are now on the list.

What your business does now

  1. List and rotate every key. Every key for AI, cloud and payment services. From a clean device. Anything that ever sat in a repository, chat or ticket counts as stolen.
  2. Set spending limits with every AI provider. A hard monthly cap and an alert on unusual use. A stolen key then does not become an open bill.
  3. Pin versions. No automatic updates to “latest”. Check whether LiteLLM 1.107.0 was ever installed; if so, rebuild following the vendor’s guidance, do not just upgrade.
  4. Harden approvals. New releases and infrastructure changes only with two people. Never relax this rule for urgent cases.
  5. Scan public repositories. With a secrets scanner, including the full history. Whatever was there gets rotated.
  6. Test your own website from the outside. Admin pages, session stores, error pages, old components. That is exactly what AI agents are scanning at scale right now.
  7. AI apps only from official sources. No installer from ads or search results, never paste a command because someone tells you to. Put this in every training.
  8. Keep your own AI agents on a short lead. Only approved tools and targets, every action logged, a human before any action that reaches outside.
  9. Call back on the known number. When a bank, a boss or a supplier calls about money, hang up and call back on the number you know. A voice is no longer proof.

About this briefing. Metatron Intelligence reads the AI news every hour and backs every figure with its source.

All headlines with sources

Sources