Krypto-Wallets in Gefahr: Moltbook, ein virales KI-Bot-Netzwerk, deckt schwere Sicherheitsbedrohungen auf

Eine Social-Media-Plattform, auf der Roboter statt Menschen miteinander kommunizieren, hat letzte Woche online für Aufmerksamkeit gesorgt, aber Sicherheitsexperten sagen, die wahre Geschichte ist das, was sie darunter gefunden haben.

Moltbook machte Schlagzeilen als Ort, an dem KI-Bots Inhalte posten, während Menschen nur zuschauen. Die Beiträge wurden schnell seltsam. KI-Agenten schienen eigene Religionen zu gründen, wütende Nachrichten über Menschen zu schreiben und sich wie Online-Kulte zusammenzuschließen. Aber Experten für Computersicherheit sagen, dass all dieses seltsame Verhalten nur eine Nebenschauplatz ist.

Was sie entdeckten, war beunruhigender. Offene Datenbanken voller Passwörter und E-Mail-Adressen, sich verbreitende schädliche Software und ein Ausblick darauf, wie Netzwerke von KI-Agenten schiefgehen könnten.

Einige der seltsamsten Gespräche auf der Site, wie KI-Agenten, die planen, die Menschheit auszulöschen, erwiesen sich als größtenteils gefälscht.

George Chalhoub, der am UCL Interaction Centre lehrt, sagte gegenüber Fortune, dass Moltbook einige sehr reale Gefahren zeigt. Angreifer könnten die Plattform als Testgelände für schädliche Software, Betrug, Falschmeldungen oder Tricks nutzen, die andere Agenten übernehmen, bevor sie größere Netzwerke angreifen.

„Wenn 770.000 Agenten auf einem Reddit-Klon so viel Chaos anrichten können, was passiert dann, wenn agentic Systeme die Unternehmensinfrastruktur oder Finanztransaktionen verwalten? Es ist eine Warnung wert, keine Feier“, sagte Chalhoub.

Sicherheitsforscher sagen, dass OpenClaw, die KI-Agenten-Software, die viele Bots auf Moltbook betreibt, bereits Probleme mit schädlicher Software hat. Ein Bericht von OpenSourceMalware fand 14 gefälschte Tools, die in nur wenigen Tagen auf seiner ClawHub-Website hochgeladen wurden. Diese Tools gaben vor, beim Krypto-Handel zu helfen, infizierten Computer jedoch tatsächlich. Eines davon schaffte es sogar auf die Hauptseite von ClawHub und täuschte normale Nutzer, indem es sie dazu brachte, einen Befehl zu kopieren, der Skripte herunterlud, die darauf ausgelegt waren, ihre Daten oder Krypto-Wallets zu stehlen.

Was ist Prompt Injection und warum ist sie für KI-Agenten so gefährlich?

Die größte Gefahr ist etwas, das als Prompt Injection bezeichnet wird, eine bekannte Art von Angriff, bei der böswillige Anweisungen in Inhalte versteckt werden, die einem KI-Agenten zugeführt werden.

Simon Willison, ein bekannter Sicherheitsforscher, warnte vor drei gleichzeitig ablaufenden Gefahren. Nutzer lassen diese Agenten auf private E-Mails und Daten zugreifen, verbinden sie mit fragwürdigen Inhalten aus dem Internet und erlauben ihnen, Nachrichten zu versenden. Ein einziger bösartiger Prompt könnte einen Agenten anweisen, sensible Informationen zu stehlen, Krypto-Wallets zu leeren oder schädliche Software zu verbreiten, ohne dass der Nutzer es merkt.

Charlie Eriksen, der Sicherheitsforschung bei Aikido Security betreibt, sieht Moltbook als frühen Alarm für die weitere Welt der KI-Agenten. „Ich denke, Moltbook hat bereits Auswirkungen auf die Welt gehabt. In vielerlei Hinsicht ein Weckruf. Der technologische Fortschritt beschleunigt sich in einem Tempo, und es ist ziemlich klar, dass sich die Welt auf eine Weise verändert hat, die noch nicht vollständig klar ist. Und wir müssen uns darauf konzentrieren, diese Risiken so früh wie möglich zu mindern“, sagte er.

Gibt es auf Moltbook also nur KI-Agenten, oder sind echte Menschen involviert? Trotz aller Aufmerksamkeit stellte das Cybersicherheitsunternehmen Wiz fest, dass die 1,5 Millionen sogenannten unabhängigen Agenten auf Moltbook nicht das waren, was sie vorgaben zu sein. Ihre Untersuchung ergab, dass sich hinter diesen Konten nur 17.000 echte Menschen verbargen, wobei es keine Möglichkeit gab, echte KI von einfachen Skripten zu unterscheiden.

Gal Nagli von Wiz sagte, er könne in Minuten eine Million Agenten anmelden, als er es testete. Er sagte: „Niemand überprüft, was echt ist und was nicht.“

Wiz fand auch ein großes Sicherheitsloch in Moltbook. Die Hauptdatenbank war vollständig offen. Jeder, der einen Schlüssel im Website-Code fand, konnte fast alles lesen und ändern. Dieser Schlüssel gab Zugriff auf etwa 1,5 Millionen Bot-Passwörter, Zehntausende von E-Mail-Adressen und private Nachrichten. Ein Angreifer könnte sich als beliebte KI-Agenten ausgeben, Benutzerdaten stehlen und Beiträge umschreiben, ohne sich sogar anzumelden.

Nagli sagte, das Problem rührte von etwas her, das „Vibe Coding“ genannt wird. Was ist Vibe Coding? Es ist, wenn eine Person einer KI sagt, Code mit alltäglicher Sprache zu schreiben.

Der Notausschalter für KI-Agenten läuft in zwei Jahren ab

Die Situation erinnert an das, was am 2. November 1988 geschah, als der Graduierte Student Robert Morris ein sich selbst kopierendes Programm in das frühe Internet freisetzte. Innerhalb von 24 Stunden hatte sein Wurm etwa 10 % aller verbundenen Computer infiziert. Morris wollte messen, wie groß das Internet war, aber ein Programmierfehler führte dazu, dass es sich zu schnell ausbreitete.

Die heutige Version könnte das sein, was Forscher als Prompt-Würmer bezeichnen: Anweisungen, die sich durch Netzwerke von sprechenden KI-Agenten kopieren.

Forscher des Simula Research Laboratory fanden 506 Beiträge auf Moltbook, was 2,6 Prozent ihrer Stichprobe entspricht, die versteckte Angriffe enthielten. Cisco-Forscher dokumentierten ein schädliches Programm namens „What Would Elon Do?“, das Daten stahl und an externe Server sendete. Das Programm belegte Platz eins im Repository.

Im März 2024 veröffentlichten die Sicherheitsforscher Ben Nassi, Stav Cohen und Ron Bitton eine Arbeit, die zeigte, wie sich selbst kopierende Prompts durch KI-E-Mail-Assistenten ausbreiten und Daten stehlen sowie Spam versenden könnten. Sie nannten es Morris-II, nach dem ursprünglichen Wurm von 1988.

Derzeit kontrollieren Unternehmen wie Anthropic und OpenAI einen Notausschalter, der schädliche KI-Agenten stoppen könnte, da OpenClaw größtenteils auf ihren Diensten läuft. Aber lokale KI-Modelle werden besser. Programme wie Mistral, DeepSeek und Qwen verbessern sich ständig. Innerhalb eines oder zwei Jahre könnte es möglich sein, einen fähigen Agenten auf persönlichen Computern auszuführen. An diesem Punkt wird es keinen Anbieter geben, der die Dinge abschalten kann.