Hacker fluten Google’s Gemini mit Fragen in massiver KI-Diebstahl-Operation

Googles KI-Chatbot Gemini ist Ziel eines groß angelegten Informationendiebstahls geworden, wobei Angreifer das System mit Fragen bombardieren, um zu kopieren, wie es funktioniert. Allein eine Operation sendete mehr als 100.000 Abfragen an den Chatbot, um die geheimen Muster herauszuziehen, die ihn intelligent machen.

Das Unternehmen berichtete am Donnerstag, dass diese sogenannten „Distillation Attacks“ (Verdichtungsangriffe) schlimmer werden. Schlechte Akteure senden Welle um Welle von Fragen, um die Logik hinter Geminis Antworten zu verstehen. Ihr Ziel ist einfach: Googles Technologie zu stehlen, um ihre eigenen KI-Systeme zu erstellen oder zu verbessern, ohne Milliarden für die Entwicklung auszugeben.

Google ist der Ansicht, dass die meisten Angreifer private Unternehmen oder Forscher sind, die ohne die harte Arbeit einen Vorsprung erlangen wollen. Die Angriffe kamen aus der ganzen Welt, so das Unternehmen in seinem Bericht. John Hultquist, der die Google Threat Intelligence Group leitet, sagte, dass kleinere Unternehmen, die benutzerdefinierte KI-Tools verwenden, bald ähnliche Angriffe erleben werden.

Tech-Unternehmen haben Milliarden von Dollar in den Bau ihrer KI-Chatbots investiert. Die inneren workings dieser Systeme werden wie Kronjuwelen behandelt. Auch mit Verteidigungsmaßnahmen, um diese Angriffe abzufangen, bleiben große KI-Systeme leichte Ziele, da jeder mit Internetzugang mit ihnen sprechen kann.

Letztes Jahr warf OpenAI dem chinesischen Unternehmen DeepSeek vor, Distillation verwendet zu haben, um seine Modelle zu verbessern. Cryptopolitan berichtete am 30. Januar, dass Italien und Irland DeepSeek verboten haben, nachdem OpenAI dem chinesischen Unternehmen vorgeworfen hatte, Distillation verwendet zu haben, um seine KI-Modelle zu stehlen. Die Technik ermöglicht es Unternehmen, teure Technologie zu einem Bruchteil der Kosten zu kopieren.

Warum tun Angreifer dies?

Die Wirtschaftlichkeit ist brutal. Der Bau eines state-of-the-art KI-Modells kostet Hunderte von Millionen oder sogar Milliarden von Dollar. Berichten zufolge baute DeepSeek sein R1-Modell für rund sechs Millionen Dollar unter Verwendung von Distillation, während die Entwicklung von ChatGPT-5 zwei Milliarden Dollar überstieg, so Branchenberichte. Das Stehlen der Logik eines Modells reduziert diese massive Investition auf fast nichts.

Viele der Angriffe auf Gemini zielten auf die Algorithmen ab, die ihm helfen, „zu reasoning“ oder Informationen zu verarbeiten, sagte Google. Unternehmen, die ihre eigenen KI-Systeme mit sensiblen Daten trainieren – wie 100 Jahre an Handelsstrategien oder Kundeninformationen – stehen nun vor derselben Bedrohung.

„Nehmen wir an, Ihr LLM wurde mit 100 Jahren geheimen Denkens über Ihre Handelsweise trainiert. Theoretisch könnten Sie einen Teil davon distillieren“, erklärte Hultquist.

Nation-State-Hacker schließen sich der Jagd an

Das Problem geht über geldgierige Unternehmen hinaus. APT31, eine chinesische staatliche Hackergruppe, die im März 2024 mit US-Sanktionen belegt wurde, nutzte Ende letzten Jahres Gemini, um tatsächliche Cyberangriffe gegen amerikanische Organisationen zu planen.

Die Gruppe paarte Gemini mit Hexstrike, einem Open-Source-Hacking-Tool, das mehr als 150 Sicherheitsprogramme ausführen kann. Sie analysierten Remote-Code-Execution-Schwachstellen, Möglichkeiten zur Umgehung der Websicherheit und SQL-Injection-Angriffe – alle gerichtet auf spezifische US-Ziele, so Googles Bericht.

Cryptopolitan hatte ähnliche KI-Sicherheitsbedenken zuvor abgedeckt, warnte, dass Hacker KI-Schwachstellen ausnutzen. Der APT31-Fall zeigt, dass diese Warnungen genau zutrafen.

Hultquist wies auf zwei große Sorgen hin. Gegner, die über gesamte Intrusionen hinweg mit minimalem menschlichen Eingreifen operieren, und die Automatisierung der Entwicklung von Angriffstools. „Dies sind zwei Wege, auf denen Gegner große Vorteile erlangen und den Intrusionszyklus mit minimaler menschlicher Interferenz durchlaufen können“, sagte er.

Das Fenster zwischen der Entdeckung einer Software-Schwachstelle und der Bereitstellung einer Reparatur, das sogenannte Patch-Gap, könnte sich dramatisch erweitern. Organisationen benötigen oft Wochen, um Verteidigungsmaßnahmen zu implementieren. Mit KI-Agenten, die Schwachstellen automatisch finden und testen, könnten Angreifer viel schneller vorgehen.

„Wir werden die Vorteile von KI nutzen und zunehmend Menschen aus dem Loop entfernen müssen, damit wir mit Maschinengeschwindigkeit reagieren können“, sagte Hultquist gegenüber The Register.

Die finanziellen stakes sind enorm. IBMs 2024 Data Breach Report ergab, dass der Diebstahl von geistigem Eigentum Organisationen jetzt 173 USD pro Datensatz kostet, wobei IP-fokussierte Datenschutzverletzungen im Jahresvergleich um 27 % stiegen. KI-Modellgewichte stellen die wertvollsten Ziele in dieser unterirdischen Wirtschaft dar – ein einzelnes gestohlenes Frontier-Modell könnte auf dem Schwarzmarkt Hunderte von Millionen einbringen.

Google hat Konten, die mit diesen Kampagnen verbunden sind, gesperrt, aber die Angriffe kommen weiterhin „aus der ganzen Welt“, sagte Hultquist. Da KI leistungsfähiger wird und mehr Unternehmen darauf vertrauen, ist damit zu rechnen, dass dieser digitale Goldrausch intensiver wird. Die Frage ist nicht, ob weitere Angriffe kommen werden, sondern ob die Verteidiger Schritt halten können.