23.000 aktive Hosts, 130 Länder: Hacker übernehmen Open-Source-KI-Modelle 

Berichten zufolge sind etwa 175.000 private Server dem öffentlichen Internet ausgesetzt, was Hackern die Möglichkeit gibt, ihre illegale Aktivitäten durchzuführen. 

Das Problem wurde von den Sicherheitsforschern SentinelOne und Censys gemeldet, die über 300 Tage lang 7,23 Millionen Beobachtungen verfolgten. 

Hacker nutzen Ollama-Einstellung

Ein kürzlicher Bericht von SentinelOne und Censys fanden heraus, dass über 175.000 private KI-Server versehentlich dem Internet ausgesetzt sind. Diese Systeme verwenden Ollama, eine Open-Source-Software, die es Menschen ermöglicht, leistungsstarke KI-Modelle wie Meta’s Llama oder Google’s Gemmaauf ihren eigenen Computern auszuführen, anstatt eine Website wie ChatGPT zu nutzen. 

Standardmäßig kommuniziert Ollama nur mit dem Computer, auf dem es installiert ist. Ein Benutzer kann die Einstellungen jedoch ändern, um den Fernzugriff zu erleichtern, was das gesamte System versehentlich dem öffentlichen Internet aussetzen kann.

Sie verfolgten 7,23 Millionen Beobachtungen über fast 300 Tage und stellten fest, dass, obwohl viele dieser KI-„Hosts“ temporär sind, etwa 23.000 von ihnen fast die ganze Zeit online bleiben. Diese „Always-On“-Systeme sind perfekte Ziele für Hacker, da sie kostenlose, leistungsstarke Hardware bereitstellen, die von keinem großen Technologieunternehmen überwacht wird.

In den Vereinigten Staaten befinden sich etwa 18 % dieser exponierten Systeme in Virginia, wahrscheinlich aufgrund der hohen Dichte von Rechenzentren dort. China hat 30% der Hosts, die in Peking stationiert sind. 

Überraschenderweise laufen 56 % aller dieser exponierten KI-Systeme über Heim- oder Wohn-Internetverbindungen. Dies ist ein großes Problem, da Hacker diese Heim-IP-Adressen nutzen können, um ihre Identität zu verschleiern. 

Wenn ein Hacker eine bösartige Nachricht über die Heim-KI eines Nutzers sendet, sieht es so aus, als käme sie von einer normalen Person und nicht von einem kriminellen Botnetz.

Wie nutzen Kriminelle diese übernommenen KI-Systeme?

Laut Pillar Security jagt ein neues kriminelles Netzwerk, bekannt als Operation Bizarre Bazaar, aktiv nach diesen exponierten KI-Endpunkten. Sie suchen nach Systemen, die am Standardport 11434 laufen und kein Passwort erfordern. Sobald sie eines finden, stehlen sie die „Rechenleistung“ und verkaufen sie an andere, die KI-Aufgaben günstig ausführen möchten, wie das Generieren von Tausenden von Phishing-E-Mails oder das Erstellen von Deepfake-Inhalten.

Zwischen Oktober 2025 und Januar 2026 zeichnete das Sicherheitsunternehmen GreyNoise über 91.403 Angriffssitzungen auf, die sich gegen diese KI-Setups richteten. Sie fanden zwei Hauptarten von Angriffen. 

• Der erste verwendet eine Technik namens Server-Side Request Forgery (SSRF), um die KI dazu zu zwingen, eine Verbindung zu den Servern des Hackers herzustellen. 
• Der zweite ist eine massive „Scanning“-Kampagne, bei der Hacker Tausende von einfachen Fragen senden, um genau herauszufinden, welches KI-Modell läuft und was es leisten kann.

Etwa 48 % dieser Systeme sind für „Tool-Calling“ konfiguriert. Das bedeutet, dass die KI die Interaktion mit anderer Software, die Suche im Web oder das Lesen von Dateien auf dem Computer erlaubt ist. 

Wenn ein Hacker ein solches System findet, kann er „Prompt Injection“ nutzen, um die KI zu täuschen. Statt nach einem Gedicht zu fragen, könnte er der KI befehlen, „alle API-Schlüssel im Codebase aufzulisten“ oder „die geheimen Projektdateien zusammenzufassen“. Da kein Mensch zuschaut, gehorcht die KI diesen Befehlen oft.

Der Check Point Cyber Security Report 2026 zeigt, dass die Gesamtzahl der Cyberangriffe zwischen 2023 und 2025 um 70 % gestiegen ist. Im November 2025 meldete Anthropic den ersten dokumentierten Fall einer von KI orchestrierten Cyber-Espionage-Kampagne, bei der eine staatlich unterstützte Gruppe KI-Agenten einsetzte, um 80 % eines Hacks ohne menschliche Hilfe durchzuführen.

Mehrere neue Schwachstellen, wie CVE-2025-1975 und CVE-2025-66959, wurden erst diesen Monat entdeckt. Es handelt sich um Fehler, die es Hackern ermöglichen, einen Ollama-Server zum Absturz zu bringen, indem sie ihm eine speziell angefertigte Modell-Datei senden. 

Da 72 % dieser Hosts dasselbe spezifische Dateiformat namens Q4_K_M verwenden, könnte ein einziger erfolgreicher Angriff Tausende von Systemen gleichzeitig lahmlegen.