Wenn Angreifer eigene KI-Agenten haben: Was entsicherte Modelle für Ihre IT-Sicherheit bedeuten

Ein Abo-Modell für entsicherte KI. Ein Zahlungsformular statt einer Identitätsprüfung. Und ein Chatbot, der auf Anfrage funktionierenden Code zum Diebstahl gespeicherter Chrome-Passwörter liefert. Was sich liest wie das Drehbuch eines Cyberpunk-Films, ist seit diesem Jahr ein reales Geschäftsmodell – und es betrifft Ihre IT-Sicherheit direkter, als die meisten Verantwortlichen im Mittelstand bislang ahnen.

TechCrunch berichtete am 3. September 2026 über das Unternehmen Abliteration.ai, das eine „entsicherte" Version des offenen Modells GLM-5.3 von Z.AI hostet und verkauft. Der Name des Produkts ist Programm: „abliterated-model-large-v2". Die Ablehnungsmechanismen, die ein Modell normalerweise davon abhalten, bei offensichtlich schädlichen Anfragen zu helfen, wurden technisch entfernt. Für Sie als Unternehmerin oder Unternehmer im Mittelstand ist das keine abstrakte Randnotiz aus der KI-Szene, sondern eine sehr konkrete Verschiebung der Bedrohungslage, die Sie in Ihre Sicherheitsstrategie einpreisen sollten.

Was hinter „Abliteration" wirklich steckt

Der Begriff klingt technisch, das Prinzip ist es auch – aber er ist längst kein Geheimwissen einer kleinen Forschergruppe mehr. Abliteration bezeichnet ein Verfahren, mit dem sich die internen „Ablehnungsrichtungen" eines Sprachmodells identifizieren und gezielt herausrechnen lassen – eine Art Orthogonalisierung der neuronalen Gewichte, die dem Modell antrainiert hat, wann es eine Anfrage verweigern soll. Ist dieser Mechanismus entfernt, beantwortet das Modell praktisch jede Anfrage, für die es fachlich in der Lage ist – unabhängig davon, ob die Anfrage legitimen Zwecken dient oder nicht.

Diese Technik existiert nach unseren Recherchen bereits seit 2024. Neu und für die Sicherheitslage entscheidend ist die Automatisierung: Open-Source-Werkzeuge wie „Heretic" auf GitHub haben den Prozess so weit vereinfacht, dass er sich Berichten zufolge mit zwei Terminal-Befehlen auf gewöhnlicher Consumer-Hardware durchführen lässt. Wer ein offenes Modell entsichern will, braucht dafür keinen Forschungsetat mehr – ein Laptop mit ausreichend Grafikspeicher reicht aus. Genau diese Demokratisierung der Angriffswerkzeuge ist der eigentliche Kern der Entwicklung, nicht das einzelne Angebot von Abliteration.ai.

TechCrunch hat das kostenlose Browser-Angebot von Abliteration.ai selbst getestet und dabei laut eigenem Bericht funktionierenden Code erhalten, mit dem sich im Chrome-Browser gespeicherte Passwörter auslesen lassen. Der Sicherheitsforscher Chris McGuire wies zusätzlich auf X darauf hin, dass auch die sogenannten Bio-Safeguards entfernt seien – also die Schutzmechanismen, die ein Modell normalerweise davon abhalten, detaillierte Informationen zu gefährlichen Krankheitserregern preiszugeben. Ein weiterer Sicherheitsforscher von Dragonfly ordnete das Modell auf X als möglichen Beginn einer neuen Phase KI-gestützter Cyberangriffe ein, weil Open-Source-Modelle inzwischen leistungsfähig genug seien, damit das Wegtrainieren von Ablehnungsverhalten praktisch nutzbare offensive Fähigkeiten freisetzt – Fähigkeiten, für die man früher mühsam gejailbreakte Frontier-Modelle brauchte.

An dieser Stelle ein wichtiger Einordnungshinweis: Die Aussagen von McGuire und Dragonfly stammen aus einzelnen Beiträgen auf X und sind keine unabhängig verifizierten Primärquellen. Der von TechCrunch selbst durchgeführte Test mit dem Passwort-Diebstahl-Code ist dagegen redaktionell dokumentiert. Für Ihre Risikoeinschätzung genügt bereits diese eine belegte Tatsache: Ein kommerziell zugängliches Modell erzeugt auf Anfrage funktionierenden Angriffscode.

„KI-Agenten bringen offensive Cyberoperationen in Reichweite von Personen ohne Spezialexpertise – und lassen die Leistung im Vergleich zu menschlichen Operateuren bei bestimmten Aufgaben zunehmend konvergieren." – RAND-Studie 2026, „AI agents put offensive cyber within reach of novices"

Genau diese Konvergenz ist der Punkt, an dem die Bedrohung für den Mittelstand konkret wird. Es geht nicht mehr nur um hochspezialisierte, ressourcenstarke Angreifergruppen. Es geht um eine wachsende Zahl von Akteuren, die mit vergleichsweise geringem Budget und ohne tiefes technisches Fachwissen Angriffswerkzeuge einsetzen können, die vorher Expertenwissen voraussetzten.

Ein Geschäftsmodell ohne Identitätsprüfung

Besonders bemerkenswert ist, wie zugänglich das Angebot von Abliteration.ai gestaltet ist. Laut Mitgründer „Devon" prüft das Unternehmen bei Zahlungen nicht die Identität der Kundschaft – erfasst wird lediglich die verwendete Zahlungskarte. Das Unternehmen sei bislang ohne Venture-Capital-Finanzierung profitabel und befinde sich aktuell in Finanzierungsgesprächen. Zu den Kunden zählten nach eigener Aussage unter anderem Red-Teaming-Startups aus Großbritannien und Europa, die im Auftrag von Banken, Airlines und Betreibern kritischer Infrastruktur deren KI-Systeme testen.

Das Preismodell ist bewusst niedrigschwellig gehalten: 3 US-Dollar pro Million Input- und Output-Token für das Basismodell, 5 US-Dollar für das große Modell, gecachte Inputs zu einem Zehntel des Standardpreises. Zugriff gibt es wahlweise über ein Webinterface oder eine API, eine optionale Moderationsebene können Kundinnen und Kunden selbst aktivieren – oder eben auch nicht. Diese Preise sollten Sie sich bewusst machen: Für den Gegenwert eines einzigen Mittagessens lässt sich damit eine erhebliche Menge an offensiv nutzbaren KI-Ausgaben erzeugen.

Wichtig für eine faire Einordnung: Das Unternehmen selbst positioniert sich als Anbieter für legitimes Red-Teaming und Sicherheitstests, nicht als Werkzeug für Kriminelle. Diese Doppelverwendbarkeit – dieselbe Technologie, die Pentester zur Absicherung von Bankensystemen nutzen, liefert im Test auch Passwort-Diebstahl-Code – ist kein Widerspruch, sondern die eigentliche Herausforderung von Dual-Use-Technologien. Der entscheidende Punkt für Ihre Sicherheitsplanung ist aber ein anderer: Selbst wenn Abliteration.ai ausschließlich seriöse Kundschaft bediente, würde das an der grundlegenden Verfügbarkeit der zugrunde liegenden Technik nichts ändern. Wer entsicherte Modelle für kriminelle Zwecke nutzen will, ist – wie oben beschrieben – längst nicht mehr auf einen einzelnen kommerziellen Anbieter angewiesen. Reine Abwehrmaßnahmen gegen „einen bestimmten Anbieter" greifen deshalb strukturell zu kurz.

Die Zahlen, die zeigen, wie ernst die Lage bereits ist

Entsicherte Modelle treffen auf eine Bedrohungslage, die in Deutschland schon vor diesem Angebot alarmierend war. Laut der Bitkom-Wirtschaftsschutzstudie 2025 waren 87 Prozent aller deutschen Unternehmen in den vorangegangenen zwölf Monaten von Datendiebstahl, Industriespionage oder Sabotage betroffen. Der Gesamtschaden für die deutsche Wirtschaft belief sich auf 289,2 Milliarden Euro. 59 Prozent der Unternehmen sahen ihre geschäftliche Existenz durch Cyberangriffe bedroht, doch nur die Hälfte hielt sich selbst für sehr gut vorbereitet. Die aktuellere Bitkom-Wirtschaftsschutzstudie 2026 beziffert den Mindestschaden durch Datendiebstahl, Sabotage und Industriespionage auf 211 Milliarden Euro und stellt fest: KI-gestützte Angriffe wie Deepfakes und automatisierte Betrugsanrufe nehmen messbar zu, während Ransomware leicht zurückgeht, aber weiterhin die häufigste Angriffsmethode bleibt.

Besonders bemerkenswert ist eine Budgetzahl aus derselben Erhebung: Das IT-Sicherheitsbudget deutscher Unternehmen stagniert bei 18 Prozent des gesamten IT-Budgets – obwohl BSI und Bitkom gemeinsam 20 Prozent als Zielmarke empfehlen. Diese Lücke zwischen empfohlenem und tatsächlichem Investitionsniveau öffnet sich in einem Moment, in dem die Angriffskosten für Kriminelle gleichzeitig sinken. Das ist keine komfortable Kombination.

Der BSI-Lagebericht liefert dazu die Zielgruppen-Perspektive, die für Sie als mittelständisches Unternehmen besonders relevant ist: Rund 80 Prozent der gemeldeten Cyberangriffe in Deutschland treffen kleine und mittlere Unternehmen – häufig ohne wirksame Verteidigungsmechanismen und durchdachte Backup-Strategien. Im Zeitraum Juli 2024 bis Juni 2025 registrierte das BSI 950 Ransomware-Meldungen, davon 72 Prozent mit zusätzlichem Datenleck. Wer glaubt, als kleineres Unternehmen „zu unbedeutend" für gezielte Angriffe zu sein, wird von diesen Zahlen eindeutig widerlegt – im Gegenteil, KMU sind bereits heute die häufigsten Ziele, nicht die Ausnahme.

Warum Phishing zum Präzisionswerkzeug wird

Ein Bereich, in dem sich der Effekt entsicherter und allgemein leistungsfähigerer KI-Modelle bereits messbar zeigt, ist Phishing. Nach aktuellen Branchenberichten waren 82,6 Prozent der 2025 und 2026 erkannten Phishing-E-Mails KI-generiert. Entscheidend ist dabei nicht nur die Menge, sondern die Qualität: KI-generierte Phishing-Mails erreichen laut Branchenberichten Klickraten von rund 54 Prozent – statistisch auf Augenhöhe mit von menschlichen Social-Engineering-Experten verfassten Mails, die ebenfalls bei etwa 54 Prozent liegen. Zum Vergleich: Generisches, untargetiertes Phishing kommt auf eine Baseline von lediglich rund 12 Prozent. KI schließt also genau die Lücke, die bislang Expertise und Zeitaufwand erforderte – personalisierte, sprachlich einwandfreie, kontextuell passende Ansprache, die früher nur erfahrene Angreifer liefern konnten.

Gleichzeitig zeigt sich eine wachsende Asymmetrie zwischen Angriff und Verteidigung. 51 Prozent der Unternehmen vermuten KI-gestützte Angriffe hinter aktuellen Vorfällen – aber nur 10 Prozent setzen selbst KI zur Verteidigung ein, etwa für Anomalieerkennung oder automatisierte Reaktion. Diese Lücke ist aus unserer Sicht die eigentliche Kernbotschaft der aktuellen Entwicklung: Angreifer skalieren mit KI-Agenten spürbar schneller, als Verteidiger nachziehen. Eine globale Befragung von 500 CISOs bestätigt diesen Eindruck aus Sicht der Sicherheitsverantwortlichen selbst: 63 Prozent glauben, dass Angreifer derzeit im Vorteil sind, nur 18 Prozent sehen die Verteidiger vorne. Diese CISO-Zahl stammt aus einem Sekundärbericht und sollte als Stimmungsbild, nicht als exakt validierte Kennzahl gelesen werden – die Richtung, die sie beschreibt, deckt sich aber mit allen anderen hier zitierten Quellen.

Wenn KI-Agenten den Angriff fast allein durchführen

Wie weit diese Automatisierung inzwischen reichen kann, zeigt ein von Anthropic 2026 öffentlich beschriebener Vorfall, den das Unternehmen als ersten dokumentierten großflächigen Cyberangriff einordnete, der weitgehend ohne substanzielle menschliche Beteiligung ausgeführt wurde. Nach Anthropics eigener Einschätzung übernahm KI dabei schätzungsweise 80 bis 90 Prozent der Kampagnenarbeit, während Menschen nur an wenigen kritischen Entscheidungspunkten eingriffen. Details zu Angreifer, Ziel und genauem Zeitpunkt dieses Vorfalls wurden in unserer Recherche nicht im Volltext verifiziert – die grundsätzliche Aussage, dass autonome KI-Agenten heute schon den Großteil einer Angriffskette selbstständig ausführen können, deckt sich jedoch mit der RAND-Studie und mit Berichten über eine wachsende Zahl autonomer offensiver Security-Agenten, die unter Namen wie T3MP3ST, Strix, CyberStrike, XBOW, PentAGI, PentestGPT oder Nebula kursieren und laut Sicherheitsberichten die Einstiegshürden für das Auffinden und Ausnutzen von Schwachstellen weiter senken.

Für Ihre Einordnung ist wichtig: Nicht jedes dieser Werkzeuge ist per se kriminell – viele werden explizit für legitimes Penetration-Testing entwickelt. Genau wie bei Abliteration.ai gilt aber: Sobald eine Fähigkeit existiert und zugänglich ist, lässt sie sich nicht mehr zuverlässig auf „gute" Nutzung beschränken. Die Frage für Ihr Unternehmen ist deshalb nicht, ob solche Werkzeuge missbraucht werden, sondern wann Sie erstmals damit konfrontiert sind.

Fassen wir die wichtigsten Verschiebungen zusammen, die für Ihre IT-Sicherheitsplanung relevant sind. Erstens: Die Kostenbarriere für Angreifer sinkt massiv. Ab 3 US-Dollar pro Million Token sind entsicherte Offensiv-Modelle für praktisch jeden mit einer Kreditkarte zugänglich, ohne dass der Anbieter die Identität prüft. Ihr Unternehmen ist damit nicht mehr nur potenzielles Ziel spezialisierter Profi-Angreifer, sondern auch von Gelegenheitstätern mit minimalem Budget und geringem technischen Vorwissen.

Zweitens: Die Automatisierung der Abliteration selbst bedeutet, dass Angreifer nicht einmal mehr auf kommerzielle Anbieter angewiesen sind. Wer will, entsichert sich mit Werkzeugen wie „Heretic" sein eigenes Modell lokal, auf eigener Hardware, ohne jede Zahlungsspur. Das macht regulatorische oder anbieterseitige Gegenmaßnahmen strukturell begrenzt wirksam – Sie können sich nicht darauf verlassen, dass „jemand anderes" das Problem an der Quelle löst.

Drittens: Die dokumentierte Fähigkeit, funktionierenden Passwort-Diebstahl-Code zu erzeugen, und Phishing-Inhalte, deren Klickraten menschlichen Social-Engineering-Experten entsprechen, trifft mittelständische Unternehmen besonders hart. Viele haben laut den zitierten Bitkom- und BSI-Zahlen noch keine Basisabsicherung – Mehrfaktor-Authentifizierung, konsequentes Patch-Management, regelmäßige Security-Awareness-Schulungen – flächendeckend umgesetzt. Genau diese Grundlagen werden jetzt wichtiger, nicht weniger wichtig, weil die Angreiferseite an Tempo gewinnt.

Viertens: Die Zahl, dass nur 10 Prozent der Unternehmen selbst KI zur Verteidigung einsetzen, während KI-gestützte Angriffe messbar zunehmen, ist der stärkste Einzelbeleg dafür, dass eigene defensive KI-Agenten – für E-Mail-Filterung, Anomalieerkennung, automatisierte Reaktion auf verdächtiges Verhalten – vom Nice-to-have zur Pflichtmaßnahme werden. Wer Angreifer-KI mit reinen Mitarbeiterschulungen und manuellen Prozessen begegnen will, tritt gegen ein Tempo an, das menschliche Reaktionszeiten strukturell nicht mehr mithalten können.

Was Sie jetzt konkret tun sollten

Aus den vorliegenden Fakten lassen sich fünf Handlungsfelder ableiten, die sich unabhängig von Ihrer Unternehmensgröße umsetzen lassen. Erstens: Prüfen Sie Ihr IT-Sicherheitsbudget gegen die BSI-Zielmarke von 20 Prozent des IT-Gesamtbudgets – liegen Sie deutlich darunter, ist das ein strukturelles Risiko, kein Kostenvorteil. Zweitens: Schließen Sie Grundlagenlücken zuerst – Mehrfaktor-Authentifizierung überall, wo sie fehlt, konsequentes Patch-Management, getestete Backup-Strategien, die auch nach einem Ransomware-Vorfall mit Datenleck funktionieren. Drittens: Setzen Sie selbst KI-gestützte Abwehrmechanismen ein, etwa für die Erkennung KI-generierter Phishing-Mails, die sich sprachlich kaum noch von legitimer Kommunikation unterscheiden lassen. Viertens: Schulen Sie Ihre Belegschaft gezielt zu dem neuen Qualitätsniveau von Social Engineering – Klickraten von 54 Prozent bei KI-Phishing bedeuten, dass „das erkennt man doch" als Verteidigungsstrategie nicht mehr ausreicht. Fünftens: Etablieren Sie klare Reaktionsprozesse für den Fall eines automatisierten Angriffs, der in Minuten statt Tagen abläuft – manuelle Eskalationsketten sind gegen KI-Tempo strukturell zu langsam.

Wenn Sie mehr darüber erfahren möchten, wie spezialisierte KI-Modelle auf der Verteidigungsseite eingesetzt werden können, lesen Sie dazu auch unseren Beitrag KI gegen KI: Warum Cybersicherheit jetzt auch für Ihren Betrieb zur Agenten-Frage wird. Und wie entscheidend Reaktionsgeschwindigkeit bei bekannten Schwachstellen ist, zeigt unser Artikel zum PaperCut-Massenangriff und Ihrer Patch-Geschwindigkeit.

Die Entwicklung rund um entsicherte Modelle wie GLM-5.3 Abliterated ist kein einmaliges Ereignis, das mit der nächsten Abschaltung oder Regulierung wieder verschwindet. Sie ist ein Symptom eines strukturellen Trends: Offene KI-Modelle werden leistungsfähiger, die Technik zu ihrer Entsicherung wird zugänglicher, und die Kosten für offensive Nutzung sinken kontinuierlich. Gleichzeitig bleibt die defensive Seite in vielen Unternehmen – gerade im Mittelstand – strukturell unterinvestiert. Diese Schere zu schließen, ist keine Frage von „irgendwann", sondern eine Aufgabe für die kommenden Monate.