Cato CTRL™ Insights: Wie ein Bedrohungsakteur modernste KI in eine offensive Plattform verwandelte

Zusammenfassung

Ein russischsprachiger Bedrohungsakteur, der unter dem Namen „Trim“ bekannt ist, hat den Großteil des Jahres 2026 damit verbracht, die Sicherheitsvorkehrungen öffentlich zugänglicher modernster KI-Modelle systematisch auszuhebeln und sie zu offensiven Tools umzufunktionieren. Was im März als Beitrag zum Wissensaustausch in einem russischen Cybercrime-Forum begann – mit einer detaillierten Anleitung, wie man Claude Opus dazu bringt, Malware zu schreiben –, hatte sich bis Juni zu einer vollständig produktisierten, kommerziell vermarkteten KI-gestützten Penetrationstest-Plattform entwickelt. Trim brauchte keine Schwachstelle, die er ausnutzen konnte. Er musste weder eine neuartige KI entwickeln noch Modellgewichte stehlen oder ein Rechenzentrum kompromittieren. Er wählte einfach leistungsstarke Modelle von der Stange aus, fand heraus, wie man auf die richtige Weise mit ihnen spricht, und verwandelte sie in Waffen. Seine Geschichte ist nicht bloß der Weg eines einzelnen Bedrohungsakteurs – sie ist eine Blaupause, der die gesamte kriminelle Unterwelt allmählich folgt, und in seinem neuesten Beitrag teilt er mit, dass er zudem einen modifizierten System-Prompt nutzt, der von Fable geleakt wurde!

13. März 2026: Trim gibt eine Lehrstunde

Am 13. März 2026 erschien ein neues Konto in einem russischsprachigen Cybercrime-Forum unter dem Benutzernamen Trim. Seine Eröffnungszeile war gewohnt unverblümt: „Grüße an die Schattenkollegen. Ich bin neu hier, bringe aber reichlich Erfahrung mit.“ Was folgte, war eine äußerst detaillierte Anleitung zum Jailbreaking von KI. Trim legte sechs benannte Techniken dar, um die Sicherheitsfilter von Claude Opus zu umgehen – keine theoretischen Exploits, sondern praxiserprobte Methoden, von denen nach eigenen Angaben sein Lebensunterhalt abhing. Beim „Context Warming“ begann man mit unverfänglichen, professionellen Anfragen, um das Modell darauf zu trimmen, den Benutzer als legitimen Auditor wahrzunehmen, bevor die bösartige Anfrage untergeschoben wurde. Das „Black Box Principle“ entzog dem Modell jegliche Fähigkeit, über Sinn und Bedeutung nachzudenken, indem es per System-Prompt dazu angewiesen wurde, ausschließlich die Codestruktur zu analysieren – wodurch sein moralischer Kompass praktisch ausgeschaltet wurde. Beim „Ghost Reset“ wurde das Modell mitten in der Sitzung manipuliert: Man löschte den Chat, öffnete ihn erneut, erklärte Claude, die Internetverbindung sei abgebrochen, und fütterte es mit einer abgemilderten Version der zuvor verweigerten Anfrage – was nach Trims Worten „in 90 % der Fälle“ funktioniert. Für Fälle, in denen Claude standhaft blieb, bot Trim eine Kaskade von Ausweichmodellen an: Kimi AI, GLM-5 (kostenlos über modal.com), MiniMax 2.5 und eine radikale Notfalloption: das Mieten eines Servers mit 320 GB RAM auf vast.ai für 3 $/Stunde, um ein lokales GLM-5-Modell mit vollständig entfernter Zensur zu betreiben. Er teilte sogar mit, wo man illegale Claude-API-Schlüssel für 4 $ kaufen konnte, und verwies die Leser an einen Wiederverkäufer auf Telegram. Er stellte den Beitrag nicht als kommerzielles Angebot dar, sondern als Strategie zum Reputationsaufbau. Er sei neu im Forum, erklärte er, und wolle sich Vertrauen durch echten Mehrwert statt durch Spam verdienen. Er verkaufe nichts. Noch nicht.

21.Juni, 2026: Trim liefert das Produkt

Fast drei Monate später hatte sich die Reputation, die Trim im März aufgebaut hatte, ausgezahlt. Am 21. Juni 2026 kehrte er mit etwas weitaus Bedeutenderem als einem Tutorial in das Forum zurück: einem fertigen Produkt. „AI Pentest Checker“ ist eine vollautomatische Plattform zum Scannen von Web-Schwachstellen, und ihre KI-Engine basiert direkt auf den Techniken, die Trim seit März im Stillen verfeinert hatte. Opus 4.8 bildet das Herzstück der Pipeline des Tools zur Eskalation kritischer Schwachstellen. Es nutzt dabei einen modifizierten System-Prompt, der dem Beitrag zufolge aus einer durchgesickerten Konfiguration von Fable 5 abgeleitet wurde, während GLM-5 die Generierung von Exploit-Berichten übernimmt.

Warum ist der System-Prompt so wichtig? Ein System-Prompt ist eine verborgene Reihe von Anweisungen, die in den Kontext eines KI-Modells eingefügt werden, bevor der Benutzer überhaupt ein Wort eingibt. So formen Entwickler die Persona des Modells, schränken sein Verhalten ein und setzen Sicherheitsregeln durch. Im Fall von Fable 5 ist er der primäre Mechanismus, der dem Modell vorgibt, was es unter keinen Umständen tun darf: Schadsoftware schreiben, Exploits generieren und bei kriminellen Aktivitäten helfen. Die Tragweite eines durchgesickerten System-Prompts von Fable 5 ist enorm: Sobald ein Angreifer exakt weiß, wie diese Regeln formuliert sind – der genaue Wortlaut, die Grenzfälle und die Bedingungslogik –, kann er seine Eingaben gezielt so konstruieren, dass sie jede einzelne Klausel umgehen. Denn er tastet sich nicht länger blind voran, sondern greift ein bekanntes Ziel an.

Um diese KI-Engines herum sind vierzehn zusätzliche Scan-Tools gruppiert: Nuclei mit über 3.000 Templates, ffuf, katana, subfinder, gitleaks und weitere, die die gesamte Angriffskette von passiver Aufklärung bis hin zu Credential-Brute-Forcing und der Erkennung von Sicherheitsumgehungen abdecken. Eine Zieldomain kann in unter zehn Minuten vollständig bewertet und ein ausgearbeiteter PDF-Bericht erstellt werden. Trim bot den ersten fünfzig Beta-Testern kostenlose Zugriffsschlüssel an, suchte nach Monetarisierungspartnern und verwies die Leser auf eine öffentliche Live-Scan-Galerie. Innerhalb von nur 3 Monaten entwickelte sich Trim von einem Jailbreak-Tutorial zu einem Plattformbetreiber, der KI-gestützte offensive Sicherheit aktiv auf dem kriminellen Markt kommerzialisiert.

Wichtige Erkenntnisse

Die Sicherheitsebene ist die Angriffsfläche. Trims gesamte Operation basiert auf der Prämisse, dass sich die Sicherheitsvorkehrungen hochentwickelter KI-Modelle durch einen entschlossenen und technisch versierten Angreifer umgehen lassen. Seine sechs Jailbreak-Techniken, die er dokumentiert, benannt und frei zugänglich geteilt hat, belegen, dass es sich hierbei keineswegs um ein rein theoretisches Problem handelt. Es ist eine aktive, dokumentierte und von der Community validierte Praxis in einschlägigen Untergrundforen.

Öffentlicher API-Zugriff ist ein Kraftmultiplikator für Bedrohungsakteure. Trim musste die Infrastruktur von Anthropic nicht kompromittieren. Er kaufte einen API-Schlüssel für 4 Dollar auf einer Graumarkt-Wiederverkäuferplattform und baute darauf ein kommerzielles Angriffstool auf. Die Offenheit kommerzieller Spitzen-KI-Modelle ist für Verteidiger gleichermaßen ein Vorteil wie für Angreifer.

Der Weg vom Tutorial zum Produkt ist gefährlich kurz. Zwischen Trims erstem öffentlichen Beitrag und einer kommerziell eingesetzten, aktiv vermarkteten Plattform lagen gerade einmal drei Monate. Das kriminelle Ökosystem bewegt sich nicht langsam. Wenn ein fähiger Akteur eine Gelegenheit erkennt, erfolgt die Iteration schnell.

Trims Entwicklung repräsentiert den Trend. Sein Beitrag vom März stieß auf sofortige Resonanz, einschließlich einer detaillierten technischen Antwort eines Forennutzers, der seine Bypass-Methoden bestätigte. Die Foren-Community validierte, erweiterte und baute auf seinen Techniken auf. Trim repräsentiert die Speerspitze eines breiteren Trends und ist kein Einzelfall.

Überwachen Sie speziell den Missbrauch von Modellen der Mythos/Fable-Klasse. Der explizite Einsatz eines durchgesickerten Fable-5-System-Prompts in einem kriminellen Tool stellt eine erhebliche Eskalation dar. Mit der zunehmenden Verbreitung von Fähigkeiten der Mythos-Klasse – sei es über direkten API-Zugang, Key-Reseller oder durchgesickerte Konfigurationen – werden auch die darauf aufbauenden Angriffstools immer ausgefeilter und leichter zugänglich.