Acht Monate. Vier größere Vorfälle. Ein Muster: Die Software-Lieferkette bekam keinen neuen Gegner, sondern eine neue Waffe. Zwischen September 2025 und Mai 2026 gelangten ein sich selbst verbreitender Wurm, ein staatlicher Akteur, eine Nachahmungskampagne und ein gekapertes KI-Modell jeweils in die Lieferkette. pipelineEs sind Systeme, denen Millionen von Entwicklern täglich vertrauen. Dies ist die neue Form von Cybersicherheitsbedrohungen: schneller, schwerer zu erkennen und zunehmend von derselben KI gesteuert, die Entwicklungsteams zum Ausliefern von Code verwenden.
Falls Ihr Verständnis von Cybersicherheitsbedrohungen immer noch mit Phishing-E-Mails und ungepatchten Servern beginnt und endet, werden die folgenden Daten es aktualisieren.
Die neue Form der Cybersicherheitsbedrohungen
Jahrelang bedeuteten Cybersicherheitsbedrohungen gestohlene Zugangsdaten, falsch konfigurierte Server und Social Engineering. Diese Risiken sind nicht verschwunden: 81 % der bestätigten Datenpannen im Jahr 2022 betrafen kompromittierte Zugangsdaten. Doch eine neue Kategorie rückt in den Mittelpunkt der Diskussion: KI-Bedrohungen. Entwicklungsteams verlassen sich heute auf KI-Programmierassistenten, autonome Kopiloten und … Model Context Protocol (MCP) Server sollen Software schneller erstellen, und jeder dieser Server ist nun auch ein Ziel für Angriffe. Untersuchungen zeigen, dass rund 40 % des KI-generierten Codes Sicherheitslücken aufweist. Das bedeutet, dass die von KI versprochene Geschwindigkeit mit einem proportionalen Anstieg der KI-Sicherheitsrisiken einhergeht, die direkt in die Codebasis integriert sind.
Acht Monate, vier Vorfälle: Wie KI-Bedrohungen eskalierten
Der deutlichste Beweis dafür, dass sich die Bedrohungen durch KI beschleunigen, ist keine Prognose; es ist ein Zeitlicher Ablauf des bisherigen Geschehens:
- September 2025, Shai-Hulud: der erste sich selbst verbreitende npm-Wurm, der die Entwickler selbst in einen Verbreitungsmechanismus verwandelt.
- März 2026, axios: Schadsoftware eines Nationalstaats, die in einem Paket versteckt ist, wird etwa 100 Millionen Mal pro Woche ausgelesen.
- April 2026, SAP npm: eine kleinere Wiederholung des gleichen Wurmmusters, die die Skalen der Technik zeigt.
- Mai 2026, Claude Opus → PromptMink: ein großes Sprachmodell, das dazu missbraucht wird, Malware in einen autonomen Agenten einzuschleusen, wobei die KI selbst als Angriffsvektor dient.
Jeder Vorfall nutzte den vorherigen aus und verstärkte ihn. Das ist das entscheidende Merkmal von KI-Bedrohungen im Jahr 2026: Sie verstärken sich schneller als je zuvor bei traditionellen Cybersicherheitsbedrohungen, denn dieselbe Automatisierung, die Entwicklern bei der Entwicklung hilft, unterstützt auch Angreifer bei ihrer Verbreitung.
Warum herkömmliche Werkzeuge diese KI-Risiken nicht erkennen können
Herkömmliche AppSec-Tools stoßen auf die Ebene des Repositories und verstehen Modelle nicht. Traditionelle Endpoint-Tools überwachen das Betriebssystem, verstehen aber weder Pakete noch MCP-Server oder KI-Assistenten. Genau in dieser Lücke zwischen beiden liegen die KI-Risiken – unentdeckt, bis der Schaden bereits angerichtet ist.
Zwei Zahlen verdeutlichen das Ausmaß der Bedrohung: KI-gestützter Zugriff auf Zugangsdaten nahm zwischen dem vierten Quartal 2025 und dem ersten Quartal 2026 um 376 % zu, und eine einzelne bösartige MCP-Bridge (CVE-2025-6514) wurde 437,000 Mal heruntergeladen, bevor sie entdeckt wurde. Dadurch konnte Schadcode auf dem Client ausgeführt werden. Auch öffentliche MCP-Server sind nicht standardmäßig sicher: 5.5 % weisen Schwachstellen auf, die Tool-Poisoning ermöglichen, und 43 % weisen so schwerwiegende Schwachstellen auf, die Command-Injection ermöglichen, dass die eigenen Entwicklungswerkzeuge zu einer der größten Cybersicherheitsbedrohungen für Unternehmen werden können.
Die Software-Lieferkette ist nach wie vor die größte Quelle von Cybersicherheitsbedrohungen.
Künstliche Intelligenz hat dieses Problem nicht erfunden, sondern verschärft. Die Software-Lieferkette war bereits der am häufigsten ausgenutzte Einfallstor für Cyberangriffe, und die Zahlen belegen dies. Seit 2019 wurden über 778,500 schädliche Open-Source-Pakete identifiziert, eine Zahl, die innerhalb eines Jahres um 156 % auf 512,847 Pakete anstieg. Die ENISA stellte fest, dass 60 % der Angriffe auf die Lieferkette das Vertrauen der Kunden in einen Lieferanten ausnutzten. Schätzungen zufolge wird die Software-Lieferkette mittlerweile etwa alle 48 Stunden angegriffen. Zwischen 2019 und 2022 nahmen die Angriffe auf die Lieferkette um 742 % zu. Prognosen zufolge werden bis 2025 45 % der Unternehmen betroffen sein, und die jährlichen Kosten werden bis 2031 138 Milliarden US-Dollar erreichen; allein in diesem Jahr werden die Kosten für Angriffe auf die Software-Lieferkette auf 60 Milliarden US-Dollar geschätzt.
Die gleiche Abhängigkeit und pipeline Schwachstellen, die diese klassischen Cybersicherheitsbedrohungen hervorgerufen haben, bergen nun auch Risiken im Bereich der KI: ein kompromittiertes Paket, eine falsch konfigurierte GitHub-Aktion oder ein nicht fixierter CI/CD step kann einen KI-Agenten genauso gut ansprechen wie einen menschlichen Entwickler.
Weiterreichende KI-Sicherheitsrisiken jenseits der Codebasis
Nicht jedes KI-Risiko ist in einer Codedatei verborgen. Eine umfassendere Betrachtung der KI-Sicherheitsrisiken erstreckt sich über den gesamten Lebenszyklus einer KI-Anwendung: Prompt-Injection und System-Prompt-Leaks, Offenlegung sensibler Daten durch zu permissive KI-Konfigurationen, manipulierte Vektoren und Einbettungen, in Dokumenten und Regeldateien versteckte Schadanweisungen, unsichere MCP-Konfigurationen und nicht vertrauenswürdige Server, anfällige oder unzureichend konfigurierte KI-Abhängigkeiten sowie übermäßige Handlungsfähigkeit, bei der ein KI-Agent über die ihm zugewiesenen Grenzen hinaus agiert.
Diese Kategorien lassen sich direkt den folgenden zuordnen: OWASP Top 10 für LLM-Bewerbungen, hat das OWASP Top 10 für agentenbasierte Anwendungenund die OWASP MCP Top 10Drei Rahmenwerke, die sich schnell zum gemeinsamen Vokabular für KI-Sicherheitsrisiken in der gesamten Branche entwickeln.
Reduzierung des Risikos von Cybersicherheitsbedrohungen: Was funktioniert wirklich?
Die Daten weisen auf zwei Dinge hin, die sich konsequent gegen Cybersicherheitsbedrohungen auswirken: Grundlegende Hygiene und Früherkennung. 98 % der Cyberangriffe lassen sich durch grundlegende Sicherheitsmaßnahmen verhindern. Dennoch gehen 34 % der Datenpannen weiterhin auf Insider-Bedrohungen zurück, und 60 % der Anwendungen weisen nach wie vor Schwachstellen im Quellcode auf. Auch GitHub ist nicht immun: 1.9 % der GitHub-Prototyp-Exploit-Repositories sind selbst bösartig und dienen dazu, Daten zu exfiltrieren oder Schadsoftware auf die Konten der Forscher zu übertragen, die ihnen vertrauen.
Im Hinblick auf KI-Risiken muss die Behebung der Probleme früher im Lebenszyklus erfolgen:
- Innerhalb der IDE validieren. Unsichere Muster in KI-generiertem Code erkennen, bevor dieser jemals ein System erreicht. pipeline Schließt die größte einzelne Quelle neuer KI-Sicherheitsrisiken.
- Malware erkennen, bevor eine Signatur existiert. Reputationsbasierte Tools übersehen definitionsgemäß Zero-Day-Pakete, was genau die Lücke ist, die Shai-Hulud, axios und SAP npm ausnutzten.
- Erfassen Sie alle KI-Assets. Modelle, Datensätze, Agenten und MCP-Server können nicht durch etwas gesteuert oder angegriffen werden, von dem ein Team nicht weiß, dass es läuft.
Wie Xygeni diese Cybersicherheitsbedrohungen angeht
Xygeni DevAI behandelt KI-Bedrohungen als integralen Bestandteil der Anwendungssicherheit und nicht als separates, nachträglich hinzugefügtes Problem. DevAI führt Echtzeit-Sicherheitsvalidierungen direkt in der Entwickler-IDE durch und kennzeichnet unsichere Muster im KI-generierten Code, bevor dieser ausgeliefert wird. Malware-Frühwarnung (MEW) cEs scannt kontinuierlich NPM, PyPI und Maven, um schädliche Pakete zu erkennen, bevor eine Signatur existiert, und deckt so das genaue Lieferkettenmuster von Shai-Hulud, axios und SAP npm auf. AI Security entdeckt alle KI-Assets im gesamten Netzwerk. SDLC, bewertet es anhand der oben genannten OWASP-Frameworks, und Shield setzt die Richtlinien am Endpunkt durch, bevor ein unsicheres Modell, ein unsicherer Agent oder ein unsicherer MCP-Server ausgeführt werden darf.
Die Organisationen, die KI-Risiken im Jahr 2026 erfolgreich managen, sind nicht diejenigen, die die meisten Tools einsetzen. Sie sind diejenigen, die alle ihre KI-Ressourcen überblicken, unsichere Aktionen im Vorfeld verhindern und diese Erkenntnisse auf ihre bestehenden Tools anwenden können.
FAQ
Was sind die größten Cybersicherheitsbedrohungen im Jahr 2026?
Lieferkettenangriffe stellen nach wie vor die größte Kategorie hinsichtlich Volumen und Kosten dar, mit geschätzten Schäden in Höhe von 60 Milliarden US-Dollar in diesem Jahr und einem Angriff etwa alle 48 Stunden. Parallel dazu haben sich KI-Bedrohungen zu einer schnell wachsenden Kategorie entwickelt: Der KI-gestützte Diebstahl von Zugangsdaten stieg innerhalb eines Quartals um 376 %, und Vorfälle wie Shai-Hulud, axios und PromptMink zeigen, dass Angreifer KI aktiv sowohl als Ziel als auch als Verbreitungsmechanismus nutzen.
Stellt KI-generierter Code ein Sicherheitsrisiko dar?
Ja. Studien zeigen, dass rund 40 % des KI-generierten Codes Sicherheitslücken aufweisen. Daher ist die Echtzeitvalidierung innerhalb der Entwickler-IDE vor dem Zusammenführen des Codes eine der effektivsten Methoden, um KI-Sicherheitsrisiken direkt an der Quelle zu reduzieren.
Was ist MEW und wie begegnet es KI-Bedrohungen?
Malware Early Warning (MEW) ist Xygenis kontinuierliches Scansystem für NPM, PyPI und Maven. Es wurde entwickelt, um schädliche Pakete zu erkennen, bevor eine Signatur existiert. Dies ist wichtig, da reputationsbasierte Tools nur bereits identifizierte Schadsoftware erkennen und somit die genauen Zero-Day-Muster hinter aktuellen KI-Bedrohungen und Lieferkettenwürmern übersehen.
Stellen MCP-Server eine reale Quelle von KI-Risiken dar?
Ja. Öffentliche MCP-Server weisen in freier Wildbahn messbare KI-Sicherheitsrisiken auf: 5.5 % weisen Schwachstellen durch Tool-Poisoning auf und 43 % weisen Schwachstellen durch Command-Injection auf, und allein eine kompromittierte MCP-Bridge wurde 437,000 Mal heruntergeladen, bevor sie entdeckt wurde.
