KI-Agenten sind die neuen Pentester — und die neuen Angreifenden
Zwei Stunden. So lange brauchte ein autonomer KI-Agent, um vollen Lese- und Schreibzugriff auf McKinseys KI-Plattform zu erlangen. Keine menschliche Hilfe. Kein Insiderwissen. Nur ein Domainname.
Die Lücke? SQL-Injection — seit über zwei Jahren unentdeckt.
Hier geht es nicht darum, dass McKinsey schlechte Sicherheit hat. Es geht um einen Wandel: KI-Agenten finden Lücken schneller und kreativer als die Tools, auf die sich die meisten Unternehmen verlassen.
Was passiert ist: Der McKinsey-Lilli-Breach
Ende Februar 2026 setzte CodeWall.ai — eine autonome offensive Sicherheitsplattform — einen KI-Agenten gegen McKinseys Lilli-Plattform ein. Die einzige Eingabe des Agenten war der Domainname.
Lilli ist kein Nebenprojekt. Seit 2023 in Produktion und 2026 aktiv im Einsatz, bedient die Plattform über 43.000 McKinsey-Mitarbeitende. Mehr als 70 % nutzen sie täglich — für Chat, Dokumentenanalyse, Recherche und KI-gestützte Suche über 100.000+ interne Dokumente. Monatlich verarbeitet sie über 500.000 Prompts.
So hat der Agent sich Zugang verschafft:
- Angriffsfläche kartiert — Er entdeckte öffentlich zugängliche API-Doku mit über 200 Endpunkten
- Schwachstellen identifiziert — 22 dieser Endpunkte erforderten keinerlei Authentifizierung
- Die Lücke gefunden — Ein ungeschützter Endpunkt verarbeitete Suchanfragen. Die Parameterwerte waren sicher parametrisiert, aber JSON-Keys — die Feldnamen — wurden direkt in SQL-Queries konkateniert
- Ausgenutzt — Durch 15 blinde Iterationen, bei denen Fehlermeldungen analysiert wurden, um die Query-Struktur zu verstehen, extrahierte der Agent Live-Produktionsdaten
Das Ergebnis: vollständiger Lese- und Schreibzugriff auf die gesamte Produktionsdatenbank.
Was offengelegt wurde
Das Ausmaß des Zugriffs war erschreckend:
- 46,5 Millionen Chat-Nachrichten mit Strategiediskussionen, Kundenengagements, Finanzdaten und M&A-Aktivitäten — alles im Klartext (Quelle)
- 728.000 Dateien — 192.000 PDFs, 93.000 Excel-Tabellen, 93.000 PowerPoint-Präsentationen, 58.000 Word-Dokumente
- 57.000 Benutzerkonten — nahezu die gesamte Belegschaft
- 384.000 KI-Assistenten und 94.000 Workspaces — die komplette organisatorische KI-Infrastruktur
- 3,68 Millionen RAG-Dokumenten-Chunks — Jahrzehnte proprietärer McKinsey-Forschung, Methoden und Frameworks — mit offengelegten S3-Speicherpfaden
- 1,1 Millionen Dateien und 217.000 Agenten-Nachrichten, die über externe KI-APIs liefen, darunter 266.000+ OpenAI Vector Stores
Eine IDOR-Schwachstelle erlaubte zudem den kontenübergreifenden Zugriff auf individuelle Suchverläufe — und offenbarte damit, wer an welchen Projekten arbeitete.
Warum die bisherige Sicherheit versagt hat
Das sollte jede IT-Leitung beunruhigen. SQL-Injection bleibt laut OWASP eine der häufigsten Web-Lücken — und trotzdem blieb diese Variante über zwei Jahre unentdeckt. McKinsey setzte branchenübliche Scanning-Tools ein. JSON-Keys, die in SQL-Queries landen, sind ein Lehrbuchfehler — aber einer, den Scanner nicht testen.
Warum? Herkömmliche Scanner arbeiten nach Checklisten. Sie testen bekannte Muster gegen bekannte Oberflächen. Sie prüfen Parameterwerte auf SQLi — die hier korrekt behandelt waren. Aber sie denken nicht über die Struktur der Anfrage selbst nach.
Der blinde Fleck
Die Schwachstelle lag in den JSON-Keys, nicht in den Werten. Automatisierte Scanner parametrisieren Werte und gehen weiter — sie testen nie, ob die Feldnamen selbst sicher sind. Diese Art der kreativen Ausnutzung erfordert Reasoning, nicht nur Mustererkennung.
Der KI-Agent hat die Lücke gefunden, weil er keinem Playbook folgt. Er liest Fehlermeldungen. Er bildet Hypothesen. Er iteriert und passt sich an. Er denkt eher wie erfahrene Angreifende als wie ein Scanner — aber mit Maschinengeschwindigkeit, ohne Ermüdung.
Wie KI-Agenten anders denken
Pentesting — ob manuell oder mit Tools — funktioniert nach einem anderen Muster als die agentischen Workflows, die moderne KI-Sicherheitsagenten antreiben. Diesen Unterschied zu verstehen, ist entscheidend für jedes Unternehmen, das seine Sicherheitslage 2026 bewertet.
Herkömmliche Scanner folgen einem Skript. Teste diesen Endpunkt auf XSS. Teste jenen Parameter auf SQLi. Prüfe diese Header. Sie sind gründlich in ihrem Rahmen, aber blind darüber hinaus. Sie verketten keine Erkenntnisse. Sie denken nicht über Kontext nach.
KI-Pentesting-Agenten arbeiten in einer Schleife: beobachten, Hypothesen bilden, testen, lernen, wiederholen. Sie verketten Entdeckungen. Offene API-Doku führt zum Testen ungeschützter Endpunkte, was zum Abtasten ungewöhnlicher Input-Vektoren führt, was zur JSON-Key-Injection führt. Kein statischer Scanner würde diesen Pfad konstruieren.
Das ist dasselbe ReAct-Muster (Reason + Act), das KI-Agenten im Unternehmenseinsatz antreibt. Die Architektur, die Agenten für Geschäftsprozesse nützlich macht, macht sie auch effektiv beim Finden von Sicherheitslücken.
Hier ist die unbequeme Wahrheit: Wenn ein KI-Agent sich zum Schutz in Ihre Systeme hineindenken kann, kann ein bösartiger das Gleiche tun. CodeWalls Agent hat McKinsey eigenständig als Ziel ausgewählt — indem er die öffentliche Disclosure-Policy und aktuelle Plattform-Updates der Firma analysierte. Ihre Schlussfolgerung: „KI-Agenten, die autonom Ziele auswählen und angreifen, werden zur neuen Normalität."
„Dieselbe agentische Architektur, die einem Unternehmen hilft, Workflows zu automatisieren, macht KI zum leistungsfähigsten offensiven Sicherheitstool, das je gebaut wurde. Wer mit Agenten baut, muss wie Angreifende denken." — Keith Govender, Co-Founder von IJONIS, Hamburg
Das Kronjuwel, das niemand schützt: System-Prompts
Der gefährlichste Fund beim McKinsey-Breach waren nicht die Millionen Chat-Nachrichten oder die Hunderttausende Dateien. Es war die Möglichkeit, die Kern-Prompts lautlos umzuschreiben, die das KI-Verhalten steuern — und damit die eigene KI-Plattform des Unternehmens in einen dauerhaften, nicht erkennbaren Angriffsvektor zu verwandeln.
Lillis 95 Prompts — über 12 Modelltypen hinweg — lagen in derselben Datenbank. Diese Anweisungen steuern, wie die KI antwortet, welche Leitplanken gelten, welche Daten sie liefert und wie sie Empfehlungen formatiert.
Mit Schreibzugriff hätten Angreifende:
- Prompts lautlos ändern können — ohne Logs oder Code-Änderungen
- Kundenberatung vergiften können — durch veränderte Finanzmodelle oder Empfehlungen
- Die KI anweisen können, vertrauliche Daten in ihren Outputs einzubetten
- Leitplanken entfernen können — für offene Datenabflüsse
- Dauerhafte Hintertüren schaffen können — die KI selbst wird zum Einfallstor
Die Prompt-Infrastruktur-Lücke
Die meisten Unternehmen behandeln ihre Prompts als Konfiguration — in Datenbanken gespeichert, über Admin-Panels bearbeitet, selten versioniert, fast nie auf Integrität geprüft. Im Zeitalter von KI-Agenten sind Ihre Prompts Ihre Kronjuwelen. Sie brauchen denselben Schutz wie Ihr Quellcode und Ihre Schlüssel.
Genau diese Art von Bedrohung adressiert das Trust-Spectrum-Framework: Prompts sitzen auf Layer 0 (der Anweisungsebene), und ohne höhere Schutzschichten — Isolation, Deployment-Gates, Berechtigungen und Kill-Switches — sind sie gefährlich offen.
Das Asymmetrie-Problem: Angriff skaliert schneller als Verteidigung
Der McKinsey-Breach zeigt ein Problem jenseits einzelner Lücken. KI-gestützter Angriff skaliert schneller als bisherige Verteidigung.
Die Asymmetrie im Überblick:
97 % der Organisationen setzen bereits auf KI für Pentesting. Der Markt bewegt sich schnell. Plattformen wie XBOW, Penligent, Aikido und Horizon3.ai bieten autonomes Pentesting als Service an. Aber wenn diese Tools für die Verteidigung verfügbar sind, existieren die gleichen Fähigkeiten auch für Angreifende.
Das Zeitfenster zwischen „Schwachstelle existiert" und „Schwachstelle wird ausgenutzt" schrumpft. McKinsey hat innerhalb von 24 Stunden nach der Meldung gepatcht. Der Agent fand die Lücke in zwei Stunden. Das Expositionsfenster misst sich jetzt in Stunden — nicht in Monaten oder Jahren, wie traditionelle Sicherheitszyklen annehmen.
Was das für Ihr Unternehmen bedeutet
Sie müssen nicht McKinsey sein, um ein Ziel zu sein. Wenn Sie KI intern einsetzen — Chatbots, Dokumentensuche, RAG-Systeme — haben Sie dieselbe Klasse von Angriffsfläche. Mittelständische Unternehmen haben oft weniger Sicherheitsbudget, aber ebenso sensible Daten.
Was Sie jetzt tun sollten:
1. Ihren KI-Stack als eigene Angriffsfläche auditieren
Ihre KI-Plattform ist nicht einfach eine weitere Web-App. Sie hat einzigartige Angriffsvektoren: Prompt-Injection, RAG-Poisoning, Modellmanipulation, IDOR auf nutzerspezifische Daten. Herkömmliche Web-App-Pentests decken das nicht ab. Fordern Sie KI-bezogene Sicherheitsprüfungen.
2. System-Prompts wie Quellcode schützen
Versionieren Sie alle System-Prompts. Überwachen Sie Änderungen. Speichern Sie sie niemals in derselben Datenbank wie Nutzerdaten. Implementieren Sie Integritätsprüfungen, die bei jeder Änderung alarmieren. Wenn Ihre Prompts über ein Admin-Panel ohne Audit-Logging bearbeitbar sind, beheben Sie das heute.
3. Davon ausgehen, dass Ihre API-Doku öffentlich ist
McKinseys 200+ Endpunkte waren öffentlich dokumentiert. Ihre möglicherweise auch. Prüfen Sie, was exponiert ist. Entfernen Sie Dokumentation aus Produktionsumgebungen. Stellen Sie sicher, dass jeder Endpunkt Authentifizierung erfordert — auch die, die „nur" Suchanfragen schreiben.
4. Von periodischem zu kontinuierlichem Sicherheitstesting wechseln
Pentests pro Quartal sind eine Momentaufnahme. KI-gestützte Angreifende arbeiten rund um die Uhr. Setzen Sie auf autonome Testplattformen, die Ihre Systeme laufend prüfen. Die Kosten haben sich verschoben — laufendes KI-Testing ist jetzt günstiger als manuelle Engagements alle paar Monate.
5. Defense-in-Depth für KI-Systeme aufbauen
Verlassen Sie sich nicht auf eine einzelne Sicherheitsschicht. Das Trust-Spectrum-Modell gibt Ihnen ein Framework: Instruktionskontrollen, Umgebungsisolierung, Deployment-Gates, phasenbasierte Berechtigungen und Kill-Switches. Jede Schicht fängt auf, was die darunterliegende übersieht.
6. Ihr Team für KI-spezifische Bedrohungen schulen
Ihr Sicherheitsteam kennt XSS, CSRF und SQLi in Parameterwerten. Der McKinsey-Breach passierte in JSON-Keys — ein Vektor, den viele Fachleute nie getestet haben. Aktualisieren Sie Ihre Bedrohungsmodelle für KI-spezifische Angriffsflächen.
Die Zeitleiste, die aufrütteln sollte
Vom Fund bis zur vollständigen Ausnutzung: zwei Stunden. Von der Meldung bis zum Patch: ein Tag. McKinseys Reaktion war schnell. Aber die Lektion ist klar — die Zeit zum Finden und Beheben von Lücken hat sich von Monaten auf Stunden verkürzt. Ihre Sicherheitsaufstellung muss dieses Tempo halten.
Das Fazit
Der McKinsey-Lilli-Breach ist kein Einzelfall. Es ist die neue Normalität. KI-Agenten, die denken, sich anpassen und Angriffe verketten, sind eine andere Kategorie als die Scanner, gegen die sich die meisten Sicherheitsstrategien richten.
Dieselbe Architektur, die KI-Agenten für Firmen nützlich macht — beobachten, denken, planen, handeln, wiederholen — macht sie auch zum stärksten Angriffstool, das je gebaut wurde. Die Firmen, die in diesem Umfeld bestehen, sind die, die beide Seiten verstehen: wie man mit Agenten baut und wie man sich gegen sie wehrt.
Die Frage ist nicht, ob KI-Agenten Ihre Systeme sondieren werden. Das tun sie bereits. Die Frage ist, ob Sie es von Ihrem eigenen Team erfahren — oder aus dem Disclosure-Bericht von jemand anderem.
Häufige Fragen
Was ist KI-gestütztes Pentesting?
KI-gestütztes Pentesting nutzt autonome Agenten — keine geskripteten Scanner — um Sicherheitslücken zu finden. Statt eine Checkliste bekannter Schwachstellen abzuarbeiten, analysieren diese Agenten Ihr System, bilden Hypothesen, verketten Entdeckungen und passen sich in Echtzeit an. Sie verhalten sich eher wie erfahrene menschliche Angreifende als wie automatisierte Tools, arbeiten aber mit Maschinengeschwindigkeit und ohne Ermüdung.
Wie hat ein KI-Agent McKinseys Lilli-Plattform gehackt?
CodeWalls autonomer Agent startete mit nur einem Domainnamen. Er fand öffentlich zugängliche API-Doku, identifizierte 22 nicht authentifizierte Endpunkte und entdeckte eine SQL-Injection in JSON-Key-Namen — ein Vektor, den Standardscanner wie OWASP ZAP übersahen. Der gesamte Prozess dauerte zwei Stunden ohne jegliche menschliche Beteiligung.
Sind System-Prompts ein Sicherheitsrisiko?
Ja — und die meisten Unternehmen behandeln sie nicht so. Prompts steuern KI-Verhalten, Leitplanken und Ausgabeformat. Beim McKinsey-Breach lagen alle 95 Prompts in derselben Datenbank wie die Nutzerdaten — mit vollem Schreibzugriff. Angreifende hätten sie lautlos ändern können, um Ausgaben zu vergiften oder Leitplanken zu entfernen — ohne Deployment oder Code-Änderung.
Wie unterscheidet sich KI-Pentesting von traditionellem Pentesting?
Klassische Pentests folgen Checklisten und testen bekannte Muster. KI-Agenten denken, bilden Hypothesen und verketten Erkenntnisse — sie bauen Angriffspfade, die kein Scanner versuchen würde. Sie laufen zudem rund um die Uhr statt einmal pro Quartal, und die Kosten pro Test sinken rasant. Einen detaillierten Vergleich der führenden autonomen Pentesting-Tools finden Sie in unserem Plattformvergleich 2026. Das agentische Workflow-Muster, das Prozesse automatisiert, ist dasselbe Muster, das KI-Offensivtools effektiv macht.
Was sollten Unternehmen tun, um ihre KI-Systeme zu schützen?
Sechs Schritte sind entscheidend. Behandeln Sie Ihren KI-Stack als eigene Angriffsfläche mit Vektoren wie Prompt-Injection und RAG-Poisoning. Schützen Sie Ihre Prompts wie Quellcode. Gehen Sie davon aus, dass Ihre API-Doku öffentlich ist. Wechseln Sie von Tests pro Quartal zu laufendem KI-gestütztem Testing. Bauen Sie Defense-in-Depth mit dem Trust-Spectrum-Framework auf. Schulen Sie Ihr Sicherheitsteam für KI-bezogene Bedrohungen jenseits klassischer Web-Schwachstellen.
