Endpunkte ohne Authentifizierung Hacker knachen McKinsey-KI „Lilli“ in nur 2 Stunden

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

In nur zwei Stunden haben Hacker Zugriff auf McKinseys interne KI „Lilli“ er­halten. Sie nutzten eine herkömmliche Sicherheitsanfälligkeit aus, um auf vertrauliche Daten zuzugreifen. Diese Lehren können CISO und Sicher­heits­be­auftragte daraus ziehen.

McKinsey ist eine amerikanisches Unternehmens- und Strategieberatung, die mit über 130 Büros in mehr als 65 Ländern zu den ältesten und größten Beratungshäusern der Welt gehört. Im Jahr 2023 hat McKinsey sei­ne selbst entwickelte KI-Plattform „Lilli“ vorgestellt, die den Beratern hilft, Wissens­da­ten­ban­ken zu durchsuchen, Daten zu vergleichen und Inhalte zusammenzufassen und weitere Auf­ga­ben zu automatisieren. Doch wie der britische Hersteller Codewall nun berichtet, seien des­sen Hacker Ende Februar 2026 in der Lage gewesen, sich innerhalb von zwei Stunden voll­stän­di­gen Lese- und Schreibzugriff auf die Produktionsdatenbank von Lilli zu verschaffen.

Missbrauch von KI

Regierungsdaten mithilfe von LLM Claude gestohlen

Wie konnten sich die Hacker Zugriff verschaffen?

Lilli wurde für die 43.000 Mitarbeitenden von McKinsey entwickelt. Die KI-Plattform kann in über 100.000 internen Dokumenten recherchieren und verarbeitet monatlich über 500.000 Anfragen. Allein diese Zahlen seien für die Forscher von Codewall Grund genug gewesen, ihre eigenen autonomen Angriffsagenten auf Lilli zu hetzen. Dabei hätten sie nur den Domain­na­men von Lilli als Ausgangspunkt gehabt. Außerdem hätte sich der Forschungsagent McKinsey selbstständig als Ziel ausgesucht. Als Gründe dafür hätte er die öffentlich zugängliche Richtlinie zur verantwortungsvollen Offenlegung von Datenpannen und Sicherheitsanfälligkeiten von McKinsey genannt, die das Unternehmen be­nö­tigt, um gesetzliche Vorgaben einzuhalten, sowie die kürzliche erfolgten Updates von Lilli.

Zuerst habe der Agent die Angriffsfläche analysiert und sei dabei auf die öffentlich zugängliche API-Dokumentation gestoßen. Von 200 vollständig dokumentierten Endpunkten hätten 22 kei­ne Authentifizierung erfordert. Ein ungeschützter Endpunkt hätte die Funktion gehabt, Be­nut­zer­such­an­fragen in die Datenbank zu schreiben. Obwohl die Werte sicher parametrisiert ge­we­sen seien, wurden die JSON-Schlüssel (JavaScript Object Notation), also die Feldnamen, direkt in die SQL-Abfragen eingefügt. Als die Agenten bemerkt hätten, dass diese JSON-Schlüssel un­ver­än­dert in den Fehlermeldungen der Datenbank aufgetaucht seien, hätten sie darin eine SQL-Injektion erkannt. Um weitere Informationen über die Abfragestruktur zu erhalten, hätten die Agenten daraufhin fünfzehn Tests durchgeführt, bei denen jede Fehlermeldung zusätzliche Details offenbart hätte. Schließlich hätten sie so auf Produktionsdaten zugreifen können.

Infrastrukturausfall durck KI bis 2028

Fehlkonfigurierte KI wird Zer­stö­rungs­kraft gegen G20 richten

Folgende Daten und Informationen hätten die Hacker daraufhin einsehen können:

• 46,5 Millionen Chatnachrichten

• 728.000 Dateien

• 192.000 PDFs

• 93.000 Excel-Tabellen

• 93.000 PowerPoint-Präsentationen

• 58.000 Word-Dokumente

• 57.000 Benutzerkonten

• 384.000 KI-Assistenten

• 94.000 Arbeitsbereiche

Darüber hinaus fanden die Hacker Systemeingabeaufforderungen und KI-Modell­kon­fi­gu­ra­tionen, darunter 95 Konfigurationen in zwölf Modelltypen, die genau offengelegt hätten, wie die McKinsey-KI programmiert worden sei, welche Schutzmechanismen existierten würden sowie den gesamten Modell-Stack. Daneben hätten sie 3,68 Millionen RAG-Dokumentfragmente ge­funden, die die gesamte Wissensdatenbank, die die KI speiste, abgebildet hätten, inklusive S3-Speicherpfaden und interne Dateimetadaten.

Cyberkriminelle kommerzialisieren KI-gestützte Angriffe

KI-Crimeware als Service für wenige Dollar pro Monat

Security-Learning

„Hier handelte es sich nicht um ein Startup mit drei Entwicklern. Es handelte sich um McKinsey & Company – ein Unternehmen mit erstklassigen Technologie-Teams, erheblichen In­ves­ti­tio­nen in Sicherheit und den nötigen Ressourcen, um die Dinge richtig anzugehen“, schreibt Code­wall in seinem Blog. Eine häufig vorkommende Sicherheitsanfälligkeit wie eine SQL-Injection hätte dem Unternehmen also auffallen müssen, mahnen die Forscher.

Am 1. März 2026 hätten die Forscher von Codewall eine Zusammenfassung ihrer Erkenntnisse an das Sicherheitsteam von McKinsey gesendet. Einen Tag später hätte der CISO von McKinsey den Erhalt der Nachricht bestätigt und detaillierte Nachweise angefordert. Zeitgleich hätte das Beratungshaus damit begonnen, alle nicht authentifizierten Endpunkte zu patchen, die Ent­wick­lungsumgebung offline zu nehmen und die öffentliche API-Dokumentation zu blockieren.

Jailbreaking bedroht KI-Systeme in Unternehmen

Wie Unternehmen ihre KI gegen Manipulation absichern

CISOs und IT-Sicherheitsbeauftragte können aus dieser Situation wichtige Lehren ziehen. Zum einen ist es entscheidend, proaktive Sicherheitsmaßnahmen zu implementieren und regel­mä­ßig Sicherheitsprüfungen durchzuführen, um potenzielle Schwach­stellen wie SQL-Injektionen rechtzeitig zu identifizieren. Außerdem sollten Unternehmen nicht nur auf bekannte Schwach­stellen reagieren, sondern auch ihre Sicherheitsstrategien dynamisch an sich ver­än­dern­de Bedrohungslagen anpassen. Zum anderen ist eine enge Zusammenarbeit zwischen Sicherheits- und Entwicklungsteams von großer Bedeutung. Security-by-Design-Ansätze sollten priorisiert werden, sodass Sicherheitsaspekte von Anfang an in den Entwicklungs­pro­zess integriert werden. Diese Zusammenarbeit kann helfen, Sicherheits­an­fällig­kei­ten bereits im Code zu erkennen und zu beheben, bevor sie zum Problem werden. Dazu kommen die Imple­men­tier­ung strenger Zugriffskontrollen, regelmäßige Schulungen für Mitarbeiter über sichere Praktiken im Umgang mit KI-Systemen und die Integration von Ethikrichtlinien in den KI-Ent­wicklungsprozess.

Drei Ansätze für sichere KI-Nutzung im Vergleich

KI-Sicherheit: Welcher Ansatz schützt wirklich?

(ID:50785633)