Gestohlener API-Key verursacht KI-Nutzung im Wert von rund 600.000 Dollar
Ein einziger falsch abgesicherter API-Schlüssel kann teuer werden. Das zeigt ein Sicherheitsvorfall bei der Forschungsorganisation METR ziemlich eindrucksvoll: Angreifer konnten einen API-Key stehlen und damit über mehrere Wochen KI-Modelle nutzen. Der dabei entstandene Verbrauch hätte nach Angaben von METR Kosten von rund 600.000 US-Dollar verursacht.
METR steht für Model Evaluation and Threat Research und untersucht unter anderem, wozu moderne KI-Modelle und KI-Agenten in der Lage sind. Die Organisation hat nun zwei Sicherheitsvorfälle aus dem Jahr 2026 öffentlich gemacht.
Die gute Nachricht vorweg: Nach aktuellem Stand gibt es keine Hinweise darauf, dass sensible interne Daten gestohlen wurden.
Eine öffentlich erreichbare Testumgebung wurde zum Problem
Der erste Vorfall ereignete sich bereits im März 2026.
Ein METR-Mitarbeiter betrieb KI-Agenten auf einer persönlichen EC2-Instanz bei Amazon Web Services. Die Anwendung war absichtlich aus dem Internet erreichbar und sollte eigentlich über eine Google-Anmeldung geschützt werden.
Genau dieser Schutz funktionierte allerdings nicht so, wie gedacht.
Durch einen sogenannten Fail-Open-Fehler wurde die Authentifizierung stillschweigend deaktiviert. Das Dashboard zur Steuerung der Agenten war dadurch mehrere Tage lang öffentlich im Internet erreichbar.
Auf dem System befand sich außerdem ein API-Schlüssel, mit dem auf öffentlich verfügbare KI-Modelle zugegriffen werden konnte.
Der Angreifer ließ sich den API-Key vom KI-Agenten geben
Besonders interessant ist, wie der API-Schlüssel offenbar gestohlen wurde.
METR vermutet, dass der Angreifer gezielt nach neu registrierten Webseiten beziehungsweise neu erreichbaren Diensten gesucht hat. Denkbar ist dabei die Auswertung öffentlich einsehbarer Certificate-Transparency-Listen, kombiniert mit Begriffen rund um LLMs, KI-Agenten und ähnliche Technologien.
Nachdem die Instanz gefunden worden war, soll der Angreifer den laufenden Agenten direkt dazu gebracht haben, den hinterlegten API-Schlüssel preiszugeben.
Danach wurde zusätzlich ein SSH-Schlüssel auf dem System eingerichtet, um den Zugriff dauerhaft aufrechterhalten zu können.
Mit dem gestohlenen Schlüssel nutzte der Angreifer anschließend über ungefähr drei Wochen hinweg große Mengen an KI-Leistung.
Rund 600.000 Dollar Verbrauch – aber keine Rechnung
Nach Angaben von METR hätte die missbräuchliche Nutzung regulär ungefähr 600.000 US-Dollar gekostet.
Dass es tatsächlich nicht zu dieser Rechnung kam, lag daran, dass der nicht genannte KI-Anbieter der Organisation die entsprechenden Credits offenbar kostenlos zur Verfügung gestellt hatte.
Der hohe Verbrauch fiel außerdem nicht sofort auf. METR führt selbst umfangreiche Tests mit KI-Modellen durch und verbraucht dadurch ohnehin große Mengen an Tokens.
Hinzu kam, dass es bei dem betroffenen API-Schlüssel offenbar keine festen Ausgabenlimits gab.
Nach dem Vorfall hat METR seine Sicherheitsrichtlinien angepasst. Zugangsdaten sollen strenger von privaten oder externen Systemen getrennt werden. Außerdem wurden Monitoring und Warnmeldungen für ungewöhnlich hohe Ausgaben verbessert.
Zweiter Angriff wenige Monate später
Im Mai 2026 beobachtete METR einen weiteren Vorfall.
Diesmal handelte es sich offenbar um eine gezielte und länger laufende Angriffskampagne. METR geht davon aus, dass die Angreifer wahrscheinlich finanziell motiviert waren und Zugang zu leistungsfähigen KI-Modellen erlangen wollten.
Dabei wurden öffentlich erreichbare Systeme systematisch untersucht.
Zum Einsatz kamen laut METR unter anderem:
Credential Stuffing gegen Anmeldedienste
Versuche, OAuth-Tokens zu erhalten
Scans neu bereitgestellter Dienste
Phishing gegen Mitarbeiter
automatisierte Suche nach Schwachstellen
Interessant ist auch, dass die Angreifer dabei offenbar selbst stark auf Automatisierung und Agenten gesetzt haben.
Auch ein internes Datenproblem wurde entdeckt
Ungefähr zur gleichen Zeit stellte METR noch ein weiteres Problem fest.
Der öffentliche Transcript Viewer der Organisation enthielt eine Schnittstelle für schreibgeschützte SQL-Abfragen. Eigentlich sollten darüber ausschließlich öffentliche Daten erreichbar sein.
Durch einen Fehler hätte diese Funktion jedoch theoretisch auch den Zugriff auf noch nicht veröffentlichte Evaluierungsdaten ermöglichen können.
Zusätzlich enthielt die zugrunde liegende Datenbank versehentlich sensible Modelldaten, obwohl dort eigentlich nur nicht sensible Informationen gespeichert werden sollten.
Entdeckt wurde das Problem letztlich von einem unabhängigen Sicherheitsforscher. METR nahm die betroffene API daraufhin offline.
Offenbar kein Zugriff auf nicht öffentliche Daten
Die Angreifer hatten diesen Endpunkt im Rahmen ihrer Kampagne zwar ebenfalls untersucht.
Nach den bisherigen Erkenntnissen von METR gibt es jedoch keine Hinweise darauf, dass sie die eigentliche Schwachstelle erkannt oder darüber auf nicht öffentliche Daten zugegriffen haben.
Auch insgesamt geht die Organisation davon aus, dass bei den beiden Sicherheitsvorfällen keine sensiblen Informationen abgeflossen sind.
Was man aus dem Vorfall lernen kann
Der Fall ist ein gutes Beispiel dafür, dass bei KI-Anwendungen am Ende oft ganz klassische Sicherheitsprobleme entscheidend sind.
Nicht die KI selbst war hier das eigentliche Problem, sondern eine öffentlich erreichbare Anwendung, ein fehlgeschlagener Login-Schutz und ein API-Schlüssel, der direkt im Umfeld eines Agenten verfügbar war.
Dazu kamen fehlende Ausgabenlimits und ein hoher regulärer Verbrauch, der den Missbrauch zunächst verdeckte.
Gerade bei KI-Diensten können solche Fehler schnell teuer werden. Ein gestohlener API-Key ist heute nicht nur ein technisches Risiko, sondern kann auch unmittelbar einen hohen finanziellen Schaden verursachen.
Fazit
Bei METR reichte offenbar eine schlecht abgesicherte Testumgebung aus, damit ein Angreifer einen API-Schlüssel abgreifen und über Wochen nutzen konnte.
Der theoretische Schaden lag bei rund 600.000 US-Dollar.
Der Vorfall zeigt deshalb sehr deutlich: API-Schlüssel sollten nur dort liegen, wo sie wirklich benötigt werden, Zugriffe sollten begrenzt sein und ungewöhnlich hoher Verbrauch muss möglichst früh auffallen.
Gerade bei KI-APIs ist ein kleines Sicherheitsloch sonst schnell sehr viel teurer, als man zunächst denkt.