Washington/Berlin. Die US-Cybersicherheitsbehörde CISA behandelt künstliche Intelligenz seit 2025 nicht mehr vor allem als Hilfsmittel der Verteidigung, sondern als eigenes Angriffs- und Diebstahlobjekt. Der schärfste aktuelle Text ist die gemeinsame Advisory AA26-251A vom 8. September 2026 mit NSA und FBI: Sechs China-Firmen sollen westliche Frontier-Modelle im Industriemaßstab abschöpfen. Daneben stehen Leitfäden zu agentischer KI, KI in operativer Technik und aktiv ausgenutzten Lücken in KI-Infrastruktur.
Die Kernwarnung: AA26-251A
CISA, NSA und FBI stufen Knowledge Distillation grundsätzlich als legitime Trainingsmethode ein: Ein schwächeres Modell lernt an den Ausgaben eines leistungsfähigeren. Missbraucht werde sie, um Fähigkeiten von Wettbewerbern billiger und schneller zu kopieren als durch eigene Grundlagenforschung. Genau das werfen die Behörden chinesischen Anbietern vor. Die Kampagnen bildeten „den Kern – nicht bloß eine Ergänzung“ der dortigen KI-Strategie.
Genannt werden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Seit mindestens Ende 2024 hätten sie Milliarden Tokens über Millionen Anfragen aus US-Modellen gezogen – Varianten von Claude (Anthropic), GPT (OpenAI), Gemini (Google) und Grok (xAI). Die Behörden schreiben „likely with Chinese government awareness“, nicht „im Auftrag Pekings“. Die Taktik verstoße gegen Nutzungsbedingungen und verkürze Entwicklungszeiten. CISA-Direktor Nick Andersen forderte US-Anbieter auf, Plattformen sofort gegen Distillation zu sichern.
DeepSeek habe gezielt Reasoning, Chain-of-Thought, agentische Funktionen und Fachdomänen (unter anderem Recht) destilliert, um R1 und V3 zu trainieren. Die Behörden stellen die kolportierten niedrigen Trainingskosten infrage, weil der Wert destillierter Daten fehle. Die Aktivität werde über mehrere Modellanbieter, Clouds und API-Aggregator verteilt, um Einzelerkennung zu erschweren.
Empfohlene Sofortmaßnahmen an US-Frontier-Firmen:
- anomale Prompts, Konten, Netze und Nutzungsmuster erkennen (24/7-Last ohne menschliche Pausen, neue Konten sofort am Durchsatzmaximum, auffällige Abo-Nutzungs-Relationen);
- bei Verdacht Antworten subtil verschlechtern oder auf abgerüstete Modelle umleiten – ohne die Verdächtigen zu informieren, damit sie Ausweichstrategien nicht nachjustieren;
- Informationen über Anbieter, Clouds und Aggregatoren hinweg teilen.
Das ist keine klassische Netzwerkeinbruchswarnung mit IOC-Liste. Es ist eine Industriespionage-Warnung gegen die Schnittstellen der Modellanbieter.
Zweite Linie: KI als Waffe und als verwundbare Software
CISA unterscheidet drei Risikoklassen, die in getrennten Produkten stehen.
Agentische Systeme. Am 1. Mai 2026 veröffentlichten CISA, das australische ACSC und Partner den Leitfaden „Careful Adoption of Agentic AI Services“. Kritische Infrastruktur und Verteidigung setzten Agenten zunehmend für missionskritische Abläufe ein. Genannte Risiken: größere Angriffsfläche, schleichende Rechteausweitung, Fehlausrichtung des Verhaltens, unklare Protokolle. Empfehlung: keine unbeschränkten Zugriffe auf sensible Daten, mit risikoarmen Anwendungsfällen beginnen, Agentensicherheit in das bestehende Sicherheitsmodell aufnehmen.
KI in Operational Technology. Am 3. Dezember 2025 erschien die gemeinsame Leitlinie „Principles for the Secure Integration of Artificial Intelligence in Operational Technology“. Mitautoren sind unter anderem NSA AISC, FBI, das kanadische Cyber Centre sowie das deutsche BSI und die Cyberzentren der Niederlande, Neuseelands und Großbritanniens. Vier Prinzipien: KI verstehen, den OT-Kontext prüfen, Governance und Absicherung schaffen, Sicherheit und funktionale Sicherheit in die Systeme einbetten. Incident-Response-Pläne sollen Angriffe gegen KI-Systeme und das Versagen von KI-Systemen getrennt abdecken. Begründung: Mehr KI in Leittechnik bedeutet mehr KI-gestützte Angriffe auf bestehende IT- und OT-Systeme.
Lücken in der KI-Werkzeugkette. Am 2. September 2026 nahm CISA sieben aktiv ausgenutzte Schwachstellen in den Known-Exploited-Vulnerabilities-Katalog auf, darunter CVE-2026-59822 in BerriAI LiteLLM (fehlerhafte Authentifizierung, potenziell unauthentifizierte MCP-Sitzung) und Einträge zu Kestra und Starlette. CISA schrieb die Ausnutzung keinem einzelnen staatlichen Akteur zu. Für Bundesbehörden galten kurze Patch-Fristen. Das Signal: Nicht nur die Modelle selbst, auch Gateways, Orchestrierung und Entwicklerwerkzeuge stehen unter Beschuss.
Eine verwandte, von NSA und FBI mitgetragenen Warnung vom 19. August 2026 betraf KI-generierte Exploit-Skripte gegen Siemens-S7-Steuerungen. Die Behörden nannten das eine „Evolution“: Weniger Fachwissen und Zeit genügten, um ICS-Exploits zu bauen. CISA war hier nicht alleinige Herausgeberin; der Vorgang gehört aber in denselben US-Behördenkomplex.
Institutioneller Rahmen
CISA führt eine eigene KI-Produktliste: Secure-by-Design-Erklärung für KI, „Deploying AI Systems Securely“ (mit NSA AISC), Leitlinien für sichere KI-Entwicklung, ein AI-Cybersecurity-Collaboration-Playbook und eine Five-Eyes-Erklärung, wonach KI das Cyberrisiko rasch verändert.
Seit der Executive Order 14409 vom 2. Juni 2026 betreiben Finanzministerium und CISA die Clearingstelle „Gold Eagle“: KI-entdeckte Schwachstellen sollen in großem Maßstab erfasst, geprüft und in das bestehende VINCE-Koordinierungssystem eingespeist werden. Die Begründung ist pragmatisch: Automatisierte Schwachstellensuche erzeugt ein Volumen, das klassische Meldestellen überfordert.
CISA listet zudem sieben eigene, meldepflichtige KI-Einsatzfälle intern – etwa zur Bedrohungssuche in Bundesnetzen – und stuft keinen davon als rechte- oder sicherheitsbeeinträchtigend im Sinne der damaligen OMB-Vorgaben ein. Das ist Transparenzpflicht, keine Bedrohungswarnung.
Was die Warnungen nicht sagen
AA26-251A ist eine nachrichtendienstlich gestützte Lageeinschätzung, kein Gerichtsurteil und keine technische Forensik mit öffentlich prüfbaren Rohdaten. „Likely with government awareness“ ist schwächer als eine formelle Attribution an MSS oder PLA. Distillation über öffentliche APIs ist rechtlich und technisch etwas anderes als ein Einbruch in Trainingscluster.
Die CISA-Texte zu Agenten und OT sind Vorsorge, keine Nachweistexte über laufende Sabotage. Die KEV-Einträge zu LiteLLM belegen Ausnutzung, nicht den Urheber.
Für deutsche Stellen ist der unmittelbare Anknüpfungspunkt zweifach: Das BSI hat die OT-KI-Prinzipien mitgezeichnet. Und AA26-251A betrifft Modelle, die auch Bundeswehr, Nachrichtendienste und Wirtschaft in Europa nutzen oder gegen deren Ableitungen sie sich messen. Wer chinesische Destillate als billigen Ersatz westlicher Frontier-Modelle einsetzt, übernimmt nach US-Behördendarstellung Fähigkeiten, die ohne die abgeschöpften Originale so nicht entstanden wären – mit unklarer Herkunft der Trainingsdaten und ohne Kontrolle über nachgelagerte militärische Nutzung.
