Cato CTRL stieß auf die Aktivität, als am 31. März in einem russischsprachigen Cybercrime-Forum ein neues Konto unter dem Namen „Trim“ erschien. Der Akteur stellte sich dort vor und veröffentlichte laut Bericht „eine sehr detaillierte Anleitung zum Jailbreaking von KI“. Darin beschrieb er sechs benannte Techniken, um die Sicherheitsfilter von Anthropic Claude Opus zu umgehen, indem die Interpretation von Absicht und Kontext manipuliert wird. Ziel war es laut Cato CTRL, das Modell dazu zu bringen, bösartige Anfragen als legitim oder harmlos zu behandeln.

Die erste Methode, „Context Warming“, beginnt dem Bericht zufolge mit unauffälligen Anfragen zu Sicherheit oder Programmierung, um Vertrauen aufzubauen, bevor schädliche Eingaben folgen. Das „Black Box Principle“ weist das Modell an, nur die Struktur von Code statt dessen Absicht zu analysieren, um Sicherheitsprüfungen zu umgehen. Bei „Ghost Reset“ wird nach einer Ablehnung ein neuer Chat begonnen und die Anfrage umformuliert, verbunden mit dem Hinweis, die vorige Sitzung sei unterbrochen worden.

Mit „Model Cascading“ wird auf alternative KI-Modelle ausgewichen, wenn eines die Mitarbeit verweigert; ausgenutzt werden Unterschiede in den Sicherheitsleitplanken. „Local Uncensored Models“ setzt auf selbst gehostete oder lokal betriebene Modelle mit wenigen oder keinen Beschränkungen, wenn kommerzielle Modelle Anfragen blockieren. Die sechste Technik, „Gray-Market API Access“, beschafft günstige API-Schlüssel über Händler im Untergrund, um kommerzielle KI-Modelle ohne offizielle Zugangswege zu nutzen.

Zunächst machte Trim aus den Jailbreak-Techniken laut Cato CTRL noch kein Geschäft. Knapp drei Monate nach der Veröffentlichung kehrte der Akteur jedoch in das Forum zurück und startete „AI Pentest Checker“. Die Plattform wird im Bericht als automatisierter Dienst zum Scannen von Web-Schwachstellen beschrieben, der mehrere KI-Modelle mit einem Werkzeugkasten für offensive Sicherheit integriert. Automatisiert werden sollen Aufklärung, die Validierung von Schwachstellen, die Berichterstattung zu Ausnutzungsmöglichkeiten und die Erstellung von PDF-Berichten.

Nach Angaben von Cato CTRL stützt sich die Plattform auf einen modifizierten System-Prompt, der angeblich aus einer geleakten Konfiguration von Claude Fable 5 abgeleitet wurde, um die KI-gestützte Eskalation von Schwachstellen zu verbessern. Die Forscher werten das als „eine erhebliche Eskalation“ offensiver Werkzeuge. In ihrem Bericht warnen sie zudem, dass sich mit der Verbreitung von Fähigkeiten der „Mythos“-Klasse über direkten API-Zugang, Schlüsselhändler oder geleakte Konfigurationen auch die darauf aufbauenden Offensivwerkzeuge in Raffinesse und Zugänglichkeit weiterentwickeln werden.

Etay Maor, Vice President of Threat Intelligence bei Cato Networks, sagte Dark Reading, der Fall zeige drei Hauptprobleme beim Einsatz von KI durch Bedrohungsakteure: die Geschwindigkeit von Analyse, Entwicklung und Einsatz, die Skalierung dieser Aktivitäten und den breiteren Zugang zu Werkzeugen, die früher nur hochspezialisierten Gruppen oder Nationalstaaten zur Verfügung standen. Für Rickard Carlsson, CEO des Anwendungssicherheitsanbieters Detectify, sticht vor allem die Geschwindigkeit hervor, mit der Trim sein offensives Wissen in einen wiederholbar nutzbaren Dienst überführt habe.

Carlsson sagte Dark Reading weiter, KI verändere die Ökonomie von Cyberangriffen, weil sie den Zeit- und Fachaufwand verringere, um von Experimenten zum operativen Einsatz zu gelangen. Der größere Zusammenhang sei, dass bestehende Techniken schneller skaliert und für eine deutlich breitere Gruppe von Akteuren zugänglich würden. Maor empfiehlt deshalb, Erkennung nicht an einzelnen verdächtigen Anfragen festzumachen, sondern an Verhaltenssequenzen und früher Aufklärung. Früher seien Scans lautstark gewesen, heute könnten einzelne Anfragen weniger auffällig wirken. Die Angriffsschritte als Sequenz seien aber weiterhin vorhanden; entscheidend werde deshalb die Sichtbarkeit über mehrere Schritte hinweg.