Besonders herausfordernd werde es laut Hultquist durch den agentischen Einsatz von KI, der einen skalierten und schnelleren Gegner erzeuge: „Kriminelle, wie jene, die eine Massenausnutzungskampagne in nur sechs Stunden durchgeführt haben, werden sich zu Angriffen hin bewegen, die schneller sind, als wir reagieren können." Zugleich betont er, dass neben dem Schwachstellenproblem auch mehrere andere Felder von KI durchdrungen werden.
Google verweist darauf, dass KI-gestützte Programmierwerkzeuge nicht nur Entwicklungszyklen beschleunigen, sondern Entwickler, KI-Coding-Assistenten und LLM-Sicherheitsscanner selbst zum Ziel machen — mit entsprechend steigenden Risiken für die Open-Source-Lieferkette. Getrieben wird das laut GTIG vor allem von dem finanziell motivierten Akteur TeamPCP (auch Altered Spider und UNC6780), der eine Reihe großflächiger Lieferkettenangriffe gegen PyPI, npm und Docker Hub durchgeführt hat.
Nach der Erstkompromittierung folgen Zugangsdaten-Stealer wie SANDCLOCK und DUSTMAKER, mit denen sensible Daten abgegriffen und KI-Coding-Assistenten angegriffen werden. Die Beute wird laut Google entweder direkt verkauft oder über Partnerschaften mit Ransomware- und Erpressungsgruppen monetarisiert.
DUSTMAKER ist laut GTIG der Nachfolger von SANDCLOCK. SANDCLOCK — im März und April 2026 eingesetzt und Bestandteil dessen, was öffentlich als CanisterWorm bezeichnet wurde — war überwiegend in Python geschrieben, für Linux gedacht und auf die Interaktion mit Kubernetes ausgelegt. Es enthielt eine Container-Escape-Funktion und nahm neben Cloud- und Entwickler-Zugangsdaten auch Kryptowährungs-Wallets ins Visier.
DUSTMAKER, ab April im Einsatz, ist dagegen ein plattformübergreifendes JavaScript-Payload, das für CI/CD-Pipelines optimiert ist und keine Container-Escape-Funktion mitbringt. Der Fokus liegt auf Zugangsdatenklau zur Vorbereitung von Erpressungsoperationen; einzelne Varianten zielen ebenfalls auf Krypto-Wallets. Die KI-spezifischen Techniken — das Vergiften von Arbeitsbereichen von KI-Assistenten sowie Prompt Injection zur Umgehung von Abwehrmaßnahmen — sind laut GTIG exklusiv DUSTMAKER vorbehalten und fehlten in früheren SANDCLOCK-Varianten.
Auch Spionageakteure setzen auf agentische KI: Eine China-nahe Gruppe nutzte Gemini, um ein automatisiertes Penetrationstest-Framework zu entwerfen. Ziel war laut Google eine agentische Architektur, die den Zustand eines Ziels beobachtet, Handlungen durchdenkt und Aufgaben in unvorhersehbaren Umgebungen ausführt — der geplante Agent sollte Erkundungsaufgaben wie Portscans und das Auswerten von Diensten übernehmen.
Eine weitere Kategorie des Missbrauchs großer Sprachmodelle betrifft Experimente zur Schwachstellenforschung, zum Prototyping von Exploits, zur Orchestrierung komplexer Werkzeugketten und zu taktischen Entscheidungen im laufenden Betrieb. Parallel wächst die Nachfrage nach KI-Zugängen: Zugangsdaten werden gestohlen oder im Untergrund gekauft, wahrscheinlich über Infostealer wie Lumma Stealer, Vidar und ACR Stealer, die ihre Fähigkeiten auf KI-Entwicklerkonfigurationen ausgeweitet haben. Im Fall UNC6508 wurden lokale Modelle auf kompromittierten Hosts betrieben.
GTIG sieht in Modellen mit offenen Gewichten ein steigendes Risiko, weil sie lokale, unbeobachtete Installationen ohne Schutzmechanismen ermöglichen — besonders bei „abliterierten" beziehungsweise unzensierten Varianten. Während API-gebundene Frontier-Modelle den Anbietern Missbrauchserkennung erlauben, fehle bei offenen Modellen die zentrale Sichtbarkeit für Verteidiger, was Angreifern Vorteile etwa bei Phishing und Schadskripten verschaffe. Da offene Modelle aber Innovation antreiben, sei ein bloßes Abriegeln des Zugangs unpraktikabel; Google verweist auf sein Frontier Safety Framework und die Critical Capability Levels sowie auf durchsetzbare, branchenweite Sicherheitsstandards für Open-Source-KI.