Sicherheitsvorfall: Autonomer KI-Agent kompromittiert McKinseys KI-Plattform Lilli

Die interne KI-Plattform "Lilli" der renommierten Unternehmensberatung McKinsey & Company wurde kürzlich von einem autonomen KI-Agenten des Security-Start-ups Codewall in einem Sicherheitstest erfolgreich kompromittiert. Innerhalb von nur zwei Stunden gelang es dem Agenten, vollständigen Lese- und Schreibzugriff auf die Produktionsdatenbank der Plattform zu erlangen. Dieser Vorfall wirft ein Schlaglicht auf die Resilienz von KI-Systemen gegenüber automatisierten Angriffen und die Notwendigkeit robuster Sicherheitsstrategien.

Der Vorfall im Detail: Wie Lilli kompromittiert wurde

McKinsey führte Lilli im Juli 2023 ein, um seinen über 40.000 Mitarbeitern die Informationsbeschaffung und Analyse zu erleichtern. Die Plattform verarbeitet monatlich über 500.000 Anfragen und durchsucht das gesamte Firmenwissen, um bis zu 30 Prozent der Recherchezeit einzusparen. Codewall, ein Unternehmen, das auf die Entwicklung offensiver KI-Agenten zur Schwachstellenanalyse spezialisiert ist, wählte McKinsey als Ziel, unter Verweis auf die öffentliche Responsible-Disclosure-Policy des Unternehmens.

Der Angriffsvektor: Eine Schwachstelle aus den 90ern

Der eingesetzte KI-Agent, der ohne vorherige Zugangsdaten oder Insiderwissen agierte, begann seine Analyse mit öffentlich zugänglichen API-Dokumentationen. Dabei identifizierte er 22 Endpunkte, die keine Authentifizierung erforderten. Ein spezifischer Endpunkt, der Suchanfragen in die Datenbank schrieb, erwies sich als anfällig für eine klassische SQL-Injection. Diese Art von Schwachstelle, die seit den 1990er Jahren bekannt ist, ermöglichte es dem Agenten, durch systematische Analyse von Fehlermeldungen und iterativen Blindtests die Datenbank zu manipulieren. Traditionelle Sicherheitsscanner hatten diese Lücke aufgrund des ungewöhnlichen Angriffsvektors über JSON-Feldnamen statt über Eingabewerte offenbar übersehen.

Das Ausmaß des Zugriffs

Nachdem der KI-Agent vollen Lese- und Schreibzugriff erlangt hatte, dokumentierte Codewall den Zugriff auf eine beträchtliche Menge sensibler Daten:

• 46,5 Millionen Chat-Nachrichten im Klartext, die interne Diskussionen über Strategien, Kundenbeziehungen, Finanzen und M&A-Aktivitäten enthielten.
• 728.000 Dateien, darunter 192.000 PDFs, 93.000 Excel-Tabellen, 93.000 PowerPoint-Präsentationen und 58.000 Word-Dokumente.
• 57.000 Benutzerkonten aller registrierten Mitarbeiter.
• 95 System-Prompts, die das Verhalten und die Antworten der KI steuern.
• 384.000 KI-Assistenten und 94.000 Arbeitsbereiche.
• 3,68 Millionen RAG-Dokumentenfragmente aus der internen Wissensdatenbank.
• 266.000 OpenAI-Vektorspeicher mit vollständigen Metadaten zur Dokumentenverarbeitung.

Die Gefahr der Prompt-Manipulation

Besonders alarmierend war der Schreibzugriff auf die System-Prompts. Da diese Anweisungen in derselben Datenbank gespeichert waren, hätte ein Angreifer Lillis Verhalten lautlos manipulieren können. Dies hätte potenziell die Verfälschung von Finanzmodellen, strategischen Empfehlungen oder Risikobewertungen ermöglicht. Zudem wäre die Einbettung vertraulicher Informationen in KI-Antworten zur Exfiltration oder die Entfernung von Schutzmechanismen innerhalb der KI denkbar gewesen, ohne dass dies durch herkömmliche Sicherheitsmechanismen erkannt worden wäre.

Reaktion und Einordnung

Codewall meldete die Schwachstelle am 1. März 2026 an McKinsey. Das Unternehmen reagierte nach eigenen Angaben umgehend. Innerhalb weniger Stunden wurden alle nicht authentifizierten Endpunkte geschlossen, die Entwicklungsumgebung vom Netz genommen und die öffentliche API-Dokumentation gesperrt. Ein Sprecher von McKinsey betonte, dass eine interne Untersuchung, unterstützt durch ein externes Forensikunternehmen, keine Hinweise darauf ergeben habe, dass Kundendaten oder vertrauliche Informationen von den Forschern oder anderen unbefugten Dritten tatsächlich abgerufen wurden. McKinsey hob die Robustheit seiner Cybersicherheitssysteme hervor und bekräftigte die Priorität des Schutzes von Kundendaten.

Dieser Vorfall dient als eine eindringliche Warnung für Unternehmen, die KI-Systeme einsetzen. Er verdeutlicht, dass autonome KI-Agenten in der Lage sind, komplexe Sicherheitslücken zu identifizieren und auszunutzen, die von konventionellen Scannern möglicherweise übersehen werden. Die Tatsache, dass eine altbekannte Schwachstelle wie die SQL-Injection in einem modernen KI-System existieren und zu solch weitreichenden Zugriffen führen konnte, unterstreicht die Notwendigkeit einer umfassenden und adaptiven Sicherheitsarchitektur. Mit der zunehmenden Verbreitung generativer KI-Systeme steigt auch das Risiko, dass automatisierte Angriffssoftware gezielt nach Schwachstellen sucht und diese ausnutzt. Unternehmen müssen ihre Sicherheitsstrategien entsprechend anpassen, um den neuen Herausforderungen durch KI-gestützte Cyberangriffe zu begegnen, insbesondere im Hinblick auf die Sicherung von System-Prompts und RAG-Daten, die zu "Kronjuwelen" der Informationssicherheit werden.

Bibliography

- Handelsblatt. (2026, 11. März). Berater: Hacker knacken in kurzer Zeit den KI-Chatbot von McKinsey. - FinanzNachrichten.de. (2026, 10. März). KI hackt KI: So ist es Forschern gelungen, McKinseys Chatbot in nur zwei Stunden zu übernehmen. - All About Security. (2026, 10. März). KI-Agent knackt McKinseys interne Chatbot-Plattform Lilli in zwei Stunden – SQL-Injection legte Millionen Datensätze offen. - t3n. (2026, 14. März). McKinseys Chatbot Lilli in zwei Stunden geknackt: 46 Millionen Nachrichten lagen im Klartext. - igor´sLAB. (2026, 14. März). Autonomous AI agent hacks McKinsey’s internal chatbot in two hours. - Notebookcheck.com. (2026, 12. März). Super-Hack: McKinsey in nur 2 Stunden von vollautomatischem KI-Agent geknackt, Vollzugriff auf Millionen sensibler Daten. - BankInfoSecurity. (2026, 13. März). Autonomous Agent Hacked McKinsey's AI in 2 Hours. - LinkedIn. (o.D.). Edward Targett's Post - McKinsey's AI agent "Lilli" hacked. - The Decoder. (2026, 11. März). Ein KI-Agent hackt McKinseys KI-Plattform Lilli mit einer Schwachstelle aus den 1990ern.