Mit dem schnellen Wachstum von KI steigen auch der Bedarf und die Bedeutung von AI-Beschleunigern und darauf ausgelegten Cloud-Umgebungen. Diese spezialisierten Chips sind weder klassische CPUs noch GPUs: Sie übernehmen gezielt jene Rechenaufgaben, die KI in kurzer Zeit erledigen müssen. Gleichzeitig entstehen sogenannte Neo-Clouds, die auf KI-Fähigkeiten ausgerichtet sind und oft auf solchen Beschleunigern basieren.
Für Unternehmen klingt das nach effizienterem Training und schnelleren Inferenz-Workloads. Für die Sicherheit gilt jedoch: Genau diese Entwicklung verschiebt auch die Angriffsoberflächen. Denn viele bewährte Sicherheitsansätze sind über Jahre für Betriebssysteme und Umgebungen rund um CPU-lastige Workloads entworfen worden. Security-Lücken bei AI entstehen dort, wo diese Sicht nicht ausreicht.
Warum Neo-Clouds neue Sicherheitsblindecken schaffen
Neo-Clouds unterscheiden sich von klassischen Hyperscalern wie Azure, Google Cloud oder AWS. Sie sind stärker AI-first und darauf ausgelegt, Training, Inferenz und das Erstellen von Modellen besonders effizient zu unterstützen. Typische Eigenschaften sind massive Parallelisierung, niedrige Latenz und eine flexible Bereitstellung – oft verbunden mit kalkulierbareren Kostenmodellen.
In der Praxis nutzen Kunden Neo-Clouds zum Beispiel, um große KI-Modelle zu trainieren oder für Inferenz hohe Durchsätze zu erreichen. Bei Inferenz sorgt dann die acceleratoroptimierte, latenzarme Hardware dafür, dass Antworten für Chatbots schnell genug ausfallen.
Das Sicherheitsproblem: Beschleuniger-Architekturen bringen Bereiche mit, die herkömmliche Security-Tools nicht ohne Weiteres überwachen. Klassische Lösungen haben meist keine verlässliche Einblick-Möglichkeit in den schnellen Speicherpfad der Beschleuniger, der für KI-Workloads entscheidend ist. Dadurch kann bestehende Security-Überwachung nicht einfach „sehen“, was innerhalb der Hardware abläuft.
Der Kern der Gefahr: Kompromittierung bleibt unsichtbar
Wenn eine Neo-Cloud unbemerkt kompromittiert wird, ist die Wahrscheinlichkeit hoch, dass weder der Anbieter noch die Kunden zuverlässig erkennen, dass etwas schief läuft. Für Unternehmen bedeutet das: Es kann zu einem schweren Supply-Chain-Risiko kommen, das zunächst nicht sichtbar ist.
Besonders kritisch wird es, wenn Kunden die Neo-Cloud für die Entwicklung ihrer KI einsetzen. Dann hängen wichtige Schritte wie Training oder Modellaufbau direkt von dieser Umgebung ab. Wenn hier Manipulationen stattfinden, können sie Auswirkungen haben, ohne dass Standardkontrollen Alarm schlagen.
Ein historisches Warnsignal wird in dem Kontext erwähnt: Die Januscape-Malware. Der Gedanke dahinter ist nicht, dass sie identisch eingesetzt wird, sondern dass ein Angriffsszenario grundsätzlich plausibel wäre, wenn die Umgebung die nötigen Schwachstellen ausnutzen kann.
Warum klassische Cybersicherheit bei Beschleunigern zu kurz greift
Herkömmliche Cybersicherheitsmaßnahmen wurden über Jahrzehnte um CPU-zentrierte Betriebssysteme und deren Telemetrie entwickelt. Viele Instrumente arbeiten mit dem, was Betriebssysteme sichtbar machen: Prozesse, Systemaufrufe, typische Logsignale oder Netzwerkereignisse.
Bei AI-Beschleunigern kommt jedoch hinzu, dass sie spezielle Workloads abladen und intern mit Mechanismen arbeiten, die außerhalb des klassischen Sichtfelds liegen können. Genau deshalb sprechen die beschriebenen Probleme davon, dass gegenwärtige Sicherheitsmaßnahmen nicht „bereit“ sind, um Vorgänge innerhalb neo-cloudspezifischer Hardware direkt zu erkennen.
Security-Lücken bei AI entstehen also weniger durch fehlende gute Absichten, sondern durch fehlende Abdeckung: Es fehlt an Beobachtbarkeit für die Beschleuniger-Schicht.
Stealthium setzt auf einen Agenten – nicht auf Hardware-Einblick
Ein Ansatz, der in diesem Zusammenhang vorgestellt wird, kommt von der Firma Stealthium. Die Kernaussage: Auch wenn man nicht direkt in die Beschleuniger-Hardware einer Neo-Cloud „hineinschauen“ kann, lässt sich über Telemetrie dennoch nach Hinweisen auf Kompromittierung suchen.
Statt eine direkte Sicht auf die Hardware anzustreben, wird ein Agent eingesetzt, der in der Kundeninfrastruktur arbeitet. Dieser Agent ist speziell trainiert, um die subtilen Indizien zu erkennen, die auf eine kompromittierte Neo-Cloud hinweisen könnten.
Wichtig ist dabei eine Denkweise, die im Bericht betont wird: Wenn etwas nicht sichtbar ist, heißt das nicht automatisch, dass nichts passiert. Im Gegenteil – gerade im Security-Umfeld gilt: „Absenz von Beweis“ bedeutet nicht „Absenz von Risiko“.
Warum die geteilte Verantwortung hier anders wirkt
Unternehmen kennen aus Cloud-Umgebungen häufig das Konzept der gemeinsamen Verantwortlichkeit. Der Bericht hebt jedoch hervor, dass dieses Modell im konkreten Fall nicht einfach auf die Beschleuniger-Schicht übertragbar ist. Beobachtbarkeit und bestimmte Kontrollmechanismen lassen sich hier nicht ohne Weiteres in der erwarteten Form anwenden.
Die Herausforderung liegt also nicht nur bei fehlenden Tools, sondern bei der Frage, wie man Sicherheit und Sichtbarkeit in einer Ebene erreicht, die konzeptionell und technisch schwer zu auditieren ist.
Wie Telemetrie Hinweise auf Angriffe liefern kann
Die eingesetzte Technologie wird als nicht grundsätzlich neu beschrieben, aber als stark spezialisiert. Der Agent durchsucht Telemetrie-Daten, die aus der Neo-Cloud kommen. Statt konkrete Hardwaredetails zu analysieren, geht es darum, auffällige Muster oder „Hints“ zu erkennen, die auf einen Angriff hindeuten.
Dieser Unterschied ist entscheidend: Nicht die Technik an sich ist neu, sondern die Art der Signale und die gezielte Ausrichtung des Agents auf die Risiken der Beschleuniger- und Neo-Cloud-Welt.
Beispiel-Szenario: Januscape und mögliche Folgeangriffe
Als Beispiel wird ein Zusammenhang mit Januscape erläutert: Dort wurde eine Schwachstelle in verschachtelter Virtualisierung ausgenutzt. Dadurch konnte ein Angreifer ein spezielles Umfeld bereitstellen oder an Dritte „verkaufen“.
Übertragen auf eine Neo-Cloud-Umgebung könnte ein solcher Fehler zu Cross-Tenant-Leakage führen. Das bedeutet: Ein externer Dritter könnte Einblicke in Inhalte gewinnen, die eigentlich in der jeweiligen Umgebung geschützt bleiben sollten. Im Bericht wird als mögliche Auswirkung genannt, dass ein Dritter dadurch Zugriff auf Erkenntnisse über legitime in-house Chatbots erlangen könnte.
Stealthium will solche Ereignisse bzw. ähnliche Angriffe erkennen, indem der Agent subtile Hinweise in der Neo-Cloud-Telemetrie identifiziert.
Welche Ziele Angreifer mit solchen Wegen verfolgen
Supply-Chain-Angriffe existieren bereits. Der Bericht ordnet jedoch ein, dass ihre Häufigkeit künftig zunehmen kann. Das liegt auch daran, dass die „Beute“ attraktiv ist – für finanziell motivierte Gruppen ebenso wie für Akteure, die Informationen sammeln oder Einfluss gewinnen wollen.
Ein mögliches Ziel wird besonders konkret beschrieben: Wenn ein Angreifer einen Neo-Cloud-Knoten kompromittiert, könnte er Zugang zu KI-Gewichten eines Kunden erlangen. Dadurch wären Manipulationen möglich – das Modell könnte so verändert werden, dass sein Verhalten unbemerkt beeinflusst wird.
Der Bericht nennt beispielhafte Folgen: Das Modell könnte „geneigter“ gegenüber einer bestimmten politischen oder ideologischen Zielrichtung werden, oder der Angreifer könnte Erpressung versuchen. Zusätzlich wird erwähnt, dass kompromittierte Umgebungen auch für Crypto-Mining genutzt werden könnten oder als neuer Ausgangspunkt für weitere Aktivitäten dienen.
Warum die Risiken auch geopolitisch relevant werden können
Der Text macht außerdem eine hypothetische, aber klar adressierte Dimension deutlich: Wenn ein staatlich getriebener Akteur in der Lage wäre, Systeme wie ChatGPT oder Gemini zu beeinflussen, könnte das potenziell Auswirkungen auf ganze Gesellschaften haben.
Damit steigt der Einsatz in einer Bedrohungslage, die gleichzeitig „neu“ ist und noch nicht durch etablierte, umfassende Sicherheitsstandards für alle Beteiligten abgesichert wurde. Gerade deshalb gewinnt ein Ansatz an Bedeutung, der auf sichtbare Hinweise in einer schwer direkt einsehbaren Schicht setzt.
Ein neuer Sicherheitsansatz für beschleunigte Laufzeiten
Stealthium wird als frühes Beispiel für eine neue Art von Sicherheitsanbieter beschrieben. Statt sich nur auf klassische Observability- und Kontrollmechanismen zu verlassen, wird eine Sicht auf die Funktionsweise von Beschleuniger-basierten Laufzeiten angestrebt – ohne zwingend in die Hardware selbst hineinzuschauen.
Der Ansatz beruht auf einem spezialisierten Agenten, der kontinuierlich aktualisiert und trainiert wird, um subtile Hinweise auf eine Kompromittierung der acceleratorgestützten Umgebung zu finden. So wird das Sicherheitsbild dort verbessert, wo klassische Überwachung oft keine ausreichende Abdeckung liefert.
Fazit: Security-Lücken bei AI schließen beginnt mit besserer Sicht
AI-Beschleuniger und Neo-Clouds bringen klare Vorteile für Training und Inferenz. Gleichzeitig verschieben sie die Sicherheitsrealität, weil klassische Tools häufig nicht mit der nötigen Tiefe in die acceleratornahe Schicht hineinreichen. Das kann zu Risiken führen, die erst spät oder gar nicht auffallen – obwohl sie massiv sein können.
Der vorgestellte Agent-basierte Ansatz zeigt einen Weg, um diese Lücke zumindest teilweise zu schließen: über die Analyse von Telemetrie und das Erkennen subtiler Signale statt über direkten Hardware-Einblick. Genau hier liegt die praktische Bedeutung von Security-Lücken bei AI: Wer die Beschleuniger-Schicht nicht beobachtbar macht, arbeitet im Zweifel an entscheidenden Stellen „im Blindflug“.
