Lumen Black Lotus Labs hat am 7. Oktober 2026 eine laufende Malware-Kampagne mit mehr als 3.400 betroffenen Servern beschrieben. Unter den angegriffenen Systemen befinden sich öffentlich erreichbare Installationen von LiteLLM und Ollama. Ebenfalls betroffen sind andere Anwendungen wie Gotenberg und Gitea. Der Fall ist damit kein Angriff ausschließlich auf Sprachmodelle, sondern auf Server, die unter anderem AI-Infrastruktur bereitstellen.
Die Forscher verfolgen die unter dem Namen PoeLLM erfasste Schadsoftware seit April. Auf dem Höhepunkt beobachteten sie nach eigenen Angaben mehr als 800 gleichzeitig aktive infizierte Systeme an einem Tag. BleepingComputer und The Register haben den Bericht am 7. Oktober unabhängig aufgearbeitet. Die Gesamtzahl von 3.400 stammt aus Lumens Netzwerktelemetrie; sie ist keine öffentliche vollständige Opferliste.
Die kompromittierten Systeme lieferten Rechenleistung und weitere Infrastruktur
PoeLLM wurde nach der Analyse auf anfälligen, direkt aus dem Internet erreichbaren Diensten installiert. Die Software setzte die Rechenleistung der betroffenen Maschinen für Kryptowährungs-Mining ein. Sie konnte kompromittierte Systeme außerdem für die Suche nach weiteren exponierten Servern verwenden.
Lumen beobachtete dabei auch Verbindungen zu einer Mining-Infrastruktur. Ob jede infizierte Maschine über eine GPU verfügte oder in welchem Umfang GPU-Ressourcen tatsächlich genutzt wurden, lässt sich aus den veröffentlichten Daten nicht bestimmen. AI-Server sind für solche Kampagnen attraktiv, weil sie oft leistungsfähige Hardware betreiben und mitunter zu weitreichend im Netzwerk erreichbar sind. Der konkrete Missbrauch bleibt jedoch ein klassischer Servereinbruch.
Das unterscheidet den Fall vom sogenannten LLM-Jacking, bei dem fremde Modellzugänge oder API-Budgets verbraucht werden. PoeLLM kompromittiert nach Lumens Bericht die zugrunde liegenden Hosts. Dass auf einem Opfer LiteLLM oder Ollama läuft, macht den Angriff nicht automatisch zu einer Manipulation des Modells.
Ein öffentliches Gedicht diente als wechselnder Verweis auf die Steuerungsinfrastruktur
Ungewöhnlich ist die Art, wie die Malware ihre Gegenstelle fand. Lumen entdeckte in einem öffentlich abrufbaren Text auf GitHub eine Reihe von Wörtern, die von der Schadsoftware als veränderliche Kennung für ihre Steuerungsinfrastruktur interpretiert wurden. Der Text wurde seit April mehrfach verändert. Damit konnte der Betreiber die Infrastruktur wechseln, ohne jedes infizierte System erneut konfigurieren zu müssen.
Das ist keine Prompt Injection und auch kein Nachweis für AI-generierte Schadsoftware. Der Text wurde von normalem Programmcode verarbeitet. Der Name PoeLLM und die Form des Gedichts dürfen deshalb nicht mit einer eigenständig handelnden AI verwechselt werden.
Lumen ordnet den Betreiber anhand verschiedener Indizien mit mittlerer Sicherheit einem italienischsprachigen Umfeld zu. Eine bestätigte Identität liegt nicht vor. Das Unternehmen berichtet außerdem, die erkannten Steuerungsserver in seinem Netzwerk blockiert zu haben. Diese Maßnahme betrifft Lumens eigene Sicht und bedeutet nicht, dass sämtliche kompromittierten Hosts bereinigt wurden.
Für AI-Infrastruktur gilt dieselbe Host-Sicherheit wie für andere Dienste
Die Untersuchung zeigt einen überprüfbaren Betriebsfehler: Server für AI-Anwendungen und Hilfsdienste waren von außen erreichbar und verwundbar. Betreiber müssen deshalb die Exposition der Verwaltungs- und API-Endpunkte erfassen, Sicherheitsupdates einspielen und ungewöhnliche Rechenlast sowie ausgehende Verbindungen überwachen.
Auch nach dem Abschalten eines öffentlich erreichbaren Endpunkts kann ein bereits kompromittierter Host weiter betroffen sein. Bei Verdacht sind die Hostintegrität und mögliche Folgeaktivitäten separat zu untersuchen. Ein bloßer Austausch des Modell-API-Schlüssels behebt eine Hostkompromittierung nicht.
Quellen: Lumen Black Lotus Labs, „Canto incognito: tracking the PoeLLM malware“, 7. Oktober 2026; BleepingComputer, „PoeLLM malware infects exposed AI servers in cryptomining attacks“, 7. Oktober 2026; The Register, „Poetry is the new AI security threat as PoeLLM malware infects 3K+ servers“, 7. Oktober 2026.