› Oktober 2026METR hat den Diebstahl eines API-Schlüssels und die unbefugte Nutzung kostenloser Guthaben in einem Bericht vom 31.08.2026 offengelegt.
› Es handelt sich um einen Fall, bei dem man den rechnerischen Wert der genutzten Ressource von einem echten Barverlust trennen muss - ebenso wie den Verlust der Zugriffskontrolle von einem bestätigten Datenabfluss.Auf einen BlickEin Angreifer brachte einen KI-Agenten dazu, einen API-Schlüssel preiszugeben.Über einen Zeitraum von drei Wochen wurden kostenlose Credits im geschätzten Gegenwert von rund 536.625 EUR (600.000 USD; Umrechnungskurs: 1 EUR = 1,1181 USD, Referenzkurs der EZB vom 12.10.2026, Quelle: EZB) verbraucht: METR, 31.08.2026.Diese Schätzung bedeutet keinen direkten Barabfluss in dieser Höhe.ChronologieMärz - früherer Kontext: Diebstahl des Schlüssels, der erst im August öffentlich gemacht wurde.Mai: Separater Sondierungsversuch, teils agentenbasiert; ein Forscher meldete eine Schwachstelle im Viewer.Offenlegung im August: METR beschrieb Anpassungen beim Monitoring, der Schlüsselrotation und der Infrastruktur-Trennung.Quelle der Chronologie: METR, 31.08.2026.Was man bei einem API-Vorfall messen mussKategoriePrüffrageGrenze der InterpretationRessourceWie viel des verfügbaren Kontingents wurde verbraucht?Ein geschätzter Wert ist keine tatsächliche Rechnung.GeheimnisWelche Berechtigungen gewährte der Schlüssel?Die Offenlegung eines Schlüssels beweist keinen Datenabruf.ZahlungWelche Verbindlichkeiten sind tatsächlich entstanden?Ein Betrag erfordert eine reale Abrechnungsgrundlage.Ablauf: Der Schlüssel und eine separate SicherheitslückeDie im März auf einer persönlichen EC2-Instanz betriebene Anwendung eines Forschers wies einen Fail-Open-Authentifizierungsfehler auf.
› Beim separaten Vorfall im Mai fand METR keine Beweise dafür, dass die Schwachstelle im Viewer von Angreifern ausgenutzt oder nicht-öffentliche Daten heruntergeladen wurden: METR, 31.08.2026.Diese Ereignisse erfordern eine getrennte Betrachtung.
› Der Schlüsseldiebstahl wirft Fragen nach der Kontrolle über Berechtigungen und den Ressourcenverbrauch auf.