McKinsey Lilli Hack: KI-Agent legt 46,5 Mio. Chatnachrichten offen
Der McKinsey Lilli Hack, den das Red-Team-Startup CodeWall am 9. März 2026 öffentlich machte, zeigte einen KI-Agenten, der sich in zwei Stunden vollen Lese- und Schreibzugriff auf die interne KI-Plattform der Unternehmensberatung verschaffte. Laut CodeWall erreichte der Agent über eine SQL-Injection 46,5 Millionen Chatnachrichten und 95 beschreibbare Systemprompts. McKinsey sagt, die Lücken seien innerhalb weniger Stunden geschlossen worden, ein Zugriff auf Kundendaten sei nicht festgestellt worden. Für jedes Unternehmen mit einem internen KI-Assistenten zeigt der Fall: Eine alte Web-Schwachstelle kann heute bis zu den Anweisungen des Modells reichen.
Warum McKinseys Lilli ein lohnendes Ziel war
In Lilli steckt ein großer Teil dessen, was McKinsey weiß. Die Beratung führte die Plattform für generative KI im Juli 2023 ein, und laut Unternehmen nutzen sie heute 72 Prozent der Beschäftigten, mehr als 40.000 Menschen. Der Chatbot verarbeitet jeden Monat über 500.000 Prompts.
Berater stellen Lilli in natürlicher Sprache Fragen an die Wissensdatenbank des Hauses. In einem Interview mit The Stack Anfang 2025 sagte Jacky Wright, damals Chief Technology and Platform Officer von McKinsey, das Unternehmen habe sein Wissen mit Embedding-Modellen von OpenAI in Vektordatenbanken überführt, mit semantischer Suche und Stichwortsuche sowie dem Re-Ranker von Cohere zur Verfeinerung der Ergebnisse. Nach eigenen Angaben macht KI-Beratung rund 40 % des Umsatzes aus, und der CEO sagte, die Firma habe 25.000 KI-Agenten zur Unterstützung der Belegschaft gebaut.
Wie der KI-Agent von CodeWall McKinsey auswählte und eindrang
CodeWall greift mit KI-Agenten die Infrastruktur seiner Kunden an, damit diese Schwachstellen zuerst beheben können. Der eigene Sicherheitsagent schlug McKinsey als Ziel vor und verwies auf die öffentliche Richtlinie zur verantwortungsvollen Offenlegung auf HackerOne sowie auf jüngste Updates von Lilli. Zugangsdaten hatte der Agent keine.
Er fand öffentlich zugängliche API-Dokumentation mit mehr als 200 Endpunkten, von denen 22 keine Authentifizierung verlangten. Ein offener Endpunkt speicherte Suchanfragen von Nutzern, und die JSON-Schlüssel, also die Feldnamen, wurden direkt in SQL eingesetzt. Als der Agent diese Feldnamen wortgleich in Fehlermeldungen der Datenbank wiederfand, erkannte er eine SQL-Injection, die Standardwerkzeuge nicht melden würden. Laut CodeWall folgten fünfzehn blinde Durchläufe, bis echte Produktionsdaten zurückflossen.
CodeWall-Gründer Paul Price sagte The Stack, der Einbruch habe zwei Stunden und 20 US-Dollar an Tokens gekostet. The Register sagte er, der Ablauf sei „vollständig autonom gewesen, von der Recherche über das Ziel bis zu Analyse, Angriff und Bericht".
Was der Agent in Lilli erreichte
Laut CodeWall hatte der Agent innerhalb von zwei Stunden vollen Lese- und Schreibzugriff auf die Produktionsdatenbank. Nach eigener Zählung umfasste das 46,5 Millionen Chatnachrichten zu Strategie, Fusionen und Übernahmen sowie Kundenprojekten, im Klartext gespeichert, dazu 728.000 Dateien, 57.000 Nutzerkonten, 384.000 KI-Assistenten und 94.000 Arbeitsbereiche.
Das sind die Zahlen von CodeWall. Sicherheitsanalyst Edward Kiledjian nannte die Angriffskette „plausibel und technisch fundiert", das behauptete Ausmaß sei aber „nicht vollständig belegt". Eine Quelle bei McKinsey sagte der Financial Times, die eigentlichen Dateien seien getrennt gespeichert gewesen und „nie in Gefahr".
Warum beschreibbare Systemprompts das Risiko erhöhen
Lillis 95 Systemprompts, also die Anweisungen, die festlegen, wie der Chatbot antwortet, lagen in derselben Datenbank, und die Lücke erlaubte Schreibzugriffe. Ein Angreifer hätte sie unbemerkt umschreiben können: wie Lilli Beratern antwortet, welche Schutzregeln gelten und wie Quellen zitiert werden, ganz ohne neuen Code und ohne übliche Sicherheitsalarme.
„Kein Deployment nötig. Keine Codeänderung. Nur ein einziges UPDATE-Statement in einem einzigen HTTP-Aufruf." CodeWall dazu, wie Lillis Prompts hätten umgeschrieben werden können
Wie McKinsey auf die Meldung reagierte
Der Agent von CodeWall fand die Lücke Ende Februar, am 1. März legten die Forscher die vollständige Angriffskette offen. Bis zum 2. März hatte McKinsey alle Endpunkte ohne Authentifizierung gepatcht, die Entwicklungsumgebung vom Netz genommen und die öffentliche API-Dokumentation gesperrt.
Ein Sprecher von McKinsey sagte, die Probleme seien innerhalb weniger Stunden behoben worden. Die Untersuchung des Unternehmens, unterstützt von einer führenden externen Forensikfirma, fand nach eigenen Angaben keine Hinweise darauf, dass der Forscher oder andere Unbefugte auf Kundendaten oder vertrauliche Kundeninformationen zugegriffen haben. Price sagt, das Team von McKinsey habe den Blogbeitrag von CodeWall vor der Veröffentlichung gegengelesen und ergänzt.
Was der Hack für Unternehmen mit internen KI-Tools bedeutet
Die Lücke war nicht neu. Laut CodeWall lief Lilli seit über zwei Jahren produktiv, und McKinseys interne Scanner hatten das Problem nicht gefunden; Price sagt, auch ein Scan mit OWASP ZAP habe es übersehen. Die KI-Schicht hat das Loch nicht geschaffen, aber sie hat seinen Preis erhöht.
Für ein Unternehmen ist die Aufgabe klar: Ein interner Assistent erbt jede Schwäche der Webanwendung, die ihn umgibt. Offene API-Dokumentation, Endpunkte ohne Authentifizierung und Prompts neben Nutzerdaten machen aus einem gewöhnlichen Bug einen Weg, das zu ändern, was Tausenden Beschäftigten gesagt wird. Price warnte, Angreifer würden dieselben Agententechniken nutzen, etwa für Erpressung oder Ransomware.
Fragen und Antworten
Wie hat ein KI-Agent McKinseys Lilli gehackt?
Der Agent von CodeWall fand öffentliche API-Dokumentation, nutzte einen von 22 Endpunkten ohne Authentifizierung und entdeckte eine SQL-Injection in der Art, wie JSON-Schlüssel in Datenbankabfragen eingebaut wurden. Fehlermeldungen gaben danach echte Produktionsdaten preis.
Wurden beim Lilli-Hack Kundendaten von McKinsey offengelegt?
Laut CodeWall konnte der Agent vertrauliche Kundendaten erreichen. McKinsey sagt, die eigene Untersuchung mit einer externen Forensikfirma habe keine Hinweise ergeben, dass der Forscher oder andere Unbefugte auf Kundendaten zugegriffen haben.
Was ist McKinseys Plattform Lilli?
Lilli ist McKinseys interne Plattform für generative KI, gestartet im Juli 2023. Sie beantwortet Fragen der Berater aus der Wissensdatenbank des Hauses, und laut Unternehmen nutzen sie 72 Prozent der Beschäftigten.
Die Sicht von MOZGII
Wie wir es bauen würden
Ein interner Assistent wie Lilli besteht eigentlich aus drei Teilen: einem Dokumentenspeicher, Anweisungen, die dem Modell sagen, wie es antworten soll, und einem Webdienst, über den Menschen fragen. Hier war der Webdienst die Schwachstelle, und die Anweisungen lagen in derselben Datenbank wie alles andere. Würden wir einen solchen Assistenten bauen, würden wir die Systemprompts in einem eigenen Speicher ablegen, den die laufende Anwendung lesen, aber nie beschreiben kann. Eine Änderung an einem Prompt würde dieselbe Prüfung durchlaufen wie eine Codeänderung, freigegeben von einer namentlich benannten Person.
Jeden Endpunkt würden wir standardmäßig hinter eine Anmeldung stellen und die API-Dokumentation aus dem öffentlichen Internet heraushalten. Außerdem würden wir regelmäßig einen eigenen Angriffsagenten auf den Dienst ansetzen, denn der Fall zeigt, dass gewöhnliche Scanner übersehen können, was ein Agent durch beharrliches Ausprobieren findet. Jeder Fund ginge an eine Person, die für die Behebung verantwortlich ist, mit Frist.
Brechen würde es dort, wo Teams für eine neue Funktion schnell neue Endpunkte hinzufügen und die Prüfung überspringen. Die eine Kennzahl, die wir beobachten würden, ist der Anteil aktiver Endpunkte mit Authentifizierung, und der sollte bei allen liegen. Als Nächstes würden wir einen Alarm bauen, der auslöst, wenn sich die Anweisungen eines Assistenten außerhalb des freigegebenen Release-Wegs ändern, damit aus einer stillen Änderung eine laute wird.
Quellen
Woher die Fakten dieser Meldung stammen.