Censys: KI-Boom lässt die Angriffsfläche explodieren
Öffentlich erreichbare KI-Dienste nehmen rasant zu. Censys zählt inzwischen mehr als 294.000 IP-Adressen mit exponierten KI- oder LLM-Werkzeugen. Zugleich steigt die Zahl offen erreichbarer industrieller Steuerungssysteme. Besonders kritisch: Stark wachsende KI-Tools weisen teils bereits aktiv ausgenutzte Schwachstellen auf.
Mehr als 294.000 IP-Adressen führen derzeit zu öffentlich erreichbaren KI- und LLM-Werkzeugen. Noch im Oktober 2025 hatte Censys rund 183.000 solcher Adressen gezählt. Innerhalb von neun Monaten ist die Zahl damit um mehr als 60 Prozent gestiegen. Das geht aus einer Vorabauswertung des State of the Internet Report 2026 hervor.
Öffentlich erreichbar bedeutet allerdings nicht automatisch unsicher oder bereits kompromittiert. Jeder zusätzliche Dienst vergrößert jedoch die Angriffsfläche. Besonders kritisch wird es, wenn Administrations-Oberflächen, Programmierschnittstellen oder Automatisierungs-Werkzeuge ohne ausreichende Zugriffskontrolle offen im Netz stehen.
Nach Angaben von Censys gehören einige der KI-Werkzeuge mit besonders schnell wachsenden Installationszahlen zugleich zu den Produkten mit erhöhtem Schwachstellenrisiko. Der Anbieter nennt unter anderem Langflow und LiteLLM. Beide Komponenten übernehmen zentrale Aufgaben bei der Entwicklung, Orchestrierung oder Anbindung von Sprachmodellen.
Langflow und LiteLLM wachsen besonders schnell
Die Zahl der im Internet sichtbaren Langflow-Instanzen nahm laut Censys innerhalb von neun Monaten um 169 Prozent zu. Für das Werkzeug wurden zwischen 2024 und 2026 insgesamt 18 CVE-Schwachstellen dokumentiert. 14 davon erreichten einen CVSS-Wert von mehr als 8,0. Vier Einträge befinden sich zudem im KEV-Katalog der US-Sicherheitsbehörde CISA für nachweislich ausgenutzte Schwachstellen.
Mehrere Sicherheitslücken ermöglichen eine nicht authentifizierte Remote-Code-Ausführung. Angreifer könnten dadurch unter Umständen Befehle auf einem erreichbaren System ausführen, ohne sich zuvor anmelden zu müssen. Ob eine konkrete Installation verwundbar ist, hängt unter anderem von der eingesetzten Version, der Konfiguration und bereits installierten Sicherheitsupdates ab.
Bei LiteLLM ermittelt der Report im gleichen Zeitraum ein Wachstum von 97 Prozent. Die Software dient als einheitlicher Proxy für unterschiedliche LLM-Anbieter und verwaltet dabei häufig Zugangsdaten zu mehreren Modelldiensten. Eine Kompromittierung kann deshalb über das betroffene System hinausreichen. Als konkretes Risiko werden eine bereits aktiv ausgenutzte SQL-Injection-Schwachstelle vor der Authentifizierung genannt.
Für IT-Verantwortliche genügt es daher nicht, nur die eigentlichen KI-Modelle abzusichern. Auch Weboberflächen, Proxys, Agenten-Frameworks, Model-Server und Entwicklungswerkzeuge gehören in das Schwachstellen- und Exposure-Management. Dienste, die nicht zwingend öffentlich erreichbar sein müssen, sollten hinter VPN-Zugängen, Zero-Trust-Gateways oder anderen kontrollierten Zugriffsebenen liegen.
Rund 138.000 ICS-Hosts öffentlich erreichbar
Neben KI-Infrastrukturen untersucht der Bericht die Verbreitung öffentlich erreichbarer industrieller Steuerungssysteme. Anfang 2026 beobachtete Censys durchschnittlich 138.000 unterschiedliche Hosts, auf denen ICS-Dienste oder entsprechende Werkzeuge über das Internet zugänglich waren. Im Jahr 2024 waren es noch rund 129.000 Systeme.
Auch die geografische Verteilung hat sich verändert. Nordamerika stellt laut der Auswertung rund 38 Prozent der erfassten ICS-Systeme. Der Anteil Asiens stieg von 22,9 Prozent im Jahr 2024 auf 27 Prozent im Jahr 2026. Europas Anteil sank im selben Zeitraum von 36,1 auf 31,1 Prozent. Aus den relativen Anteilen lässt sich allerdings nicht ableiten, ob die absolute Zahl exponierter Systeme in einer Region tatsächlich zurückging.
Auffällig ist die Art der verwendeten Netze: Rund 70 Prozent der beobachteten ICS-Hosts befinden sich in Consumer- oder Mobilfunknetzen. Dieser Anteil sei seit etwa zweieinhalb Jahren weitgehend stabil. Dahinter können Fernwartungszugänge, kleinere Anlagen, Gebäudeautomation oder unzureichend segmentierte Installationen stehen.
Vollständiger Bericht folgt im Herbst
Censys gewinnt die Daten durch kontinuierliche Messungen des öffentlich erreichbaren Internets. Der vollständige Bericht soll im Herbst 2026 erscheinen und weitere Analysen zu Hosts, Diensten, Netzwerken, Zertifikaten und veralteter Software enthalten. Geplant ist außerdem eine Untersuchung, wie schnell Betreiber nach der Veröffentlichung neuer Schwachstellen oder der Aufnahme in den KEV-Katalog reagieren.
Die bisher veröffentlichten Zahlen beschreiben ausschließlich Systeme, die sich aus dem öffentlichen Internet beobachten lassen. Nicht erfasst werden interne Instanzen, abgeschottete Produktionsnetze oder Dienste hinter wirksamen Zugangskontrollen. Der Bericht liefert daher kein vollständiges Bild aller eingesetzten KI- und ICS-Systeme. Er zeigt aber, wie schnell neue Infrastruktur öffentlich sichtbar wird – oft schneller, als Sicherheitsprozesse Schritt halten können.