AIMap findet offene KI-Endpunkte, bevor Angreifer es tun

Worum es geht

AIMap ist ein Open-Source-Werkzeug von Bishop Fox für eine neue, sehr konkrete Sicherheitsfrage: Welche KI-Endpunkte stehen im Internet, obwohl sie dort nicht oder nicht ohne Schutz erreichbar sein sollten? Das Tool sucht und erkennt unter anderem MCP-Server, Ollama-Instanzen, vLLM- und LiteLLM-Proxys, LangServe-Ketten, Gradio-Apps und ComfyUI-Nodes.

Das ist kein allgemeiner KI-Trendbericht, sondern ein handfestes Werkzeug für Security-Teams. Bishop Fox beschreibt AIMap als Plattform für Discovery, Fingerprinting, Risikobewertung und kontrollierte Tests von exponierter Agenten-Infrastruktur. Help Net Security ordnete die Veröffentlichung im Mai 2026 ebenfalls als Open-Source-Tool für die wachsende Angriffsfläche rund um KI-Endpunkte ein.

Was AIMap tatsächlich macht

AIMap funktioniert wie ein spezialisierter Scanner für KI-Infrastruktur. Statt nur zu prüfen, ob ein Port offen ist, versucht das Tool zu verstehen, welche Art von KI-Dienst erreichbar ist. Laut Repository erkennt es mehrere gängige Zielklassen: MCP-Server, lokale Modellserver wie Ollama, Inferenz-Proxys, LangServe-Endpunkte, Gradio-Oberflächen und ComfyUI-Installationen.

Der praktische Wert liegt in drei Schritten. Erstens hilft AIMap beim Auffinden potenziell exponierter Systeme. Zweitens erstellt es Fingerprints, damit Teams nicht nur eine IP-Adresse sehen, sondern den wahrscheinlichen Diensttyp. Drittens sind protokollspezifische Tests vorgesehen, um Risiken wie fehlende Authentifizierung, Tool-Missbrauch oder Datenlecks kontrolliert zu prüfen. Bishop Fox betont ausdrücklich, dass das nur für autorisierte Tests und eigene Systeme gedacht ist.

Warum das wichtig ist

Viele Teams haben 2025 und 2026 schnell KI-Experimente in interne Workflows eingebaut: lokale Modellserver für Entwickler, MCP-Server für Agenten, Gradio-Demos für Fachbereiche oder ComfyUI-Workflows für Kreativteams. Das Problem: Was intern harmlos wirkt, kann als öffentlich erreichbarer Dienst plötzlich eine echte Angriffsfläche werden.

Gerade MCP ist relevant, weil es Agenten mit Werkzeugen, Dateien, APIs und Datenquellen verbinden kann. Ein falsch exponierter MCP-Server ist deshalb nicht nur ein Chat-Endpunkt, sondern möglicherweise eine Fernbedienung für interne Funktionen. OWASP beschreibt bei generativen KI-Anwendungen unter anderem Risiken wie übermäßige Berechtigungen, Datenabfluss und unsichere Tool-Nutzung. AIMap setzt genau an dieser Sichtbarkeitslücke an: Bevor ein Unternehmen Schutzregeln schreibt, muss es wissen, was überhaupt erreichbar ist.

Für echte Nutzer ist AIMap vor allem dann interessant, wenn sie selbst KI-Infrastruktur betreiben: Red Teams, AppSec-Teams, Cloud-Security-Verantwortliche, Plattformteams und Start-ups mit vielen schnellen Prototypen. Der Nutzwert liegt nicht in einer hübschen Demo, sondern in einer nüchternen Frage: Steht etwas draußen, das nie draußen stehen sollte?

Einfach erklärt

AIMap ist wie ein Rundgang nach Feierabend in einem Bürogebäude. Man prüft nicht nur, ob Türen offen stehen, sondern auch, was hinter der Tür liegt: Serverraum, Aktenarchiv, Besprechungsraum oder Lager. Eine offene Tür ist noch nicht automatisch ein Einbruch, aber sie zeigt, wo sofort nachgesehen werden muss.

Der Unterschied zu einem normalen Portscanner ist die Spezialisierung. AIMap fragt nicht nur: „Antwortet dort etwas?“ Es fragt: „Ist das ein KI-Endpunkt, welche Art von Endpunkt ist es und welche typischen Risiken könnten hier entstehen?“

Praktisches Beispiel

Ein mittelgroßes Softwareunternehmen betreibt 40 Entwickler-VMs, drei interne Demo-Server und mehrere lokale Modellinstanzen für Testläufe. Nach einem Hackathon bleiben zwei Gradio-Demos und ein Ollama-Endpunkt versehentlich über eine öffentliche Subdomain erreichbar. Niemand bemerkt es, weil die Systeme nicht im regulären Asset-Inventar auftauchen.

Das Security-Team lässt AIMap gegen die eigenen, erlaubten IP-Bereiche laufen. Der Scan markiert fünf KI-nahe Dienste, davon zwei mit fehlender Authentifizierung und einen MCP-Endpunkt mit ungewöhnlich breiten Tool-Rechten. Daraus entsteht kein automatischer „alles ist gehackt“-Alarm, sondern eine priorisierte Aufgabenliste: abschalten, hinter VPN legen, Authentifizierung erzwingen, Logging aktivieren und die Deployment-Regeln für KI-Prototypen verschärfen.

Einordnung und Grenzen

• AIMap ist ein Security-Werkzeug, kein Freifahrtschein für Internet-Scans fremder Systeme. Tests ohne ausdrückliche Erlaubnis können illegal sein.
• Das Tool ersetzt kein vollständiges Asset-Management. Es kann helfen, blinde Flecken zu finden, aber nicht garantieren, dass jedes interne System erfasst ist.
• Fingerprints und Risikowerte brauchen Interpretation. Ein gefundener Endpunkt ist ein Hinweis für Prüfung und Härtung, kein fertiges Urteil über Schaden oder Ausnutzung.

Auch wichtig: Open Source bedeutet nicht automatisch risikoarm. Teams sollten AIMap selbst in einer kontrollierten Umgebung testen, Abhängigkeiten prüfen und Ergebnisse mit bestehenden Security-Prozessen verbinden. Für kleine Teams ohne Security-Erfahrung kann das Tool zu technisch sein; dort ist ein enger, autorisierter Testumfang besonders wichtig.

SEO- und GEO-Schlüsselbegriffe

AIMap, Bishop Fox, AI attack surface, MCP security, Ollama security, exposed AI endpoints, AI agent infrastructure, open source security tool, Gradio security, ComfyUI security, vLLM, LiteLLM