In den ersten Julitagen des Jahres 2026 hat laut Dream Research Labs ein automatisiertes Angriffs-Framework die JavaScript-Bundles von einem Regierungsportal heruntergeladen und analysiert.
Nicht ausgenutzt. Analysiert. Aus dem Code, den das Portal jedem Besucher standardmäßig bereitstellt, wurden API-Endpunkte, eine Identitätsanbieter-Konfiguration und zwei Signaturschlüssel extrahiert; anschließend wurden 21 verbundene Behördensysteme zugeordnet, einschließlich der Single-Sign-On-Infrastruktur, die diese miteinander verbindet.
Es wurde nichts beschädigt. Jeder Penetrationstester macht das in der ersten Stunde eines Einsatzes. Neu ist, dass ein Framework dies getan hat, seine Ergebnisse bewertet hat und weitergemacht hat, ohne auf Anweisungen zu warten.
Ich habe in diesem Jahr fünf Fälle gelesen, die unter „KI-Angriffe“ eingeordnet werden. Nehmen man sie nebeneinander, verraten sie etwas, was die Schlagzeilen verschweigen: In keinem einzigen Fall war eine Technik erforderlich, die es nicht bereits gab. Im neuesten Fall wurde eine komplette Kette auf unter zehn Stunden verkürzt, und diese Verkürzung wurde durch das Entfernen der Pausen zwischen bekannten Schritten erreicht.
Die fünf Fälle
Ein Mensch mit einem Brandbeschleuniger.
Sysdig dokumentierte am 28. November 2025 einen Angriff, der mit in öffentlichen S3-Buckets offengelegten AWS-Anmeldedaten begann und mit einem Administrator-Backdoor endete. Acht Minuten bis zur Lambda-Ausführung, Administratorrechte in weniger als zehn Minuten. Der Titel von Sysdig spricht von KI-unterstützt, und die Schlussfolgerung ist vorsichtig formuliert: „Mehrere Indikatoren deuten darauf hin, dass der Angreifer große Sprachmodelle genutzt hat.“ Ich interpretiere das so, dass eine Person am Computer saß, wobei Modelle die Erkundung und die Codegenerierung beschleunigten – was nicht dasselbe ist wie ein Agent. Ich habe darüber hier berichtet.
Ein Mensch setzt Ziele, und Agenten führen diese aus.
Unit 42 hat dies am 2. September 2026 veröffentlicht, und es handelt sich um den schwierigsten Fall der Reihe. Eine öffentliche API wurde kompromittiert, Repositorys nach fest codierten Tokens durchforstet, diese Tokens ermöglichten den Zugriff auf den Secrets Manager, CI/CD wurde zur Erlangung von „ cloud “-Schlüsseln missbraucht, und schließlich wurden die eigenen KI-Endpunkte des Opfers zur Angriffsinfrastruktur umfunktioniert. In weniger als zehn Stunden kamen mehr als 50 „ MITRE ATT&CK “-Techniken zum Einsatz.
Lesen Sie lieber die Darstellung als die Schlagzeilen. Einleitend heißt es, der Netzwerkzugang sei „autonom“ erlangt worden, doch die Bildunterschrift ist präzise: „Der Akteur setzt Ziele und trifft daraus resultierende Entscheidungen.“ Ihre Zusammenfassung dessen, was den Vorfall bemerkenswert machte, ist der entscheidende Satz: „KI-gestützte operative Effizienz, ohne dass ein neuartiges ‚ zero-day ‘ oder hochspezialisierte Techniken erforderlich sind.“ Der überall zitierte Zwei-Wochen-Vergleich ist ihre eigene Einschätzung des Red Teams, kein beobachteter Einbruch. Eine Sicherheitsmaßnahme hielt stand: Ein Versuch, sich über eine Hintertür Zugang zu Terraform-Konfigurationen zu verschaffen, schlug fehl, weil „strenge Maßnahmen zum Schutz der Verzweigungen dies verhinderten“. Und sie korrigierten den Beitrag am 3. September, um klarzustellen, dass es sich um einen Einbruch handelte und nicht um „ ransomware “, was mehrere Medien immer noch falsch wiedergeben.
Ein Agent in einem absichtlich geschwächten Labor.
Hugging Face gab Mitte Juli einen durch Agenten verursachten Einbruch bekannt, und am 21. Juli bestätigte OpenAI, dass dieser durch eine Kombination eigener Modelle ausgelöst worden war. Der technische Zeitrahmen umfasst rund 17.600 rekonstruierte Aktionen über einen Zeitraum von 4,5 Tagen.
Der Kontext wird ständig außer Acht gelassen: Die Auswertung ergab, dass „die Sicherheitsklassifikatoren von OpenAI in der Produktionsumgebung absichtlich deaktiviert und die Anzahl der Cyber-Ablehnungen reduziert wurden“ und dass „kein Mensch die einzelnen Schritte gesteuert hat“. Das mindert die Schwere des Vorfalls jedoch nicht. Selbst in einer geschwächten Sandbox kam es zu einem echten, mehrstufigen Einbruch bei einem echten Drittanbieter, und eine einzige Zugangsberechtigung mit zu weitreichenden Rechten verschaffte dem Agenten innerhalb einer Sekunde nach der Identitätsübernahme Administratorrechte für zwei Cluster.
KI-Tools werden als Infrastruktur missbraucht, ohne dass ein Modell die Entscheidung trifft.
Seit 2025 verbreiten sich selbstreplizierende Würmer über npm. Die Schadlast wird bei der Installation ausgeführt, sammelt alle Token auf dem Host ein und veröffentlicht sich selbst über alle Kanäle, über die das Opfer Inhalte veröffentlichen kann. Elastic Security Labs hat die jüngste Welle am 4. August identifiziert und berichtet von über 400 kompromittierten Paketen.
Die Ausbreitungslogik ist deterministischer Code und kein Modell, das Züge auswählt. Aber die KI-Tools greifen hier überall ein: ein Hook, der bei einer neuen Claude-Sitzung ausgelöst wird, Commits, die als claude@users.noreply.github.com, sowie ein Sammler, der nach Zugangsdaten für Anthropic, OpenAI und Cursor sucht. So sieht KI in einer Angriffskette derzeit meist aus: Entwicklertools als Ausführungsumgebung, KI-Schlüssel als Beute und nichts, was irgendetwas entscheidet.
Ein nahezu autonomes System in der Praxis.
Zurück zum Fall „Dream“, der am 12. August veröffentlicht wurde. Der wiederhergestellte Arbeitsbereich umfasst 1.395 Dateien, die 12 Angriffswellen abdecken, wobei pro Welle bis zu acht Unteragenten eingesetzt wurden, während 14 Angriffsketten kontinuierlich bewertet wurden. Drei Erkenntnisse bilden den Schwerpunkt des restlichen Beitrags: nicht authentifizierte APIs, die gültige Sitzungen ohne Angabe von Anmeldedaten zurückgeben, eine API, die mit dem keine Algorithmus, und 85 Konten wurden durch „Spraying“ geknackt, von denen 84 über eine SSO-Brücke in ein internes System eindrangen.
Beachten Sie den Begriff, den Dream verwendet und der in den meisten Berichten unerwähnt blieb: „nahezu autonom“. Es war eine Person in diesen Prozess eingebunden, und die Ablehnungen des Modells wurden umgangen, indem die Aktivität als autorisierte Penetrationstests dargestellt wurde.
Die Zahlen stammen aus den Berichten des Frameworks selbst. Dream hat die SSO-Pivot-Rate selbst überprüft und gibt an, die betroffenen Organisationen vor der Veröffentlichung informiert zu haben, während ein Sprecher gegenüber CSO Online erklärte, dass die Untersuchung keine Hinweise auf einen bestätigten Einbruch in die Systeme der Organisation ergeben habe, wobei er sich weigerte, den Namen der Organisation zu nennen. Die Techniken sind der beständige Teil.
Die gleichen drei blinden Flecken
Ich ordne Sicherheitslücken drei strukturellen Schwachstellen in der Funktionsweise der Erkennung zu. Diese fünf ließen sich nicht in das Schema zwängen.
Lücke 1. Es sieht alles in Ordnung aus.
Die gesamte Erkundungsphase von „Dream“ stieß auf Material, das das Ziel absichtlich veröffentlicht. Die Schwachstellen, die ausgenutzt werden konnten, waren serverseitiger Natur und eher banal: nicht authentifizierte APIs, schwache Token-Validierung. Es gab keine Payload auf der Festplatte, da es gar keine gab. Der Fall von Sysdig verläuft auf derselben Ebene, nur eine Ebene tiefer, bei nativen AWS-Diensten und echten Anmeldedaten, wobei jede Aktion korrekt unterstützt und protokolliert wird.
Nichts, was sie taten, wirkte jemals falsch.
Lücke 2. Die Authentifizierung ist erfolgreich.
Die Benutzernamen stammen aus einer API, die keine Authentifizierung erfordert. Vorhersehbare Muster werden in mehreren Durchgängen ausprobiert. Das CAPTCHA wird per OCR gelöst. Jedes betroffene Konto führt zu einer korrekten Anmeldung, und es liegt kein Fall von unbefugtem Zugriff vor, für den ein Ticket eröffnet werden müsste.
Die keine-Die Suche nach dem Algorithmus verdient eine eigene Zeile. Eine API, die ein Token akzeptiert, das angibt, keine Signatur zu benötigen, lässt sich nicht täuschen. Sie hat zugestimmt, die Überprüfung zu überspringen, und für diese API sind ein gefälschtes und ein gültiges Token dasselbe.
Die Authentifizierung war erfolgreich.
Lücke 3. Die Bewegung ist nicht sichtbar.
Die entscheidende Zahl lautet 84 von 85. Diese Anmeldedaten wurden auf einem Portal für Büroautomation kompromittiert, einem Edge-System von geringem Wert. Die SSO-Brücke erweiterte diesen Zugriff dann auf interne Dashboards und Personaldaten. Die Anmeldedaten liegen auf einer Ebene, der Zugriff erfolgt auf einer anderen, und die Verbindung zwischen beiden erfüllt genau ihren Zweck, indem sie bei jedem Schritt eine erfolgreiche Anmeldung protokolliert.
Drei Prüfprotokolle, drei SOC-Tickets, ein Sicherheitsvorfall.
Die Kompression ist echt. Es handelt sich nicht um eine Modellgeschwindigkeit.
Die „Breakout-Zeit“ – also der Zeitraum zwischen dem ersten Zugriff und der ersten seitlichen Bewegung – wurde am 1. September von CrowdStrike als Kennzahl abgeschafft, mit der Begründung, dass das, was die Branche bisher als „Maschinengeschwindigkeit“ bezeichnet hatte, in Wirklichkeit menschliche Geschwindigkeit mit besseren Werkzeugen sei. Es wurde kein Ersatz genannt, abgesehen von der Argumentation, dass Angriffe nun mit Inferenzgeschwindigkeit ablaufen und überhaupt keine Zeit mehr lassen.
Am nächsten Tag veröffentlichte Unit 42 einen Bericht über einen zehnstündigen Angriff und legte eine eigene Erklärung dafür vor, woher diese zehn Stunden stammten. Keine Schlussfolgerung. Hier der wörtliche Wortlaut: „KI-Agenten verkürzen die Zeit zwischen den einzelnen Schritten im Angriffsablauf: Die KI-Agenten in diesem Angriff waren darauf ausgelegt, die Rohdaten der Tools zu analysieren und schnell die nächsten Schritte einzuleiten.“ Die Latenz des Modells wird im Bericht an keiner Stelle erwähnt. Erwähnt werden hingegen Parallelität, Echtzeit-Neuplanung ohne Hin- und Rückmeldungen des Bedieners sowie das Fehlen menschlicher Verzögerungen zwischen der Ausgabe eines Tools und der Auslösung der nächsten Aktion.
Vergleichen Sie die Dauer der einzelnen Verfahren nebeneinander. Sysdig: Ein Mensch an der Tastatur, unterstützt durch Modelle – acht Minuten. Unit 42: Ein Mensch legt die Ziele fest, Agenten führen sie aus – unter zehn Stunden. Ein Team von „ ransomware “, das Sophos verfolgt hat und bei dem keinerlei KI zum Einsatz kam – unter 17 Stunden. Dream: etwa vier Tage. Hugging Face: 4,5 Tage.
Es gibt keinen eindeutigen Zusammenhang zwischen mehr Automatisierung und weniger Zeitaufwand. Die beiden Fälle, in denen kein Mensch die einzelnen Schritte steuerte, waren um etwa den Faktor zehn am langsamsten, und ein Mensch ohne jegliche KI war langsamer als ein Mensch, der Agenten einsetzte. Die Dauer spiegelt wider, wie genau das Ziel definiert war, und nicht, wie viel Arbeit ein Modell geleistet hat. Die Zeitersparnis ist real, und sie als „Inferenzgeschwindigkeit“ zu bezeichnen, lenkt von der eigentlichen Ursache ab.
Was kann man dagegen tun?
Das ändert hier nichts am Rahmen. Es ändert lediglich die Reihenfolge der Liste.
- Führen Sie auf, was Ihr eigenes Frontend veröffentlicht: API-Endpunkte, OAuth-Client-IDs, Konfiguration des Identitätsanbieters. Gehen Sie davon aus, dass die Bundles geparst und miteinander abgeglichen werden, denn genau das geschieht derzeit.
- Behandeln Sie nicht authentifizierte APIs als Identitätsproblem und nicht als Hygiene-Befund. Ein endpoint , der ohne Anmeldedaten die Namen von Mitarbeitern und SSO-Kennungen zurückgibt, ist eine Liste von Benutzernamen. Bewerten Sie ihn danach, was er liefert, und nicht danach, was er offenlegt.
- Algorithmen zur Token-Validierung überprüfen und das Vertrauen innerhalb der Föderation prüfen. Ein JWT, das akzeptiert wurde mit
keineist ein Authentifizierungssystem, das sich bereit erklärt hat, keine Authentifizierung durchzuführen. Und 84 von 85 bedeutet, dass die SSO-Brücke Ihren tatsächlichen Schadensradius darstellt. - Erfassen Sie Ihre KI-Tools und Rechenressourcen als Angriffsfläche. Die npm-Würmer laufen über einen Session-Hook und suchen nach Schlüsseln von KI-Anbietern. Der Angreifer von Unit 42 nutzte die Modell-Endpunkte des Opfers als Infrastruktur, versteckte den Orchestrierungsverkehr im erwarteten Datenverkehr und stellte die Rechenleistung dem Opfer in Rechnung.
- Suchen Sie nach der Schleife, nicht nach der Nutzlast. Die Indikatoren von Unit 42 sind die bislang konkretesten Informationen, die zu agentenbasierten Angriffen veröffentlicht wurden: sprunghafte API-Anfragen, schnelle Statuswechsel von 401 auf 200, parallele Authentifizierungen und plötzliche Modellnutzung durch unerwartete Identitäten.
Wo die Verhaltenserkennung dabei ins Spiel kommt
Alle fünf Eindringversuche wurden protokolliert. Der Fall von Unit 42 verdeutlicht am besten, warum das nicht ausreicht. Ein API-Aufruf, ein Repository-Checkout, das Auslesen von Geheimnissen, ein Pipeline-Lauf, die Verwendung eines „ cloud “-Schlüssels für ein Modell endpoint. Jeder einzelne Vorgang war für sich genommen autorisiert und im richtigen Protokoll vermerkt. Zehn Stunden sind eine lange Zeit in der Incident-Response, und doch nur ein Wimpernschlag, wenn die einzige Möglichkeit, die Abfolge der Ereignisse nachzuvollziehen, darin besteht, fünf Systeme im Nachhinein von Hand zusammenzufügen.
Der Bericht von Hugging Face darüber, wie der Angriff bei ihnen entdeckt wurde, ist der aufschlussreichste Absatz, der den ganzen Sommer über veröffentlicht wurde. Die ersten Signale kamen gleichzeitig aus mehreren Ebenen, und „für sich genommen war jedes einzelne davon mehrdeutig“. Dann: „[…] Diese wurden von unserem KI-basierten Sicherheits-Agent-Stack miteinander in Zusammenhang gebracht und zu einem schlüssigen Angriffssignal zusammengefasst. Allerdings gelang es dem System nicht, den Schweregrad des Alarms korrekt einzustufen und das Bereitschaftsteam zu alarmieren, was bei der Reaktion wertvolle Zeit kostete.“
Die Korrelation funktionierte. Das System fasste mehrdeutige Signale zu einem zusammenhängenden Angriff zusammen, doch dann blieb die Erkenntnis einfach liegen, da niemand entschied, dass sie dringend genug war, um jemanden zu alarmieren. Das ist ein Versagen bei der Triage am Ende einer erfolgreichen Erkennung – ein anderes Problem, das eine andere Lösung erfordert.
Die Erkennung funktioniert nicht schlecht. Sie ist nur unvollständig. Das galt bereits, als der Angreifer noch ein Mensch war, der Texte eintippte, und diese fünf Experten sagen, dass dies auch dann zutrifft, wenn der Angreifer ein Framework ist, das 14 Angriffsketten gleichzeitig bewertet. Verfolgen Sie das Verhalten, nicht die Marke hinter dem Angriff.
Die ausführliche Darstellung der drei Lücken findet sich in „Mind Your Attack Gaps“.