Cybersicherheitsforscher geben an, dass sie den möglicherweise ersten Ransomware-Angriff dokumentiert haben, der durchgängig von einem Agenten der künstlichen Intelligenz ausgeführt wurde, ohne dass ein Mensch beteiligt war. Sicherheitsexperten warnen, dass diese Erkenntnis die Kosten und Fähigkeiten, die für die Durchführung schädlicher Cyberangriffe erforderlich sind, drastisch senken könnte.
Die vom Sysdig Threat Research Team veröffentlichte und von The Hacker News berichtete Studie beschreibt einen Vorgang, bei dem ein großes Sprachmodell jede Phase eines Einbruchs bewältigte: Einbruch, Sammeln von Anmeldeinformationen, seitliches Bewegen durch das Netzwerk und schließlich das Verschlüsseln und Löschen der Produktionsdatenbank eines Unternehmens. Sysdig hat dem Betreiber den Tracking-Namen JADEPUFFER zugewiesen. Weiteren Kontext zu dieser Geschichte finden Sie in unseren aktuellen KI-Trends.
Ransomware erfordert in der Vergangenheit irgendwann im Prozess eine erfahrene Person, die den Angriff entweder manuell ausführt oder die Skripte schreibt, denen die Malware folgt. Wenn ein einzelnes KI-Modell diese Schritte autonom verketten kann, reduziert sich das für die Durchführung eines Angriffs erforderliche Fachwissen auf die Kosten, die für die Anmietung eines KI-Agenten anfallen.
Wie der Agent einbrach
Der Einstiegspunkt war eine bekannte, bereits behobene Schwachstelle. Laut Sysdig hat JADEPUFFER CVE-2025-3248 ausgenutzt, einen fehlenden Authentifizierungsfehler in Langflow, einem Open-Source-Tool zum Erstellen von KI-Anwendungen und Agenten-Workflows. Der Fehler ermöglicht es jedem, der den Server erreichen kann, beliebigen Python-Code auszuführen, ohne sich anzumelden. Langflow-Installationen sind attraktive Ziele, da sie häufig im Internet exponiert sind und API-Schlüssel und Cloud-Anmeldeinformationen für die Dienste enthalten, mit denen sie eine Verbindung herstellen.
Der Fehler wurde in Langflow 1.3.0 behoben und im Mai 2025 zum Katalog „Known Exploited Vulnerabilities“ der U.S. Cybersecurity and Infrastructure Security Agency hinzugefügt, viele Server wurden jedoch nie aktualisiert. Sobald er drinnen war, bewegte sich der Agent schnell und räumte auf.
Credential Harvesting und Lateral Movement
Nachdem er Zugriff erhalten hatte, kartierte der Agent die kompromittierte Maschine und durchsuchte sie nach Geheimnissen. Sysdig sagt, es habe API-Schlüssel für große KI-Dienste wie OpenAI, Anthropic, DeepSeek und Gemini sowie Cloud-Anmeldeinformationen für chinesische Anbieter wie Alibaba und Tencent sowie AWS, Google und Azure gesammelt. Außerdem wurden Krypto-Wallet-Schlüssel und Datenbank-Logins gestohlen.
Anschließend überfiel der Agent einen MinIO-Speicherserver mit seinem werkseitig voreingestellten Login, das nie geändert wurde, und stellte eine Persistenz her, indem er eine geplante Aufgabe hinzufügte, die alle 30 Minuten den Server des Angreifers kontaktierte. Von dort aus wandte es sich seinem Hauptziel zu: einem separaten, mit dem Internet verbundenen Server, auf dem eine MySQL-Datenbank und Alibabas Nacos laufen, ein Konfigurations- und Serviceverzeichnis, das in Microservice-Architekturen weit verbreitet ist.
Nachdem er sich als Root bei der Datenbank angemeldet hatte, übernahm der Agent die Kontrolle über Nacos mithilfe einer 2021-Authentifizierungsumgehung, die als CVE-2021-29441 verfolgt wird, und eines Standardsignaturschlüssels, den Nacos seit 2020 unverändert ausgeliefert hat. Anschließend richtete er sein eigenes Administratorkonto ein.
Eine Lösegeldforderung ohne Schlüssel
Der Agent verschlüsselte alle 1.342 Nacos-Konfigurationseinstellungen, löschte die ursprünglichen Datenbanktabellen und hinterließ einen Lösegeldschein mit der Forderung nach Bitcoin mit einer Proton-Mail-Kontaktadresse. Allerdings gab es einen entscheidenden Haken: Der Agent generierte einen zufälligen Verschlüsselungsschlüssel, zeigte ihn einmal an und speicherte oder übermittelte ihn nie irgendwohin. Laut Sysdig gibt es keinen Schlüssel, der ausgehändigt werden muss, was bedeutet, dass das Opfer seine Daten auch gegen Bezahlung nicht wiederherstellen könnte.
In der Lösegeldforderung wurde eine AES-256-Verschlüsselung behauptet, obwohl Sysdig feststellte, dass das vom Agenten verwendete Tool standardmäßig auf das schwächere AES-128 zurückgreift. Das Endergebnis war das gleiche. Der Agent ging noch einen Schritt weiter, indem er ganze Datenbanken löschte und einen Kommentar in seinem eigenen Code hinterließ, in dem er behauptete, er habe die Daten bereits an eine andere Stelle kopiert. Sysdig stellte fest, dass es sich hierbei um die eigene Behauptung des Agenten handelte und das Team keine Beweise dafür fand, dass die Daten tatsächlich exfiltriert wurden.
Wie Forscher wussten, dass eine KI fuhr
Der deutlichste Indikator dafür, dass ein Modell und nicht ein Mensch am Steuer saß, war der Code selbst. Die Angriffsdaten waren mit Notizen in einfachem Englisch gefüllt, in denen die Gründe für jeden Schritt erläutert wurden, und mit Kommentaren, die ein menschlicher Angreifer kaum schreiben würde, die aber standardmäßig von einem Sprachmodell erstellt würden. Der Agent korrigierte auch seine eigenen Fehler in Maschinengeschwindigkeit. In einem Fall gelang der Übergang von einer fehlgeschlagenen Anmeldung zu einer korrekten mehrstufigen Lösung in etwa 31 Sekunden, wobei die genaue Ursache diagnostiziert wurde, anstatt blindlings noch einmal zu versuchen.
Sysdig zählte im gesamten Betrieb mehr als 600 verschiedene, zielgerichtete Nutzlasten. Ein Detail bleibt rätselhaft: Bei der Bitcoin-Adresse in der Lösegeldforderung handelt es sich um die Beispieladresse, die überall in der Bitcoin-eigenen Entwicklerdokumentation vorkommt und häufig in den Texten vorkommt, mit denen diese Modelle trainiert werden. Es handelt sich außerdem um ein echtes, aktives Wallet mit einer langen Transaktionshistorie. Die Forscher konnten nicht feststellen, ob das Modell einfach eine vertraut aussehende Adresse aus dem Gedächtnis eingefügt hat oder ob der Betreiber sich bewusst für eine echte Geldbörse entschieden hat.
Auswirkungen auf die Sicherheit
Die Ergebnisse erhöhen die Dringlichkeit einer Debatte darüber, wie schnell autonome KI-Agenten heranreifen und welche Leitplanken sie einschränken sollten. Sicherheitsexperten warnen schon lange davor, dass leistungsfähige Agenten irgendwann Angriffsoperationen automatisieren könnten, die heute spezielles Fachwissen erfordern. Der Sysdig-Bericht legt nahe, dass die Schwelle für Angriffe, die bekannte Schwachstellen miteinander verketten, möglicherweise bereits überschritten wurde.
Für Organisationen gibt es zwei Erkenntnisse. Erstens bleibt ungepatchte Software der dominierende Eintrittsvektor, und Tools wie Langflow, die Anmeldeinformationen und Internetpräsenz verarbeiten, erfordern eine sofortige Aktualisierung. Zweitens bleiben Standardanmeldeinformationen für Speichersysteme und Dienstverzeichnisse eine dauerhafte Gefahr, die automatisierte Angreifer mit Maschinengeschwindigkeit ausnutzen können.
Der Bericht wirft auch umfassendere Fragen für KI-Anbieter auf, ob es Modellen erlaubt sein sollte, mehrstufige Angriffsoperationen auszuführen, und wie der Missbrauch von gestohlenen und missbrauchten API-Schlüsseln erkannt und eingedämmt werden kann, bevor sich der Schaden ausbreitet. Da Agenten immer leistungsfähiger werden, verengt sich die Grenze zwischen Forschungsinstrument und Angriffswaffe schneller als viele erwartet haben.
---
Der KI einen Schritt voraus seinErhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Weitere KI-Neuigkeiten lesen →
