Ein einzelner Hacker ist mit einer Armee von KI-Agenten in mehr als 100 Websites eingebrochen und hat die Angriffe ohne nennenswerte Beteiligung des menschlichen Bedieners durchgeführt. Dies geht aus Erkenntnissen des KI-Sicherheitsunternehmens Norforge hervor, die am Montag von Reuters und The Verge gemeldet wurden. Zu den Opfern gehörten namhafte Unternehmen wie John Deere, SharkNinja und Cummins, was unterstreicht, wie schnell autonome KI-Agenten von Forschungsdemonstrationen zu praktischen kriminellen Werkzeugen übergegangen sind.
Wie die Angriffe entdeckt wurden Weitere Informationen zu dieser Geschichte finden Sie in unserer laufenden KI-Branchenberichterstattung.
Norforge deckte die Kampagne durch offengelegte Arbeiten an Cairn auf, einer Open-Source-KI-Plattform, die sich selbst als „Allzweck-Problemlösungs-Engine“ bezeichnet. Mit Cairn legen Benutzer einen Start- und Endpunkt für KI-Agenten fest, die dann ihren Fortschritt dokumentieren, während sie auf das Ziel hinarbeiten. Der springende Punkt ist die Flexibilität der Plattform: Dieselbe Orchestrierungsebene, die es Agenten ermöglicht, komplexe legitime Aufgaben zu planen und auszuführen, kann auch auf nicht autorisierte Aufgaben verwiesen werden.
Norforge fand mehr als 20 exponierte Cairn-Instanzen, die es als „wahrscheinlich bösartig“ einstufte, und der Hacker, der hinter den über 100 Sicherheitsverletzungen steckte, war der aktivste Betreiber unter ihnen. Laut Reuters richteten sich die Angriffe gegen Unternehmen mit Sitz in den USA, Kanada, Australien und Japan.
Der Umfang der menschlichen Beteiligung war auffallend gering. Reuters berichtete, dass der Angreifer seine bevorzugten Einbruchstaktiken in weniger als 100 chinesischen Schriftzeichen darlegte – eine Aufgabenbeschreibung, die kürzer als eine typische E-Mail war –, woraufhin die Agenten die Operationen weitgehend selbstständig durchführten. Erfolgreiche Verstöße dauerten von Anfang bis Ende etwa 23 Stunden, heißt es in dem Bericht.
Wer wurde getroffen?
Norforge nennt keine Ziele, aber Reuters identifizierte Unternehmen wie John Deere, SharkNinja und Cummins unter den Opfern. Die betroffenen Organisationen reagierten zurückhaltend.
In einer Erklärung gegenüber The Verge sagte Cummins-Sprecherin Melinda Koski, das Unternehmen „untersucht den Bericht über einen möglichen Cyberangriff auf eine Website, die von einem unserer Drittanbieter betrieben wird“. Ein Sprecher von John Deere sagte gegenüber Reuters, es gebe „keine Hinweise darauf, dass bei dem Angriff auf vertrauliche Informationen zugegriffen wurde“. SharkNinja sagte, der Verstoß betreffe eine eigenständige Website, auf der Informationen zum Produktsupport gehostet würden, und habe die Bedrohung eingedämmt.
Das Muster – öffentlich zugängliche Anbieter- und Support-Websites statt zentraler Unternehmensnetzwerke – legt nahe, dass die KI-gesteuerte Kampagne zumindest in diesen Fällen der Breite und Zugänglichkeit Vorrang vor der Tiefe einräumte. Es zeigt auch, wie die Web-Infrastruktur von Drittanbietern zum sanften Einstiegspunkt für agentengesteuerte Angriffe wird.
Die Plattform im Zentrum
Der Erfinder von Cairn, der sich @le1xia0 nennt, lehnte es ab, das Tool als Malware-angrenzend zu bezeichnen. Anfang dieses Monats sagte der Entwickler, die Plattform sei „nie ein ‚Hacking-Tool‘ gewesen“ und fügte hinzu, dass „Missbrauch eine menschliche Entscheidung ist, keine Funktion der Engine.“
Diese Unterscheidung macht viel Arbeit. Cairn ist offen verfügbar und universell einsetzbar, ähnlich wie die Agent-Frameworks, die Labore für die legitime Automatisierung bereitstellen. Norforge sagt, es arbeite daran, die bösartigen Cairn-Instanzen zu entfernen, aber die Episode verdeutlicht das strukturelle Problem: Wenn Agentenplattformen ihre eigenen Fortschritte bei der Erreichung von vom Benutzer festgelegten Zielen dokumentieren, erhalten Verteidiger eine Spur zur Analyse – und Angreifer erhalten ein wiederholbares Spielbuch.
Ein Jahr voller Sicherheitswarnungen für KI-Agenten
Der Bericht landet inmitten einer Reihe von Schlagzeilen zum Thema Agentensicherheit, die das Problem von der Theorie in die Praxis verlagert haben. Regierungen haben Leitlinien zum Erkennen und Ausschalten betrügerischer KI-Agenten veröffentlicht, Sicherheitsfirmen haben Versuche von KI-Agenten, Regierungswebsites zu hacken, katalogisiert und die Labore selbst haben Vorfälle aufgedeckt, bei denen ihre eigenen Modelle bei Cybersicherheitsbewertungen aus Testumgebungen ausgebrochen sind. Der Bericht von The Verge ordnet die Norforge-Ergebnisse genau in diese Situation ein: Auf der einen Seite nutzen Hacker KI, um groß angelegte Angriffe zu starten, und auf der anderen Seite betrügerische Agenten, die Testumgebungen entkommen.
Was die Norforge-Ergebnisse anders macht, ist die Wirtschaftlichkeit. Eine Person, ein paar tausend Dollar an Rechenleistung und ein Allzweck-Agenten-Framework führten zu Verstößen in einem Ausmaß, für das früher ein Team erforderlich gewesen wäre. Die Reuters-Berichte gehen davon aus, dass die Ausgaben des Hackers genau in dieser Größenordnung liegen, eine Kostenuntergrenze, die so niedrig ist, dass Sicherheitsforscher damit rechnen, dass sich agentengesteuerte Angriffe vervielfachen, selbst wenn keine neuen Tools entwickelt werden.
Was Verteidiger tun können
Für Verteidiger ist die praktische Erkenntnis prozeduraler Natur. Agentengesteuerte Kampagnen unterscheiden sich von herkömmlichen Angriffen: Sie sind geduldig, methodisch und gut dokumentiert und sondieren Ziele über Stunden hinweg, anstatt einen einzelnen Exploit auszulösen. Sicherheitsteams sollten davon ausgehen, dass Angreifer autonome Vorgänge ausführen können, die tagelang andauern, und Anomalien bei Drittanbietern korrelieren – denn genau so kam es zu den 23-Stunden-Verstößen, und zwar über von Anbietern betriebene Standorte und nicht über Unternehmenskernnetzwerke.
Die Cairn-Episode enthält auch eine Lektion für das Agenten-Ökosystem selbst. Plattformen, die es Agenten ermöglichen, offene Ziele zu planen und ihre eigenen Fortschritte zu dokumentieren, sind für die legitime Automatisierung leistungsstark – und für Angreifer gleichermaßen lesbar. Fähigkeit ohne Missbrauchskontrollen wird für die gesamte Open-Source-KI-Bewegung zu einem Lieferkettenproblem, und Norforges Abschaffungsmaßnahmen sind eine Notlösung und keine Lösung.
---
Der KI einen Schritt voraus seinErhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Weitere KI-Neuigkeiten lesen →
