KI industrialisiert Cyberangriffe

Mehr als 1.200 angegriffene Websites, über 100 erfolgreiche Einbrüche und ein einzelner Angreifer, der seinen KI-Agenten dafür nur einen knappen Rahmen vorgab: Die öffentlich gewordene Cairn-Kampagne zeigt ziemlich deutlich, wie KI Cyberangriffe verändert.

Der entscheidende Punkt ist nicht, dass ein Modell einen völlig neuen Exploit erfunden hätte. Entscheidend ist, dass Agenten große Teile einer Angriffskette selbstständig wiederholen, anpassen und parallel auf viele Ziele anwenden können. Aus manueller Arbeit wird ein skalierbarer Prozess.

Ein Angreifer kann plötzlich wie ein Team arbeiten

Das Sicherheitsunternehmen Norforge stieß auf öffentlich erreichbare Kontrolloberflächen der Open-Source-Plattform Cairn. Das System koordiniert KI-Agenten, die ein Ziel untersuchen, Schwachstellen suchen und versuchen, Zugriff zu erlangen. In mehr als 20 offen erreichbaren Instanzen fanden die Forscher Hinweise auf wahrscheinlich bösartige Aktivitäten.

Besonders aktiv war eine chinesischsprachige Gruppe mit mehr als 1.100 Angriffsprojekten. Nach Recherchen von Reuters und The Verge ging ein einzelner Akteur gegen mehr als 1.200 Websites in den USA, Kanada, Australien und Japan vor. Mehr als 100 Unternehmen sollen kompromittiert worden sein. Unter den betroffenen Namen tauchten John Deere, SharkNinja und Cummins auf, wobei die Unternehmen jeweils nur begrenzte oder noch zu untersuchende Auswirkungen meldeten.

Die Ausgangsanweisung des Angreifers umfasste laut Reuters weniger als 100 chinesische Zeichen. Danach übernahmen die Agenten weite Teile der Arbeit:

öffentlich erreichbare Systeme finden,
Anwendungen und Infrastruktur erkunden,
mögliche Schwachstellen testen,
Fehlschläge auswerten,
den nächsten Versuch anpassen,
und gefundene Zugänge dokumentieren.

Ein erfolgreicher Angriff dauerte durchschnittlich rund 23 Stunden. Das klingt zunächst nicht besonders schnell. Der Unterschied liegt in der Parallelität: Ein Mensch muss diese 23 Stunden nicht vor dem Terminal verbringen und kann viele solcher Prozesse gleichzeitig laufen lassen.

Neu ist die geschlossene Angriffsschleife

Automatisierte Scanner sind nichts Neues. Auch Botnetze suchen seit Jahren nach offenen Diensten und bekannten Schwachstellen. Ein klassischer Scanner arbeitet aber in der Regel eine vorher festgelegte Logik ab. Wenn ein Versuch scheitert oder die Umgebung anders aussieht als erwartet, endet die Automatisierung häufig dort.

Agentische Systeme können eine Schleife schließen:

beobachten,
eine Hypothese bilden,
eine Aktion ausführen,
das Ergebnis bewerten,
und den Plan verändern.

Norforge beschreibt beispielsweise einen Fall, in dem der direkte Angriff auf eine öffentliche Anwendung nicht funktionierte. Die Agenten suchten daraufhin nach verbundener Infrastruktur, fanden ein erreichbares Control Panel und arbeiteten sich über viele Versuche zu einer funktionierenden Befehlsausführung vor.

Das macht die Systeme nicht unfehlbar. Sie produzieren Irrwege, benötigen Zeit und scheitern weiterhin an technischen Grenzen. Aber sie sind geduldig. Sie können dieselbe monotone Arbeit über Stunden und über viele Ziele hinweg wiederholen, ohne dass jeder Schritt menschliche Aufmerksamkeit benötigt.

Auch die Kosten verändern die Gleichung. Norforge schätzt einen durchschnittlichen Modellaufwand von ungefähr fünf US-Dollar pro Projekt, betont aber selbst die erhebliche Unsicherheit dieser Rechnung. Einzelne lange Projekte können deutlich teurer werden. Selbst mit dieser Unsicherheit bleibt die Größenordnung bemerkenswert: Breite, adaptive Angriffsversuche werden für kleine Akteure wirtschaftlich erreichbar.

Tangerhütte zeigt, wie schwierig die Einordnung bleibt

Auch in Deutschland wird inzwischen über einen möglicherweise KI-gestützten Angriff diskutiert. Im September wurde das digitale Rathaus der Stadt Tangerhütte angegriffen und musste wochenlang offline bleiben. Terminbuchungen, Kita-Anträge und andere digitale Verwaltungsleistungen waren zeitweise nicht verfügbar.

Der zuständige Softwareentwickler stuft den Vorfall gegenüber dem MDR als KI-Angriff ein. Als Indizien nennt er die hohe Geschwindigkeit der ausgeführten Kommandos und eine Anpassung des Angriffscodes während des laufenden Angriffs. Externe Fachleute hielten diese Interpretation dem Bericht zufolge für plausibel.

Plausibel ist jedoch nicht dasselbe wie bestätigt. Das Landeskriminalamt konnte den KI-Einsatz bislang weder bestätigen noch ausschließen. Die Ermittlungen laufen noch. Deshalb wäre die Behauptung vom „ersten bestätigten KI-Angriff auf eine deutsche Kommune“ zu weitgehend.

Der Fall bleibt trotzdem relevant. Er zeigt, wie schwer sich KI-Unterstützung forensisch von gut vorbereiteter Automatisierung unterscheiden lässt. Schnelle Befehlsfolgen und adaptives Verhalten sind Hinweise, aber noch kein eindeutiger Beweis für ein bestimmtes Modell oder Werkzeug.

Für die betroffene Organisation ist diese Unterscheidung während des Angriffs ohnehin zweitrangig. Ob ein Mensch, ein Skript oder ein Agent die nächste Aktion ausführt: Wenn Reaktionszeiten kürzer werden, müssen Erkennung, Isolation und Wiederherstellung ebenfalls schneller funktionieren.

KI-Infrastruktur wird selbst zur Angriffsfläche

KI ist dabei nicht nur Werkzeug des Angreifers. Die entstehende Infrastruktur wird selbst zum Ziel.

Das Open-Source-Projekt OpenCode meldete im Oktober einen Angriff, bei dem gespeicherte API-Schlüssel einiger Nutzer exponiert wurden. Betroffen waren Entwickler, die externe Modellanbieter wie Anthropic, OpenAI oder Google angebunden hatten. Laut BleepingComputer sprach das Projekt von 1,4 Prozent der OpenCode-Console-Nutzer. Einzelne Betroffene berichteten anschließend über unautorisierte Kosten und gesperrte Cloud-Projekte.

Damit entsteht eine zweite Angriffsrichtung: Agenten können Systeme angreifen, aber ihre Modellzugänge, API-Schlüssel, Kontrolloberflächen und Ausführungsumgebungen sind zugleich wertvolle Ziele. Wer einen Agenten kompromittiert oder seine Zugangsdaten übernimmt, erhält unter Umständen nicht nur Rechenleistung, sondern auch Zugriff auf Quellcode, Entwicklungsumgebungen und nachgelagerte Werkzeuge.

Verteidigung muss auf Geschwindigkeit und Reichweite reagieren

Die Konsequenz ist nicht, jedes ungewöhnliche Logereignis vorschnell als KI-Angriff zu bezeichnen. Sinnvoller ist es, die eigenen Kontrollen gegen einen Gegner auszulegen, der Erkundung und Anpassung billig parallelisieren kann.

Das beginnt bei bekannten Grundlagen:

öffentlich erreichbare Assets vollständig kennen,
bekannte Schwachstellen schneller priorisieren und schließen,
administrative Oberflächen nicht unnötig exponieren,
API-Schlüssel kurzlebig und eng berechtigt gestalten,
ungewöhnliche Abfragen, Kosten und Werkzeugnutzung überwachen,
und kompromittierte Identitäten oder Systeme schnell isolieren können.

Zusätzlich braucht agentische Infrastruktur klare Grenzen. Ein Agent sollte nicht automatisch auf alle Repositories, Secrets und Produktionssysteme zugreifen können, nur weil dies die Einrichtung vereinfacht. Eigene technische Identitäten, Least Privilege, nachvollziehbare Werkzeugaufrufe und ein unabhängiger Abschaltpfad werden zu normalen Architekturbausteinen.

Entscheidend ist außerdem der Kontext. Ein einzelner Scan ist selten aussagekräftig. Viele schnelle Versuche, wechselnde Taktiken, neu entdeckte Infrastruktur und anschließende Credential-Nutzung ergeben gemeinsam ein anderes Bild. Verteidigung muss diese Beziehungen erkennen, statt jedes Signal isoliert zu behandeln.

Die eigentliche Veränderung ist operativ

KI senkt nicht automatisch jede technische Hürde. Sie macht aus einem mittelmäßigen Angreifer nicht sofort einen Spitzenforscher und verwandelt jedes Ziel in ein leichtes Opfer.

Sie verändert aber die Ökonomie des Angriffs. Arbeit, die bisher Zeit, Spezialwissen und ständige Aufmerksamkeit verlangte, kann teilweise an Agenten delegiert werden. Dadurch kann ein einzelner Mensch mehr Ziele prüfen, länger an Fehlschlägen arbeiten und erfolgreiche Muster schneller wiederholen.

Die neue Asymmetrie entsteht deshalb weniger durch einen allwissenden KI-Hacker. Sie entsteht durch Ausdauer, Parallelität und eine immer weiter geschlossene Automatisierungsschleife. Genau darauf müssen sich Security-Teams vorbereiten.