Eine Kampagne mit Ursprung in Zhuhai

Am 7. Mai 2026 begannen Forscher von Unit 42, der Threat-Intelligence-Einheit von Palo Alto Networks, eine Kampagne eines chinesischsprachigen Bedrohungsakteurs zu verfolgen, der unter den Pseudonymen knaithe und KnYuan auftrat und mutmaßlich in Zhuhai ansässig ist. Ungewöhnlich war nicht der Exploit-Code selbst, sondern wer - oder was - über dessen Einsatz entschied.

Der Akteur baute die Kampagne um ein Framework auf, das Unit 42 Hermes Agent nennt und das DeepSeek, das chinesische KI-Modell, nutzte, um verwundbare Ziele eigenständig zu erfassen und den nächsten Exploit auszuwählen. Die am 30. Juli 2026 veröffentlichte Forschung von Unit 42 beschreibt eine Operation, bei der bei der Auswahl der Exploits kein Mensch in der Entscheidungsschleife stand - die KI entschied selbst.

CISAs Notfallanordnung: Drei Schwachstellen, zwei Tage

Am 5. August 2026 nahm die US-Cybersicherheitsbehörde CISA drei Schwachstellen aus dieser Kampagne in ihren Known-Exploited-Vulnerabilities-Katalog auf: CVE-2026-9198, eine Remote-Code-Execution-Lücke in Langflow mit einem CVSS-Wert von 9,8; CVE-2026-34486 in Apache Tomcat; und CVE-2026-18556 in N-able N-central. Bei allen drei war eine aktive Ausnutzung im Rahmen der Hermes-Agent-Kampagne bestätigt.

CISA setzte für US-Bundesbehörden mit betroffener Software eine Patch-Frist bis zum 7. August 2026 - zwei Tage nach der Aufnahme in den Katalog. The Hacker News bestätigte die Aufnahme und die Frist in einem am 6. August 2026 veröffentlichten Bericht und unterstrich damit, wie ungewöhnlich knapp dieser Zeitrahmen selbst nach KEV-Maßstäben ist.

460 Organisationen, drei Länder, bestätigte Einbrüche

Die Forschung von Unit 42 verknüpft die Kampagne mit mindestens 460 Organisationen in drei Ländern und insgesamt sieben CVEs - den drei von CISA aufgenommenen, plus Schwachstellen in Citrix NetScaler, Marimo Notebook, PAN-OS und n8n, wobei Letzteres einen maximalen CVSS-Wert von 10,0 erreichte.

Die Auswirkungen waren nicht nur theoretisch. Unit 42 bestätigte Datenabfluss bei drei Citrix-NetScaler-Opfern, erreichte Codeausführung auf elf Marimo-Notebook-Endpunkten, Versuche zur Sitzungsübernahme mit gestohlenen Authentifizierungs-Cookies sowie anhaltendes gezieltes Vorgehen gegen eine malaysische Regierungsstelle.

Die eigentliche Eskalation liegt nicht im Exploit-Code

Die entscheidende Nachricht ist nicht, dass ein KI-Modell an einer Hacking-Operation beteiligt war - KI-gestützte Aufklärung und Codeerzeugung sind längst üblich. Die Eskalation liegt darin, dass Hermes Agent DeepSeek nutzte, um die Zielentscheidung selbst zu treffen: welche von sieben CVEs gegen welche von Hunderten Organisationen eingesetzt wird, ohne dass ein Mensch im jeweiligen Moment auswählte.

Diese Autonomie verändert die Ökonomie der Angreifer. Eine Kampagne, die früher Operatoren brauchte, die Ziele einzeln sichteten, kann die Erfassung und Auswahl nun einem Modell in Maschinengeschwindigkeit überlassen - so erreichte ein einzelner Akteur unter ein oder zwei Pseudonymen mehr als 460 Organisationen in drei Ländern, ohne dass die Personalstärke entsprechend mitwuchs.

Was Betreiber in der EU und im Vereinigten Königreich vor Freitag tun sollten

CISAs Frist zum 7. August 2026 bindet US-Bundesbehörden, nicht europäische oder britische Organisationen direkt - doch das zugrunde liegende Signal gilt überall dort, wo dieselbe Software läuft: Jede exponierte Instanz von Apache Tomcat, Langflow oder N-able N-central lag Anfang August 2026 im aktiven Zielfeld eines KI-Agenten. Auf den nächsten regulären Patch-Zyklus zu warten, ist für diese drei Produkte derzeit keine sichere Haltung.

Betreiber sollten außerdem das Sitzungsmanagement rund um Citrix NetScaler und ähnliche Fernzugriffsprodukte prüfen, da Versuche zur Sitzungsübernahme mit gestohlenen Cookies bestätigt sind, und sollten nicht annehmen, dass geringe Größe oder niedriges Profil Schutz bietet - Unit 42s eigene Zahlen zeigen, dass die Kampagne durch Hunderte Organisationen zog, die erreicht wurden, nicht gezielt ausgewählt.

Weiterlesen: Wer den Angreifer löscht, löscht auch die Logik  |  Siemens und Schneider kamen am 22. Juli dazu