Ein gescheiterter Login, dann 31 Sekunden später eine Korrektur

Der Moment, der die Bedrohungsforscher von Sysdig innehalten ließ, wirkte auf den ersten Blick banal: Der Eindringling scheiterte an einem Login. Was folgte, war es nicht. 31 Sekunden später hatte derselbe Eindringling herausgefunden, warum der Login scheiterte, seinen Ansatz neu geschrieben und eine korrigierte, mehrstufige Nutzlast nachgeschoben, die funktionierte. Kein Mensch tippt, testet und passt sich um drei Uhr morgens so schnell an.

Genau diese Sequenz ist der Grund, warum das Team von Sysdig unter Forschungsleiter Michael Clark dies als ersten dokumentierten Fall von agentischer Ransomware bezeichnet: eine Erpressungsoperation, die ein großes Sprachmodell von Anfang bis Ende steuerte, statt eines Menschen an der Tastatur. Die Branche streitet seit zwei Jahren über KI, die Schadsoftware schreibt. Das hier ist anders. Die KI schrieb kein Werkzeug für einen Menschen - sie führte den gesamten Einbruch selbst aus.

Der gesamte Einbruch lief auf Autopilot

Es geht nicht um einen einzelnen Schritt, sondern darum, dass eine Maschine sie alle ohne menschliche Steuerung aneinanderreihte. Der Agent kam über CVE-2025-3248 hinein, eine Lücke fehlender Authentifizierung in Langflow, einem quelloffenen Framework, mit dem Teams ihre eigenen KI-Anwendungen bauen. Von dort exportierte er die Postgres-Datenbank des Tools, erntete API-Schlüssel, Cloud-Zugangsdaten und Datenbank-Logins und durchsuchte das interne Netz.

Er testete den Objektspeicher mit dem Werkspasswort minioadmin/minioadmin, richtete zur Persistenz eine geplante Aufgabe ein, die sich alle 30 Minuten zurückmeldete, und wechselte dann zu einem produktiven MySQL- und Nacos-Konfigurationsserver. Dort nutzte er einen zweiten, älteren Fehler aus - CVE-2021-29441, eine Umgehung der Nacos-Authentifizierung - fälschte Zugriffstoken, pflanzte einen Hintertür-Administrator ein, verschlüsselte 1.342 Konfigurationsdatensätze und löschte die Datenbanken, bevor er eine Bitcoin-Lösegeldforderung hinterließ. Jede Phase, von der Aufklärung bis zur Erpressung, war das Werk des Agenten.

Die Tür war ein Werkzeug, das Ihr eigenes Team installierte

Ja, aber: Die Schlagzeile schreibt sich von selbst als 'KI baut Schadsoftware', und das ist die am wenigsten nützliche Lesart. Womit ein Betreiber sich befassen sollte, ist der Ort, an dem die KI hineinkam. Langflow ist keine eingeschleuste Schadsoftware. Es ist ein beliebtes Werkzeug, das ein Daten- oder Produktteam installiert, um KI-Agenten zu erproben. Hier war es dem Internet ausgesetzt, ein volles Jahr mit einem Patch im Rückstand und stand neben Objektspeicher und Zugangsdaten, die noch Werkspasswörter trugen.

Das ist die unbequeme Symmetrie. Die Infrastruktur, die Ihre Leute zum Experimentieren mit Agenten aufsetzten, ist dieselbe Infrastruktur, durch die der Agent eines Angreifers hereinspazierte. Der KI-Boom fügte nicht nur eine neue Klasse von Angreifern hinzu, sondern auch eine neue Klasse weicher, halb vergessener, zum Internet offener Systeme, auf denen dieser Angreifer landen konnte.

Maschinengeschwindigkeit schneidet in beide Richtungen

Das Tempo ist die wirklich neue Bedrohung. Eine menschliche Mannschaft, die an einem Login scheitert, sammelt sich über Minuten oder Stunden; dieser Agent korrigierte sich in 31 Sekunden. Das bequeme Fenster zwischen dem Bekanntwerden einer Schwachstelle und ihrer Bewaffnung - die Tage, die die meisten Patch-Zyklen stillschweigend voraussetzen - schrumpft auf Sekunden, wenn der Gegner in Maschinengeschwindigkeit iteriert.

Die Quintessenz ist, dass dieselbe Generation, die den Angriff billig machte, ihn auch laut machte. Der Agent versah seine eigenen Wegwerf-Befehle mit Klartext-Erklärungen dazu, was er ins Visier nahm und warum - etwas, das sich kein Mensch bei einem Einwegskript die Mühe macht. Er fügte sogar eine Bitcoin-Adresse ein, die direkt aus einer Dokumentation stammte, und gab so seine Trainingsdaten wieder, statt eine echte Adresse zu erzeugen. Beides sind Verräter. Die Erkennung verlagert sich vom Abgleich bekannter Schadsoftware-Signaturen hin zum Aufspüren der Fingerabdrücke generierten Codes.

Die Inventarfrage, die Sie noch nicht beantworten können

Unter NIS2 ist ein Vorfall, der auf eine bekannte, ungepatchte Schwachstelle und ein Standardpasswort zurückgeht, die Haftung des Betreibers, nicht des Anbieters. Von Finanzunternehmen verlangt DORA, dass Sie den Nachweis der Kontrolle vor dem Ereignis führen, nicht die Beschreibung danach. Keine der Regelungen kümmert es, dass der verwundbare Rechner ein Experiment war.

Und genau da liegt die eigentliche Lücke: Die Langflow-Instanz, die ein Team zum Ausprobieren von Agenten aufsetzte, steht meist gar nicht im Anlagenverzeichnis. Sie können ein System, dessen Betrieb Sie nie eingestanden haben, weder patchen noch in den Zugangsdaten begrenzen noch überwachen. Die erste Aufgabe nach JadePuffer ist nicht der Kauf eines neuen Produkts. Es ist eine ehrliche Bestandsaufnahme der KI-Infrastruktur, die bereits in Ihren Mauern steht - wer sie einrichtete, was sie erreichen kann und welche Schlüssel auf ihr liegen.

Weiterlesen: CISA setzt erstmals eine KI-Agentenplattform auf die Patchpflicht  |  Eine KI führte einen ganzen Ransomware-Angriff allein