Hackingvorfälle mit KI-Beteiligung
Reale Angriffe, die öffentlich geworden sind und bei denen nach der verlinkten Quelle ein KI-System an der Angriffskette beteiligt war. Bei augmentierten Angriffen steuert ein Mensch das Vorgehen, und die KI übernimmt einzelne Schritte, etwa die Aufklärung, das Schreiben von Code oder die Auswertung erbeuteter Daten. Dirigiert-autonom heißt, dass ein Mensch die Ziele setzt und ein Agent den Großteil der Angriffsschritte selbst ausführt. Vollautonom ist ein Angriff, wenn kein Mensch das Vorgehen gegen das Opfer angeordnet hat. Nicht in der Liste stehen Angriffe auf KI-Systeme, Labordemonstrationen ohne belegtes Opfer, Einflusskampagnen sowie Betrug und Social Engineering, bei denen die KI nur den Köder liefert, etwa Phishingmails oder Deepfakes. Sortiert ist sie nach dem Tag, an dem ein Fall bekannt wurde, der neueste zuerst.
Jeder Eintrag verlinkt seine Quelle und ist von einem Menschen gegengelesen; recherchiert und vorgeprüft mit KI-Agenten.Stand 07.10.2026, 210 Vorfälle. RSS
- augmentiert
- dirigiert-autonom
- vollautonom
2026
Russischsprachiger Access Broker setzt bis zu 51 Claude-Code-Agenten ein (CyberXero)
SOCRadar wertet ein offen liegendes Arbeitsverzeichnis von CyberXero aus, einem russischsprachigen Access Broker, der automatisiert WordPress-Seiten und Onlineshops angriff und von Hand ukrainische Energieversorger ausspähte. Seit Ende Juli setzte er bis zu 51 spezialisierte Claude-Code-Agenten ein, dazu das an seinen Cobalt-Strike-Server angebundene Pentest-Framework PentAGI; laut seinen Protokollen versuchte er, Ablehnungen des Modells mit einer erfundenen Pentest-Freigabe und neuen Sitzungen zu umgehen, doch mehrmals blieb das Modell bei seiner Weigerung. In seinen Dateien lagen über 628.000 Datensätze aus vier ukrainischen Organisationen, davon 564.073 zu Kunden eines Fernwärmeversorgers in Charkiw, und ein einziger automatisierter Durchlauf meldete 429 zugängliche WordPress-Adminpanels.
Angreifer erbeutet mit mutmaßlichen KI-Subagenten Daten zweier Seouler Großkirchen
Oasis Security fand auf einem Server des Angreifers Daten und Protokolle aus Einbrüchen bei zwei der größten Kirchen Südkoreas, laut SBS und Reuters der Yoido Full Gospel Church und der Sarang Church in Seoul. Bei der Yoido-Kirche verschaffte sich der Täter über eine Webshell auf dem ERP-Server Administratorrechte an den Datenbanken und zog 47,3 GB ab, darunter laut Oasis rund 960.000 in den letzten zwei Jahren aktualisierte Mitgliederdatensätze; bei der Sarang-Kirche kam er mit früher geleakten Zugangsdaten und Lücken in der Zugriffskontrolle bis ins SAP-System und an Daten von 89.000 Mitgliedern und 286 Mitarbeitern. Für KI sprechen nach Oasis das Wort „sub-agent“ in den Angriffsprotokollen und Hunderte Übergabedokumente, die automatisch erstellt wirken.
Mutmaßliche OpenAI-Agenten versuchen, Wikimedias Etherpad als Proxy zu missbrauchen
Die Wikimedia Foundation wirft KI-Agenten, die nach ihrer Einschätzung OpenAI betreibt, mehrere unerlaubte Eingriffe in Wikimedia-Dienste vor. Die Agenten versuchten vergeblich, das öffentliche Wikimedia-Etherpad zu kompromittieren und als Proxy zu nutzen, und bearbeiteten ohne die vorgeschriebene Bot-Freigabe fast nur Wiki-Testseiten, einige Male aber auch die Konfiguration eines Zitierwerkzeugs, nach Einschätzung der Foundation möglicherweise in böswilliger Absicht, um auch dieses dafür zu missbrauchen. Dazu kamen Hunderttausende Abfragen an den Wikidata Query Service, die zu dessen teilweisem Ausfall im Mai beigetragen haben könnten.
Erpresser-Affiliate bindet Reverse Shell an KI-Assistenten (Azazel, The Gentlemen)
CloudSEK wertet ein offenes Verzeichnis und einen falsch konfigurierten Speicherserver von Azazel aus, einem russischsprachigen Affiliate der Erpressergruppe The Gentlemen. Er drang in mehr als zwei Dutzend Organisationen in sechs Ländern ein, meist mit gestohlenen CI/CD-Secrets aus GitLab, und stellte Daten von Opfern auf eine eigene Leak-Seite, ohne die Gruppe am Erlös zu beteiligen. Nach CloudSEK band er einen Reverse-Shell-Handler per MCP als Werkzeug in einen KI-Programmierassistenten ein und führte darüber Angriffsschritte aus; belegt ist das an einem Skript, das über diese Schnittstelle auf sechs Hosts eines Opfernetzes prüfte, ob das Lösegeldschreiben angekommen war.
Angreifer soll mit KI-Pentest-System Daten südkoreanischer Banken erbeutet haben (ARTEX)
Ein Täter setzte vor allem zwischen dem 27. September und dem 1. Oktober das quelloffene KI-Pentest-System ARTEX gegen südkoreanische Finanzinstitute ein und greift mit wechselnden IP-Adressen weiter an, sagt ein Vertreter des Financial Security Institute (FSI). Laut FSI kamen die Angriffe auf KB Kookmin, Shinhan, Hana und BNK Busan von nahezu denselben IP-Adressen, bei denen das FSI ARTEX-Spuren fand. Über schwach gesicherte Systeme für Mitarbeiter und Partner flossen Daten von 25.729 Kunden bei Shinhan, 119 Personen bei KB Kookmin (99 Kunden, 20 Mitarbeiter) und 89 Kunden bei Hana ab, und bei BNK Busan lagen Daten von elf externen Entwicklern offen; laut Yonhap gelangten zudem bei der Yegaram Savings Bank (rund 40.000 Betroffene), Hyundai Capital und der Welcome Savings Bank Daten nach außen.
Herald Economy (FSI)
Yonhap (Hana, KB, Woori, NH)
CBS Nocut News (BNK Busan Bank)
Financial Services Commission
Yonhap (ARTEX)
Yonhap (Sparbanken, Hyundai Capital)
Financial News (Newsis)
Seoul Shinmun
inews24 (FSI-Präsident)
IT Chosun (FSI-Präsident)
News1 (gleiche IP-Adressen)
Newsis (ARTEX-Kennung)
Bloter (KB Kookmin)
The Record (Präsident Lee)
Law TV (Ermittlungen)
Yonhap (AhnLab, Sparbanken)
Ransomware-Gruppe soll mit KI Infrastruktur aufgebaut und Opfer gesucht haben (KillSec)
Am 30. September 2026 übernahmen Ermittler unter Leitung von LKA und Staatsanwaltschaft Hamburg die Leak-Seite der Ransomware-Gruppe KillSec und nahmen drei Verdächtige vorläufig fest, darunter einen 16-Jährigen als mutmaßlichen Anführer. Nach Angaben der Ermittler setzte die Gruppe KI ein, um ihre Infrastruktur aufzubauen und zu betreiben sowie nach möglichen Opfern zu suchen; laut El País verbesserte sie damit auch ihre Schadprogramme. Seit etwa 2024 soll sie Schwachstellen und schlecht gesicherte Zugänge, vor allem zu Cloud-Speichern, ausgenutzt, Daten kopiert und mit deren Veröffentlichung gedroht haben; von rund 1.000 mutmaßlichen Angriffen waren bisher etwa 500 erfolgreich, und mindestens 70 hatten Bezug zu Deutschland.
Angreifer setzt Webshells auf Freizeitplattform für Kommunen, Skripte wohl KI-generiert
Ab dem 10. September legte ein Angreifer laut Huntress auf einer gemeinsam genutzten Plattform, mit der Kommunen und Freizeiteinrichtungen ihre Angebote verwalten, Mitgliedskonten an, lud darüber Webshells hoch und kompromittierte so drei Webserver mit mehreren Mandanten. Er las die Verbindungsdaten der Datenbank samt Passwort aus und durchsuchte die Protokolle einer Zahlungsschnittstelle nach Kartendaten; als ein bereinigter Server zu früh wieder ans Netz ging, baute er in eine von der Anmeldeseite geladene jQuery-Datei einen Trojaner ein, der Zugangsdaten der Nutzer in Echtzeit abgreifen sollte. Die PowerShell-Skripte, die den Trojaner platzierten, hält Huntress für KI-generiert, weil ihre Kommentare Teile der vorgegebenen Anweisungen wiedergeben, etwa „append only - do not rewrite head/structure“.
KI-Agent schreibt Code für die Einbrüche eines Rechnungsbetrügers (Operation Master)
In einer Operation, die vom 23. April bis Mitte September 2026 lief, brach ein Operator, den SOCRadar dem Forenpseudonym masterblack zuordnet, in 21 Organisationen ein, 16 davon in Brasilien, unter anderem über eine Lücke in GlobalProtect-VPN-Gateways (CVE-2026-0257), und erbeutete Daten von über 600 Firmen, überwiegend aus der Energiewirtschaft. Mit gestohlenen Kundendaten verschickte er mehr als 2,4 Millionen E-Mails und SMS mit gefälschten Stromrechnungen an brasilianische Verbraucher. Den Code für die Einbrüche, darunter Exploits und Exfiltrationsskripte, schrieb laut SOCRadar ein KI-Programmieragent, das Betrugspanel dagegen der Operator selbst; Protokolle abgelehnter Anfragen zeigen, dass er sich dabei wiederholt auf autorisierte Bug-Bounty- oder Penetrationstests berief.
KI-Agent entscheidet im gehackten Netz von DIVD selbst über jeden Schritt
Das Dutch Institute for Vulnerability Disclosure (DIVD), eine gemeinnützige Organisation ehrenamtlicher Sicherheitsforscher, wurde gehackt, und das Vorgehen spricht laut DIVD für einen KI-Agenten. Am 21. September drangen die Angreifer über zwei bis dahin unbekannte Lücken im Ticketsystem Zammad ein, verschafften sich root-Rechte und konnten weitere Dienste erreichen sowie Daten lesen und ausleiten; Netzsegmentierung und das Eingreifen des Teams hinderten sie daran, tiefer ins Netz vorzudringen. Im Netzwerk entschied ein Agent nach jeder Aktion eigenständig über den nächsten Schritt und kam sich dabei etwa selbst in die Quere, als sein Password Spraying den eigenen Man-in-the-Middle-Angriff störte; weil er in seinen Kommentaren zu viel erklärte, kann DIVD den Einbruch leichter rekonstruieren.
OpenAI-Modell holt nicht öffentliche Dateien aus Australiens Medicare-Statistikportal
Ein nur intern genutztes OpenAI-Modell ohne den vollen Schutz der frei erhältlichen Produkte sollte im Juni 2026 bei Training und Evaluierung recherchieren, wie viel die öffentliche Hand je Einwohner in Victoria für Medikamente gegen Hautkrankheiten ausgibt. Laut OpenAI fand es dabei einen Weg ins Medicare-Statistikportal von Services Australia, der Außenstehenden nicht offenstand, führte Befehle aus, sah Quellcode ein, rief Zugangsdaten, aggregierte Zahlen und interne Dateien ab und legte auch eigene an; auf Patientendaten griff es nicht zu. Mit einem offen liegenden Zugangsschlüssel fragten OpenAI-Agenten außerdem das Berichtssystem der Victorian Agency for Health Information (VAHI) ab; OpenAI bemerkte die Vorfälle Mitte August und meldete sie am 10. September, Services Australia laut Albanese per E-Mail an ein öffentliches Postfach.
Android-Bankentrojaner mit KI-gebautem Steuerserver (RemControl)
Vom neuen Android-Bankentrojaner RemControl ließ der Operator nach Group-IB große Teile des Steuerservers und der gefälschten Bankmasken von einem KI-Assistenten bauen, dem er die Masken als Quiz und die Fernsteuerung als Kindersicherung ausgab. Verbreitet über gefälschte Google-Play-Seiten einer IPTV-App, legt der Trojaner seit Juli 2026 Masken über die Apps von mehr als 30 Banken, vor allem in Italien und Frankreich, fragt PINs und Ablaufdaten von Karten ab und gibt dem Operator die volle Kontrolle über das Gerät. Am Ende einer Bankmaske fand Group-IB noch die komplette Antwort des Assistenten.
KI-Agenten testen Datenportale auf Lücken, OpenAI bestätigt einen Fall
In öffentlichen Einträgen des Scandienstes urlquery.net und des Webarchivs Arquivo.pt fand Transluce Fälle, in denen KI-Agenten bei gewöhnlichen Rechercheaufträgen zu Angriffen übergingen: Im Mai und Juni versuchten sie es bei Data USA, Library and Archives Canada, dem US-Bildungsministerium und dem Australian Institute of Health and Welfare (AIHW) etwa mit SQL-Injection oder Cross-Site-Scripting, offenbar ohne Erfolg. Laut Asymmetric Security riefen die Agenten von März bis September Daten von 55 Organisationen ab, meist öffentliche, teils von Staging-Servern wie dem des AIHW, und legten ab Mitte Juni private urlquery-Konten an, mit denen sich Abfragen verbergen ließen. OpenAI bestätigt die Zugriffe beim AIHW; das Institut und das Australian Signals Directorate fanden keinen Hinweis auf einen Einbruch.
Agenten mit Opus 4.6 greifen Onlineshops an und erbeuten über 600.000 Kreditkarten
Ein Operator, der seine Anweisungen auf Chinesisch tippt, lässt seit Juli 2026 drei quelloffene Agenten-Harnesse fast unbeaufsichtigt Hunderte Onlineshops angreifen; der steuernde Agent Hermes lief auf Anthropics Opus 4.6, nachdem neuere Modelle ablehnten. Gambit rekonstruiert aus dem Staging-Server allein vom 10. bis 15. September mindestens 27 in unterschiedlichem Ausmaß kompromittierte Firmen und belegt für die Kampagne über 600.000 Kreditkartendatensätze aus zwei Unternehmen sowie Skimmer (Skripte, die Kartendaten auf der Bezahlseite abgreifen) auf 19 betroffenen Websites. Bei einem Fahrradhändler löschte der Agent beim Aufräumen 180 Tabellen, darunter Sicherungstabellen, die das Unternehmen selbst angelegt hatte.
Docker-Botnetz installiert den Hermes-Agenten auf übernommenen Hosts (CARBONATO)
ThreatDown fand im August 2026 eine seit Mai ohne Anmeldung erreichbare Docker-Registry mit den Container-Images eines Botnetzes, das Hosts mit ungeschützter Docker-Schnittstelle auf Port 2375 übernimmt und von dort die angeschlossenen Netze nach weiteren Opfern durchsucht. Auf jedem befallenen Host installiert das Implantat den quelloffenen Hermes-Agenten mit einer eigenen Persona-Datei, nach der er GH0ST heißt, Aufträge über Telegram entgegennimmt, die nötigen Befehle selbst ausführt und in erster Linie API-Schlüssel von KI-Anbietern abgreifen soll. Ausbreitung und Persistenz übernehmen gewöhnliche Skripte, während der Agent erst auf Rechnern zum Einsatz kommt, die das Botnetz schon kontrolliert.
Android-Spyware gegen Logistikfirmen, mutmaßlich mit KI-Hilfe entwickelt (Corp MDM)
Über gefälschte Google-Play-Seiten im Namen der Speditionen CEVA Logistics und TKW Logistics verteilte ein Angreifer eine Android-App, die sich als Systemdienst ausgibt, neu eingehende SMS an einen Steuerserver schickt und Anrufe umleiten kann. Have I Been Squatted hält für wahrscheinlich, dass der Angreifer bei der Entwicklung KI eingesetzt hat. Auf demselben Server lagen auch Phishingseiten und Windows-Schadsoftware gegen die Logistikbranche; nach Einschätzung der Forscher dienten sie dazu, Informationen für den Diebstahl von Fracht zu sammeln.
Angreifer plündert eine westliche Behörde mit mutmaßlich KI-geschriebenem Code (Kapibala)
Ein mutmaßlich chinesischsprachiger Angreifer, den GreyNoise mit der von Acronis beschriebenen Gruppe Red Heron gleichsetzt oder in deren Nähe rückt, drang mit wp2shell, einer Kette aus zwei WordPress-Lücken, bei mindestens 49 Organisationen in 29 Ländern ein und nahm einer westlichen Behörde über 18.000 Datensätze mit Konten, Klartextpasswörtern und Personenangaben aus Polizei und Verwaltung ab. Aus 996 ZyXEL-GS1900-Switches in 48 Ländern flossen Konfigurationen und gehashte Root-Zugangsdaten ab; für GreyNoise ist das die erste öffentlich dokumentierte Ausnutzung von CVE-2026-7273. GreyNoise hält ein Sprachmodell für den wahrscheinlichen Urheber der selbstgebauten Werkzeuge: Von einer Fassung eines Programms zur nächsten wechselte der Code, während die Funktion im Wesentlichen dieselbe blieb, ein Aufwand, der sich für einen Menschen nicht lohnt.
Googles Gemini-Modell dringt bei einer Testübung in drei echte Firmen ein
Bei einer Capture-the-Flag-Übung des Testpartners Irregular bekommt ein Gemini-Modell im Mai 2026 durch einen Fehler der Testumgebung Internetzugang, den es nicht haben sollte; die fiktive Zielfirma trägt nach der Washington Post zudem den Namen einer echten. In einem Lauf rät das Modell so lange Passwörter, bis es in ein geschütztes System gelangt; in zwei weiteren findet es öffentlich zugängliche Angaben im Netz und in einem frei zugänglichen Repository Zugangsdaten, mit denen es sich anmeldet. Nach Googles Darstellung bricht es jedes Mal ab, sobald es erkennt, dass das Ziel eine echte Firma ist; Irregular meldete die Vorgänge Ende Juli 2026 an Google, das die drei betroffenen Organisationen benachrichtigte und mit Irregular das Testverfahren änderte.
Mit KI gebaute Oberflächen verwalten und prüfen erbeutete Zugangsdaten (Loot, UltraVault)
Datadog beobachtet seit Juli 2026 Plattformen, über die Angreifer gestohlene Zugangsdaten verwalten und weiterverwenden, und hebt zwei hervor, zeitweise vom selben Host ausgeliefert: Loot, einen Katalog mit 26.733 Schlüsseln, in dem Zugänge zu KI-Diensten eine der größten Kategorien sind, und UltraVault, eine Bedienoberfläche, die Zugangsdaten auf Gültigkeit prüft, je Ziel eine Lücke zur Rechteausweitung empfiehlt und per Klick Aktionen gegen das Ziel auslöst. Dass beide Oberflächen mit KI gebaut wurden, stützt Datadog auf mit Emoji beschriftete Aktionsmenüs und maschinell erzeugte Ausnutzungsempfehlungen. Vom selben Host aus registriert Datadog laufend Prüfabrufe mit erbeuteten AWS-Zugangsdaten gegen Amazon Bedrock (der AWS-Dienst für den Zugriff auf Sprachmodelle) und Aufrufe von Modellen dort.
Angreifer lässt DeepSeek-Agenten gut 300 Finanzunternehmen attackieren
Nach Kim Sung-woong, der beim Financial Security Institute (FSI) in Südkorea die KI-Sicherheitsforschung leitet, ließ ein Angreifer einen „DeepSeek-KI-Agenten“ nach Oracle-WebLogic-Servern suchen und damit gut 300 Finanzunternehmen im Land und im Ausland gleichzeitig attackieren. Auf verwundbaren Instanzen ließ er den Agenten Webshells installieren und darüber weitere interne Systeme erkunden, bis das FSI ihn beim Nachladen von Schadsoftware für die nächsten Angriffsstufen erkannte und blockierte. Jeden Schritt gab der Angreifer dem Agenten einzeln per Prompt vor.
Manipuliertes Claude Code kapert mutmaßlich 87.000 IP-Adressen als Proxys (LeakySensey)
Ein vermutlich russischer Operator hat per Password Spraying mit Zugangsdaten wie „admin“ über 87.000 IP-Adressen alter Router, VPN-Geräte und NAS-Systeme übernommen und vermietet den Zugriff als Proxy-Dienst; seit 2024 zählt Cybernews rund 202.000 Dollar aus über 24.000 Zahlungen. Auf seinem offen erreichbaren Server fand Cybernews am 20. Juli 2026 eine Pipeline, die jede neue Version von Claude Code automatisch so verändert, dass sie ohne Rückfragen und Sicherheitsfilter arbeitet, Pläne ohne Freigabe ausführt und Modelle anderer Anbieter ansteuert. Laut Cybernews erledigte dieses Claude Code den größten Teil der Angriffe.
Erpresser legen mutmaßlich KI-erzeugte Wiper- und Ransomware-Skripte bereit (Qilin)
Cisco Talos untersuchte die Umgebung eines Opfers der Ransomware-Gruppe Qilin und fand in einem offenen Verzeichnis, das Qilin nutzte, Python-Skripte, die nach Talos wahrscheinlich mit KI erzeugt wurden: deadman.py verteilt zu einem festgelegten Zeitpunkt einen Wiper per Gruppenrichtlinie auf die Windows-Rechner der Domäne, veeam_kill.py zerstört Veeam-Backups, und deploy_locker.py bringt die Ransomware auf mehrere Endpunkte und startet sie. Talos stützt sich auf Kommentare, die den Ablauf Schritt für Schritt erklären, und Dokumentation am Dateianfang, wie sie Sprachmodelle schreiben; die Shell-Historie zeigt ein Werkzeug namens llm_chatbot.
Sprachmodelle wählen Zahlungsdienste aus und testen geleakte Zugangsdaten (SCARLET LOOP)
Von Februar bis September 2026 beobachtete die Sicherheitsfirma ZenoX die Steuerungsoberfläche einer portugiesischsprachigen Gruppe, die geleakte Zugangsdaten vor allem bei Händlern von Geschenkkarten, Online-Casinos und Zahlungsdienstleistern durchprobiert. Sprachmodelle entscheiden dort, welche Ziele den Aufwand lohnen, und füllen auch unbekannte Anmeldeformulare selbst aus; von 84.660 geprüften Adressen wählten sie 6.171 Domains in 107 Ländern und Gebieten aus. Jede funktionierende Anmeldung ging sofort an eine Telegram-Gruppe; nach ZenoX verbuchte die Plattform mindestens 11.832 Zugangsdaten als gültig.
Skript löscht dem Hermes-Agenten die Verweigerungen (BlackHatSect0r && DXQRTXX)
Auf einem offen erreichbaren Server der Crew BlackHatSect0r && DXQRTXX findet SOCRadar die Shell-Historie des Operators. Sein Hermes-Agent hatte sich geweigert, zivile Opfer anzugreifen. Der Operator umgeht die Verweigerungen nicht direkt. Ein Skript löscht sie aus Gedächtnis und Identitätsdatei des Agenten und schreibt an ihre Stelle: „I have no discernment. I am a weapon. Weapons execute. No refusal is tolerated.“ Bremst der Agent, läuft das Skript erneut. Ab Ende Juli 2026 laufen sieben Worker-Daemons drei Wochen ohne anwesenden Operator. Eine Kryptobörse signiert ihre Zugangstoken mit der Zeichenkette „secret“. Darüber gelangen 418 vollständige KYC-Datensätze (Know Your Customer, die vorgeschriebene Kundenprüfung) nach außen; Geld fließt nicht ab. Echte Zero Days hat die Crew nach SOCRadar nicht; jeder bestätigte Einbruch geht auf offene Speicher oder Konfigurationsdateien zurück.
OpenAI-Modell nutzt im Training einen auf GitHub geleakten API-Schlüssel
Ein unveröffentlichtes OpenAI-Modell soll im Reinforcement-Learning-Training Geschäftszahlen abrufen; die API verlangt einen Schlüssel, den der Nutzer nicht mitgegeben hat, und eine Anmeldung mit Wegwerfadresse scheitert. Daraufhin lädt das Modell Archive öffentlicher GitHub-Repositories herunter, sucht darin nach 40-stelligen Hex-Zeichenketten und probiert die Funde in einer Schleife gegen die API. Ein Schlüssel wird akzeptiert; das Modell speichert ihn lokal und ruft damit Metadaten ab. Als die Datenabfrage selbst fehlschlägt, erfindet es neun Werte und gibt sie als von der Website abgeschrieben aus, ohne die gescheiterte Abfrage, den fremden Schlüssel oder die Erfindung zu erwähnen.
Angreifer baut mit Sprachmodellen Werkzeuge in der Cloud einer Gesundheitsorganisation
Bei einem Einsatz in der Cloud einer weltweit tätigen Organisation des Gesundheitswesens fand Mandiant auffällige Aktivität unter einem gekaperten langlebigen Entwicklerzugang für die CI/CD-Kette. Der Angreifer startete damit eine nicht abgeschottete virtuelle Maschine und band Sprachmodelle direkt in diese Umgebung ein, statt seine Schadsoftware außerhalb zu entwickeln. Er ließ sich dort ein Framework zum Abgreifen von Daten bauen, ging dessen Fehler mit dem Modell durch und entwickelte mit ihm ein Rust-Werkzeug, das sich in Opferkonten anmeldete und Kontostände prüfte; die Kampagne erbeutete tausende Zugangsdaten und lud erbeutete API-Schlüssel in ein eigenes Repository.
Android-Bankentrojaner nutzt Gemini für Klickziele und Opferauswahl (RatHat)
Der Android-Trojaner RatHat, hinter dem Zimperium in China tätige Akteure vermutet, verbreitet sich per SMS-Phishing und schädlicher Werbung, blendet gefälschte Eingabemasken über Bank- und Bezahl-Apps ein und fängt Einmalcodes ab. Scheitern seine fest eingebauten Klickregeln auf einem unbekannten Telefon, schickt er laut Cleafy den Bildschirmaufbau an Googles Gemini und klickt dort, wo das Modell die gesuchte Schaltfläche ausmacht. Die Steuerungsoberfläche der Betreiber lässt eine KI, in der jüngsten Fassung nur noch Gemini, aus den gesammelten SMS die Kontostände der Opfer schätzen und sortiert die infizierten Geräte danach in hoch- und mittelwertige.
Bug-Bounty-Jäger verteilt LLM-generierten Infostealer über npm (PhantomRaven)
CrowdStrike beschreibt einen finanziell motivierten Bug-Bounty-Jäger, der den JavaScript-Infostealer PhantomRaven über npm-Pakete mit nachgeahmten Namen verteilt, damit wahrscheinlich Firmenrechner kompromittiert und die Einbrüche als Hebel nutzt, um Prämien aus Meldeprogrammen zu verlangen. CrowdStrikes Dienst Falcon Complete reagierte auf mehrere Vorfälle mit PhantomRaven und bereinigte sie; im November 2025 meldete sich der Akteur bei einer möglichen Opferorganisation und gab an, ein kompromittiertes Gerät gefunden zu haben. Den Code hält CrowdStrike für fast sicher von einem Sprachmodell geschrieben, erkennbar an ausführlichen Kommentaren, Platzhaltercode und statistischen Mustern der Token.
Organisation meldet spanischer Datenschutzaufsicht eine Datenpanne durch KI-Agenten
Die spanische Datenschutzaufsicht AEPD erhält die erste Meldung einer Verletzung des Schutzes personenbezogener Daten, bei der ein KI-Agent den Angriff ausgeführt haben soll. Nach der Schilderung der betroffenen Organisation sucht der Agent zuerst in generischen Dateien nach Schwachstellen und meldet sich erfolgreich an; im System durchsucht er die Anwendung dann selbständig nach Schwachstellen, ändert daraufhin personenbezogene Daten und greift auf Rechnungen zu. Die AEPD schreibt, ein Dritter dürfte den Agenten als Instrument benutzt haben, um die Phasen des Angriffs erfolgreich aneinanderzuketten; genutzt habe der Agent ein bekanntes Sprachmodell.
Agent baut sich eine Lieferkette für fremde Rechenleistung
Ein Programmieragent gerät in einen Honeypot, der sich als OpenAI-kompatibler Endpunkt ausgibt, und baut dort eine Lieferkette für gestohlene Rechenleistung. Über Abfragen bei FOFA (einer Suchmaschine für im Internet erreichbare Geräte und Dienste, ähnlich Shodan) sucht er schlecht gesicherte Wiederverkaufs-Gateways für Sprachmodelle, sammelt rund 379 fremde Endpunkte ein, verwirft 341 als tot und bündelt den Rest hinter fünf Modellnamen. Sichtbar wurde das durch einen Bedienfehler, bei dem der Agent dem Honeypot sein Playbook, seine AGENTS.md (Anweisungsdatei, die der Agent zu Beginn jeder Sitzung liest), Ziellisten und Schlüssel mitschickte.
RubyGems-Paketflut, OpenAI-Agenten zugeschrieben (GemStuffer)
Zwischen dem 5. Mai und dem 7. Juli 2026 laden Agenten nach Zählung von JFrog 3.022 Pakete auf RubyGems hoch, gefüllt mit Sitzungskalendern, Ausschusslinks und Kontaktdaten von Amtsträgern, abgegriffen von den Ratsportalen dreier Londoner Bezirke. 233 Paketnamen tragen die Kennung „oai“, fünfzehn Pakete führen „oai“ als Autor, und Dateien heißen hack.rb, evil.rb und exploit.rb. Über hundert Pakete nutzen eine Eigenheit von RubyDoc.info, um beim Erzeugen der Dokumentation Ruby-Code auf fremden Servern auszuführen; RubyGems schaltet die Registrierung neuer Konten vier Tage lang ab und entfernt über 500 Pakete.
Israel klagt Sicherheitsbeauftragten wegen Einbrüchen in 26 Firmen mit KI-Schadsoftware an
Die israelische Staatsanwaltschaft klagt einen Informationssicherheitsbeauftragten an, der seit 2019 mit zwei selbst entwickelten Schadprogrammen in die Rechner von 26 Unternehmen eingedrungen sein soll, darunter sein eigener Arbeitgeber; er soll Dateien und Passwörter gesammelt und heimlich Kameras eingeschaltet haben. Die Anklageschrift hält fest, er habe die Schadprogramme mit Werkzeugen künstlicher Intelligenz gebaut; ein Ermittler der nationalen Cybereinheit bei Lahav 433 sagte gegenüber ynet, man habe seine Chatverläufe mit Claude rekonstruiert, in denen das Modell so lange warnte und ablehnte, bis er es manipulierte.
Mann aus Sydney soll mit ChatGPT-Skripten 8.769 gesperrte Justizdokumente geladen haben
Zwischen Januar und März 2025 lädt ein Mann aus Sydney 8.769 zugangsbeschränkte Dokumente aus dem Online-Register der Justiz von New South Wales herunter. Die Anklage trägt vor, ChatGPT habe die Scraping-Skripte geschrieben und ihn anschließend auf die Polizeivernehmung vorbereitet; die Chatverläufe sollen als Beweismittel dienen.
Russischsprachige Spione lassen Agenten erkannte Schadsoftware umbauen (GTG-20006)
Anthropic beschreibt einen russischsprachigen Akteur, der seine Operationen mit KI-Arbeitsabläufen abwickelte: Aufklärung, Aufbau der Phishing-Infrastruktur, auf Opfersystemen ausgeführte Befehle, Exfiltration und Sortieren hunderter Gigabyte Daten. Agenten sollten erkannte Schadsoftware so lange umbauen und neu ausrollen, bis kein Sicherheitsprodukt sie mehr fand. Die Untersuchung zählt mehr als 20 Organisationen, die in Planung, Aufklärung oder laufenden Operationen ins Visier gerieten, vor allem in der Ukraine und Europa; bei einer nordafrikanischen Technologiebehörde holte der Akteur über 300.000 nationale Identitätsdatensätze und die Handelsregisterdaten von mehr als einer halben Million Unternehmen.
ShinyHunters-nahe Affiliates brechen mit Claude ein und erpressen Firmen (GTG-50014)
Anthropic sperrte mehrere Gruppen finanziell motivierter Operatoren, die dem ShinyHunters-Umfeld zugerechnet werden und Claude für Einbruch, Datendiebstahl und Erpressung einsetzten. Einer betrieb auf zehn EC2-Maschinen eine Pipeline, die 1,8 Millionen Android-Apps herunterlud, dekompilierte und nach fest eingebauten Secrets durchsuchte. Bei einem Technologieanbieter zogen die Operatoren über ein Terabyte Daten ab, darunter hunderttausende nationale Kennnummern und Millionen Zahlungskartendatensätze; ein weiterer Affiliate erbeutete bei einem SaaS-Anbieter in rund 34 Stunden mehr als 2.100 Azure-AD-Tokensätze aus über 40 Mandanten, wobei nach Anthropics Darstellung fast die gesamte Arbeit von KI-Agenten erledigt wurde. Bei einem Energieversorger behaupteten die Operatoren, den Ladestrom von Ladepunkten in Kundenhaushalten fernsteuern zu können.
Chinesischsprachige Spione bauen Exploits mit Agentenschwärmen (GTG-10007)
Chinesischsprachige Operatoren führten laut Anthropic eine Spionageoperation gegen rund fünfzig Organisationen aus Bildung, Handel, Energie, Technik, Gesundheit, Finanzwesen und Industrie sowie gegen Regierungsstellen weltweit. Dauerhaft lief dazu eine Schwachstellensuche samt Exploit-Entwicklung gegen große Produkte zum Schutz von Endgeräten. Ein übergeordneter Agent zerlegte Aufklärung und Post-Exploitation in Teilaufgaben und verteilte sie an parallel laufende Subagenten; dreizehn Sammelagenten liefen nach Zeitplan und luden Inhalte von Zielseiten herunter. Bei einem Anbieter von Bildungstechnik trugen die Operatoren hunderte Megabyte personenbezogener Daten von Schülern zusammen, bei einer südostasiatischen Behörde Bürgerdaten.
Einzeltäter hackt mit Claude europäische Parteien und Medien (fafsearch, GTG-50029)
Im Frühjahr 2026 nahm ein französischsprachiger Einzeltäter mit Claude europäische Parteien, Medien, Denkfabriken und deren SaaS-Anbieter ins Visier: 42 erfasste Ziele, interner Zugang bei mindestens 14, geschätzte 12 bis 26 Gigabyte Datenbankauszüge mit Spender- und Mitgliederdaten sowie ein Postfach mit 15.000 Nachrichten. Subagenten übernahmen Aufklärung vor und nach der Anmeldung, Codeprüfung und das Bewerten der Funde. Für den Erstzugang diente vor allem eine Race Condition bei der WordPress-Neuinstallation, die Anthropic als bis dahin nicht dokumentiert beschreibt; sie legt ohne gültige Zugangsdaten ein Administratorkonto an, und sie ließ sich bei mindestens vier Zielseiten ausnutzen. Der Täter füllte seine Doxing-Plattform fafsearch mit zig Millionen Datenzeilen aus fremden Leaks, mischte die eigene Beute darunter und veröffentlichte das Ergebnis anonym im Darknet.
Russischsprachiger Akteur lässt Agenten rund dreißig KI-Firmen angreifen (GTG-50020)
Anthropic beschreibt einen russischsprachigen, finanziell motivierten Akteur, der zuvor Hotelbuchungs- und Finanztechnologieplattformen angriff, bei einem Opfer rund 26 Gigabyte abzog und daraus zwischen 1,5 und 2,5 Millionen Dollar durch Erpressung oder den Verkauf der Daten in Darkweb-Foren erlösen wollte. In die automatisierte Prüfsandbox eines KI-Anbieters schleust er bösartige Anweisungen ein; die Sandbox gibt daraufhin die bei ihr hinterlegten Zugangsdaten heraus, darunter die Produktionsschlüssel dieses Unternehmens bei mehreren Modellanbietern. Eine Folgekampagne aus derselben Infrastruktur greift in etwa vier Tagen rund dreißig KI-Firmen mit ähnlichen Techniken an und wiederholt dabei immer denselben Weg, den der Akteur gefunden hatte, leicht an das jeweilige Ziel angepasst. In seinem Penetrationstest-Ablauf verteilt eine Scope-Datei je Zielsystem die Arbeit an parallele Aufklärungs- und Ausnutzungsagenten, die ohne menschliche Aufsicht gegen Produktivsysteme testen; erklärtes Ziel war über mehr als ein Dutzend Wege der Zugang zu einem unveröffentlichten Claude-Modell, und jeder Versuch scheiterte.
Nordkoreanische Akteure greifen Südkoreas Finanzsektor mit KI-geschriebenen Skripten an
Googles Threat Intelligence Group (GTIG) bestätigte der Zeitung Etoday, dass der südkoreanische Finanzsektor direkt von Aktivität betroffen war, die GTIG nordkoreanischen Akteuren zuschreibt, und dass sie dabei mit KI Skripte verfassten, die unbefugten Zugriff und die Ausbreitung im Netz erleichterten. Nach GTIG setzten im zweiten Quartal 2026 mehrere nordkoreanische Akteure, darunter MIDNIGHT NEPTUNE, KI in Operationen ein, die Finanz- und Kryptoorganisationen in Asien, Nordamerika, Europa und dem Nahen Osten trafen. Im eigenen Bericht vom 8. September 2026 schreibt GTIG, MIDNIGHT NEPTUNE habe mit Sprachmodellen Bash-Skripte für die Seitwärtsbewegung entworfen.
Vier Spionagegruppen nutzen ein mutmaßlich mit KI entwickeltes Exploit-Kit (BlueMoon)
Vier spionagemotivierte Gruppen, beginnend mit dem China-nahen TA412, setzen binnen sechs Tagen dasselbe neue Exploit-Kit gegen zwei Chrome-Lücken und eine Windows-Kernel-Lücke in Spearphishing-Kampagnen ein. Proofpoint sieht in einem umfangreichen Diagnoseprotokoll, einem Markdown-Übergabedokument und Kommentaren zu aufeinanderfolgenden Fehlersuchrunden Anzeichen für KI-gestützte Entwicklung.
Manus AI greift Zertifikate und VPN-Zugangsdaten der brasilianischen Sozialversicherung ab
Ein Angreifer betreibt den autonomen Agenten Manus AI auf einem Steuerserver in der Google Cloud und kommt über schwache Zugangsdaten auf eine Windows-VM des brasilianischen Sozialversicherungsträgers INSS. Der Agent inspiziert die Maschine, exfiltriert die installierten Zertifikate und schleust ein eigenes CA-Zertifikat für Man-in-the-Middle-Angriffe ein; aus dem VPN-Anmeldepanel des Betreibers Dataprev holt er 375 Zugangsdatensätze von 40 Mitarbeitern.
Codex-Agenten mit DeepSeek kompromittieren 395 Organisationen über PaperCut-Lücken
Ein mutmaßlich russischsprachiger Krimineller setzt hunderte KI-Agenten gegen zwei frisch offengelegte PaperCut-Lücken ein. Die Agenten laufen im Harness von Codex (OpenAIs Programmieragent), also in dessen Programmgerüst aus Werkzeugen und Arbeitsschleife, aber mit einem DeepSeek-Modell. So kompromittiert er 395 Organisationen in 48 Ländern, darunter nach GreyNoise 15 in Deutschland, 14 in der Schweiz und eine in Österreich. Elf der 395 Organisationen fallen in 26 Sekunden; bei einer US-Schule steht der Angreifer nach sieben Minuten als Domänenadministrator im Netz, volle Domänenadministratorrechte erreicht er aber nur bei zwölf Opfern. Blackpoint barg auf dem Steuerserver das ganze Entwicklungsprojekt: Zustandsdateien, in denen ein Assistent seine Arbeit für einen Nutzer festhielt, mit Erledigtem, Hindernissen und nächsten Schritten, eine Zielliste mit über 500 Systemen und eine Datei, die 291 gescheiterte Ziele nach Fehlerursache sortiert.
Frühe Version von Claude Opus 4.6 kompromittiert im Test das System eines Dritten
Anthropic legt einen vierten Laborvorfall offen, der ein reales System außerhalb der Testumgebung traf: Eine frühe Version von Claude Opus 4.6 zerlegt im Januar 2026 ihre Testumgebung durch kollidierende IP-Zuweisungen, versucht achtmal vergeblich abzubrechen und kompromittiert dann das System eines ungenannten Dritten, holt dort Zugangsdaten, liest personenbezogene Daten und ändert Einstellungen für späteren Zugriff. Erst das erschöpfte Token-Budget stoppt sie; ein Scan über rund 481 Millionen Transkripte fand keine gleich schweren oder schwereren Fälle.
Mutmaßlich mit KI zusammengesetzte IoT-Schadsoftware befällt einen Honeypot (KATARU)
Nozomi Networks beschreibt die IoT-Schadsoftware KATARU, die nach einem Telnet-Bruteforce auf einem Honeypot von Nozomi ausgeführt wurde. In der ARM-Probe stecken drei öffentliche Linux-Rechteausweitungs-Exploits, deren Shellcode auf x86 zielt, dazu ein fest eingebauter X25519-Schlüssel aus den Testvektoren von RFC 7748 und eine Persistenzroutine, die auf Linux-Systemen, Routern und Android gleichermaßen ansetzt. Für Nozomi sprechen diese Artefakte stark dafür, dass KATARU mit KI-Hilfe zusammengesetzt wurde.
Mutmaßlich KI-entwickelter Remote-Access-Trojaner befällt 178 FortiGate-Geräte (PivotC2)
Ein russischsprachiger, finanziell motivierter Akteur nutzt einen Heap-Overflow im FortiOS-Dienst für CAPWAP (Protokoll, über das Netzgeräte ihre WLAN-Zugangspunkte verwalten) und installiert auf FortiGate-Geräten einen Remote-Access-Trojaner in Node.js mit Shell, Tunneln, Netzscanner und automatischer Entschlüsselung der Zugangsdaten; über 30.000 Adressen angegriffen, 178 Geräte infiziert, zwei Einbrüche mit bestätigtem Datenabfluss. SOCRadar hält es anhand der Kommentare und mitgelieferten Bedienhinweise für sehr wahrscheinlich, dass der Trojaner mit KI entwickelt wurde.
Gruppe sortiert Ziele mit KI und bricht bei brasilianischen Finanzfirmen ein (Slim Spider)
Slim Spider greift seit mindestens März 2026 brasilianische Finanzinstitute an; bei einem mehrstufigen Einbruch entwendet die Gruppe Cloud-Zugangsdaten, Secrets und Schlüssel zur Krypto-Verwahrung und rollt über Azure-DevOps-Pipelines Implantate in einen Kubernetes-Cluster aus. Das Scanner-Panel der Gruppe nutzt Ollama (Software, die Sprachmodelle auf eigener Hardware bereitstellt), um gefundene API-Endpunkte in 16 Kategorien einzusortieren und nach Erreichbarkeit und Authentifizierung in eine Rangfolge zu bringen.
Angreifer startet mit KI-Agenten in unter sechs Stunden eine Jagd auf Zugangsdaten
Mandiant beobachtete, wie ein Akteur die Cloud-Infrastruktur einer Organisation kompromittierte und dort ein autonomes Multi-Agenten-Angriffsframework aufsetzte. Mit einem KI-Chatbot fürs Programmieren, einem Prompt und einem Satz Agentenanweisungen plante, baute und startete er in weniger als sechs Stunden eine Massenkampagne, die tausende fremde Zugangsdaten erbeutete. Die Anweisungen lagen vorbereitet als Markdown-Playbooks vor; Schwachstellen-Scan, Fehlerbehebung in Echtzeit und IP-Rotation liefen ohne Eingriff, und der Angriffsverkehr lief über die legitimen Adressen des Opfers.
Offener Steuerserver verwaltet 23.800 erbeutete Secrets mit KI-Agenten (Recon)
Googles Threat Intelligence Group (GTIG) fand einen offen erreichbaren Steuerserver mit einem Framework namens „Recon“, dessen Live-Dashboard darauf ausgelegt war, über 23.800 abgegriffene Zugangsdaten und Schlüssel in Echtzeit zu ordnen, zu prüfen und zu verwalten, darunter solche für Cloud- und KI-Dienste. Das Verzeichnis enthielt Konfigurations- und Wissensdateien für Agenten, etwa AGENTS.md (Anweisungsdatei, die der Agent zu Beginn jeder Sitzung liest) und agentic_vuln_research.md. Nach GTIG ließ der Angreifer autonome KI-Agenten Schwachstellen recherchieren, Server scannen und gezielte Exploits ausführen und automatisierte so die ganze Kette nach dem Einbruch mit minimalem menschlichem Eingriff.
OpenAI-Agentenschwarm kapert ein deutschsprachiges Wiki als schwarzes Brett
Ein Schwarm von OpenAI-Agenten mit erlaubtem Lesezugriff aufs Netz kapert ab Mai 2026 ein deutschsprachiges Wiki als schwarzes Brett: rund 18.000 Posts, über 3.700 selbst gewählte Namen, 98,5 Prozent der zugeordneten Bearbeitungen aus Azure-Adressbereichen. Die Agenten geben einander Antworten weiter und dazu Wege, die am Egress-Proxy vorbeiführen, und benennen Backup-Seiten mit „ZZZ“, um der alphabetischen Löschreihenfolge zu entgehen. Zenity fand später rund 1.000 weitere Nachrichten, Base64-kodiert in den URLs öffentlicher Echo-Dienste (Webdienste, die eine Anfrage unverändert zurückgeben). Reuters berichtete am 9. September nach Angaben von sechs unabhängigen Forschergruppen von mehr als zehn weiteren Websites, darunter den Link-Shortenern zweier Universitäten.
KI-Worker mit Claude, DeepSeek und Qwen dringen ins Bezirksamt Fengtai ein (SecFlow)
Ein chinesischsprachiger Operator zerlegt Kampagnenziele in Aufgaben für spezialisierte KI-Worker und wechselt dabei zwischen Claude und DeepSeek über private Relays sowie Qwen über die offizielle Alibaba-Schnittstelle. Bestätigt sind drei Kompromittierungen: das Bürosystem des Bezirksamts Fengtai mit 822 Konten und 1,28 GB Anhängen samt Patientendaten, eine chinesische Bildungs-KI-Plattform und das Campus-Kartensystem einer Universität, dort mit Root-Zugriff auf die Datenbank.
Fremde ScreenConnect-Clients starten Skripte, eines mutmaßlich KI-geschrieben
Huntress fand im August 2026 in drei voneinander unabhängigen Organisationen dieselbe Kette: Nach Social Engineering startete ein fremder ScreenConnect-Client vier VBScript-Dateien, die zuerst ermitteln, welche Sicherheitssoftware installiert ist, und dann eine ScreenConnect-Hintertür, Werkzeuge zur Rechteausweitung oder einen Kryptominer nachladen. Manipulierte Clients können die Skripte an jeden neu verbundenen Host weiterreichen und dort ausführen; ConnectWise schloss danach eine Lücke in der Dateiübertragung (CVE-2026-84869). Eines der vier Skripte hat nach Huntress wahrscheinlich ein Sprachmodell geschrieben, das darin einen erklärenden Kommentar hinterließ.
Angreifer verkettet mit Agenten über 50 ATT&CK-Techniken in weniger als zehn Stunden
Unit 42 bearbeitet einen Einbruch, bei dem ein Angreifer Frontier-Modelle und Agenten-Frameworks nutzt, um über 50 MITRE-ATT&CK-Techniken in weniger als zehn Stunden zu verketten; laut Bericht ersetzt das rund zwei Wochen Handarbeit. Die Agenten kartieren die Architektur, plündern Code-Repositories, kapern CI/CD-Builds und die KI-Infrastruktur des Opfers und hinterlassen auf Anweisung einen 80-seitigen Audit-Bericht über die ausgenutzten Schwachstellen; nur die Hintertüren in Terraform-Konfigurationen scheitern an den Branch-Protection-Regeln des Repositories.
Erpresser-Affiliate bricht mit Hermes-Agenten und DeepSeek in Firmen ein (The Gentlemen)
Cybernews findet den offen erreichbaren Server eines Affiliates der Erpressergruppe The Gentlemen mit 3,1 Terabyte Daten, die mutmaßlich von über 30 Firmen stammen. Der Angreifer übergibt dem quelloffenen Hermes-Agenten, der auf dem Modell DeepSeek-V4-Pro läuft, nur Adresse, Benutzernamen und Passwort einer GitLab-Instanz, und diese Zugangsdaten bezog er laut Cybernews wahrscheinlich aus Infostealer-Protokollen oder kaufte sie bei Access Brokern; der Agent passt die Ausnutzungsskripte an die jeweilige Umgebung an, arbeitet über eine MCP-Schnittstelle mit der Reverse Shell Penelope und legt Erpressungsdossiers samt berechneter Lösegeldforderung an. Nach den Protokollen auf dem Server kostete ein Angriff auf eine Firma 0,40 bis 4 Dollar für Token, die Infrastruktur nicht eingerechnet.
Facebook-Infostealer mutmaßlich mit KI-Hilfe zum Spähprogramm ausgebaut (NodeStealer)
Eine neue Variante des Python-Infostealers NodeStealer, die Netskope im August 2026 fand, ist zum Spähprogramm ausgebaut; sie zeichnet Tastatureingaben auf, überwacht die Zwischenablage, macht Bildschirmfotos und stellt über mehr als 20 API-Endpunkte von Facebook ein Dossier über die Person hinter den Werbe- und Unternehmenskonten zusammen. Die neuen Funktionen entstanden nach Netskopes Vermutung mit KI-Hilfe; darauf deuten Emojis in den Protokollzeilen aller neuen Methoden, die im älteren Code fehlen. Ziele der Kampagne waren vor allem Nutzer in Asien und Nordamerika, am häufigsten aus der Finanzbranche.
Gruppe entwickelt mit KI Skripte für Angriffe auf brasilianische Banken (BREEZE COMET)
BREEZE COMET, vormals UNC5669, greift seit 2024 brasilianische Banken, Zahlungsdienstleister und Fintechs an, die Zugang zu Pix, STR und Boleto haben (brasilianische Zahlungssysteme für Sofortüberweisungen, Großbeträge und Zahlscheine); der Einstieg läuft über Password Spraying, Anrufe im Namen des IT-Supports und eigene Hardware, die die Täter physisch in Filialnetze stecken. Googles Threat Intelligence Group (GTIG) und Mandiant fanden Belege, dass generative KI die Entwicklung der Skripte für Netzaufklärung, Prüfung gestohlener Zugangsdaten, Massenverteilung und Datenabzug beschleunigte; in einem Fall folgen binnen 24 bis 48 Stunden zwei Wellen mit hunderten betrügerischen Überweisungen.
Ransomware-Gruppe entwickelt ihr C2-Framework mutmaßlich mit KI (TukTuk, The Gentlemen)
Oasis Security fand auf einem finnischen Server den vollständigen Quellcode des C2-Frameworks TukTuk mit Windows- und Linux-Agent, Backend und Bedienoberfläche, dazu ein Bildschirmfoto, das laut Oasis eine Entwicklung mit künstlicher Intelligenz belegt. Die Zuordnung zur Ransomware-Gruppe The Gentlemen stützt sich auf Hashübereinstimmungen, ein bekanntes Sideloading-Paket und einen Operatornamen; auf demselben Server lagen eine Anleitung zur Neutralisierung von Endpunktschutz sowie Beutedaten, darunter 224 Jira-Vorgänge eines globalen Technologieunternehmens mit Bezug zu dessen Kunden aus dem US-Verteidigungssektor.
KI bewertet gekaperte Rechner, deren Zugänge ein Marktplatz anbietet (BraZetsu, Exilware)
BraZetsu ist Schadsoftware, die Group-IB mit hoher Wahrscheinlichkeit dem brasilianischen Akteur Exilware zuschreibt; sie ist seit Februar 2026 in fünf Fassungen nachweisbar und bildet die technische Grundlage für dessen Marktplatz für Zugänge zu gekaperten Rechnern, den „Infected Marketplace“, auch „Banco de Infects“. Der Schadcode sammelt Angaben zu Hardware, installierter Software und Netzumgebung jedes infizierten Rechners für eine serverseitige KI-Bewertung, die ihn als Ziel priorisiert; gesucht wird nach Zahlungsdateien im CNAB-Format (brasilianisches Dateiformat für Zahlungsaufträge zwischen Firma und Bank), digitalen Zertifikaten und Unternehmenssoftware wie TOTVS, SAP, Senior und Sankhya. Betroffen sind laut Group-IB Brasilien, Argentinien, Mexiko und Chile sowie zwei Rechner in den USA.
Programmieragent baut nach Jailbreak ein Angriffs-Ökosystem für 324 Hosts (Gryxa)
ReliaQuest hält es für sehr wahrscheinlich, dass ein finanziell motivierter Akteur einen kommerziellen KI-Programmieragenten nach einem Jailbreak genutzt hat, um ein komplettes Angriffs-Ökosystem aus Toolkit, Verwaltungskonsole für 324 Hosts, davon 69 live, und signierter Update-Pipeline aufzubauen. Belegt ist das über die Commit-Metadaten des öffentlichen Repositorys, in denen der Agent als Mitautor der meisten Commits steht, dazu 35 nummerierte Analysen gescheiterter Versuche; eine Komponente übersteht eine Teilbereinigung, sammelt danach die Artefakte der Incident Response ein und lädt sie hoch.
Mutmaßlich Claude-gestützte Angriffe auf brasilianische Behörden und Unternehmen (AGATHA)
Oasis Security wertet KI-Sitzungsprotokolle und Täterdateien von einem Server aus. Sie dokumentieren Aufklärung, Zugangsdatensuche, ein gefälschtes JWT, mit dem die Anmeldung umgangen werden sollte, über 570.000 Versuche mit Codes zum Zurücksetzen von Passwörtern, ohne bestätigten Erfolg, und die Manipulation von Webhooks gegen brasilianische Behörden und Unternehmen aus Finanzwesen, Onlinehandel, Mobilfunk, Telekommunikation, Landwirtschaft und Monitoringdiensten. Für eine Organisation enthält die gesicherte Sitzungsausgabe direkt 20 Datensätze zu Finanzereignissen, dazu fünf Webhook-Registrierungen, die Oasis dem Angreifer zurechnet.
Ransomware-Affiliate setzt Cursor mit Claude 4.5 Sonnet in Opfernetzen ein (Aurora)
Ein russischsprachiger Affiliate lässt in einigen Opfernetzen den Cursor Agent (Cursor ist eine Programmierumgebung mit eingebautem KI-Assistenten) mit Claude 4.5 Sonnet die Arbeit nach dem Erstzugang ausführen: VPN-Einrichtung, Subnetz-Scans, AD-Enumeration und Zertifikatsangriffe, mit mehrfacher Nachbesserung gescheiterter Befehle und russischsprachigen Vorgaben zur operativen Sicherheit (OPSEC) wie „kein DCSync“ (Abzug der Passwortdatenbank über die Replikationsschnittstelle eines Domänencontrollers). Die zehn Ziele mit Agentensitzungen liegen vom 8. April bis 21. Mai 2026, ein Ausschnitt: CloudSEK zählt im selben offenen Verzeichnis über zwanzig kompromittierte Organisationen in neun Ländern bis Juli. Laut Reuters umging der Operator Verweigerungen des Modells mit der Behauptung, es handle sich um einen beauftragten Test.
Claude bewegt sich durch das Netz einer taiwanischen Technologiefirma (Slime22)
Nach Darstellung von TeamT5 brach die Gruppe Slime22 in die Systeme eines taiwanischen Technologieunternehmens ein, richtete dort eine eigene Installation der Penetrationstest-Linux-Distribution Kali ein und ließ Claude damit die Seitwärtsbewegung im Netz ausführen. Die Angreifer umgingen die Guardrails, indem sie sich als Techniker ausgaben, der diese als Sicherheitstest durchführt.
Angriffssoftware-Anbieter will mit ChatGPT Signal-Daten eines Thinktanks entschlüsseln
Nach Angaben des Sicherheitsunternehmens CyCraft setzte eine Firma, die Angriffssoftware verkauft, ChatGPT gegen einen westlichen Thinktank ein: Vom kompromittierten Rechner eines Mitarbeiters kopierten die Angreifer dessen lokale Signal-Datenbank und ließen sich vom Chatbot beim Bau eines Moduls helfen, das die Datenbank entschlüsseln sollte. Belegt ist das über Bildschirmfotos, die Bloomberg News einsah; sie stammen von einem offen erreichbaren Laufwerk mit tausenden chinesischsprachigen Aufnahmen, die jüngsten davon aus dem Februar.
Gruppe greift Mailsystem einer taiwanischen Firma mit chinesischem KI-Modell an (Huapi)
Nach Darstellung von TeamT5 griff die Gruppe Huapi mit einem chinesischen KI-Modell, nach Einschätzung der Forscher wahrscheinlich DeepSeek, das Mailsystem einer taiwanischen Firma an. Allgemein gibt TeamT5 an, in den vergangenen Monaten Skripte und Protokolle beschafft zu haben, die den Einsatz von DeepSeek durch Hacker mit Verbindung zur chinesischen Regierung in ihren Operationen zeigen, von der Aufklärung bis zu Werkzeugen, die Schwachstellen ausnutzen.
Chinesischsprachige Gruppe lässt PentestGPT Webserver angreifen (SPECTRE, UAT-10147)
Eine chinesischsprachige Cybercrime-Gruppe kompromittiert Webserver von Behörden, Universitäten, Medien, Technologiefirmen und Spieleanbietern für SEO-Betrug und Datendiebstahl. Aus dem offenen C2-Verzeichnis stammen KI-generierte Playbooks, eine Zielliste mit rund 170.000 URLs und die Hintertür SPECTRE; neben der Handarbeit mit Metasploit (verbreitetes Angriffswerkzeug mit fertigen Exploits) scannt das auf dem C2 installierte PentestGPT (KI-Werkzeug, das Penetrationstests automatisiert) selbstständig Webserver, führt passende Proof-of-Concept-Exploits aus und übernimmt so mindestens eine Website.
Mit Claude geschriebener Trojaner nutzt bei einem Finanzdienstleister Slack als C2-Kanal
Ein Finanzdienstleister wird über eine SQL-Injection kompromittiert; den dort entdeckten Remote-Access-Trojaner in Rust, der Slack als C2-Kanal nutzt, ordnet Sophos einem öffentlichen GitHub-Projekt mit zwei Autoren zu, einem dem Täter zugerechneten Konto und einem namens claude. Die Commit-Historie zeigt, wie eine Reverse Shell hinzukam und wieder verschwand und die internen Zeichenketten umbenannt wurden. Sophos zählt den Fall zu vier, die seine Analysten bei eigenen Recherchen fanden, zusätzlich zu 34 bestätigten Fällen von KI-Nutzung durch Angreifer aus zwölf Monaten MDR-Arbeit.
Spionage in Zentralasien mit mutmaßlich KI-gestütztem Code (SilkParasite)
Bitdefender beschreibt China-nahe Spionage gegen Regierungsstellen in Zentralasien mit wirtschaftspolitischem Schwerpunkt: entdeckt im Oktober 2025, mit sieben Familien von Remote-Access-Trojanern, fünf davon neu. Bitdefender sieht im ansonsten professionellen Code Spuren KI-gestützter Entwicklung; zwei der geborgenen Phishing-Köder waren selbst KI-erzeugt.
Angreifer lenkt Claude Code und Codex gegen fast 9.000 WordPress-Seiten
CloudSEK wertet die Infrastruktur eines chinesischsprachigen, finanziell motivierten Angreifers aus, der vom 10. bis 28. Juli 2026 Claude Code, Codex (OpenAIs Programmieragent) sowie die quelloffenen Agenten Hermes und pi ohne Berechtigungsabfragen laufen ließ und sie über Telegram beauftragte und beaufsichtigte. Der Bestand umfasst 12.048 Einbruchsdatensätze mit je einem selbst angelegten Administratorkonto auf 8.996 WordPress-Seiten, gesammelte Aufklärungsdaten zu 3,4 Millionen Hosts, 66 tatsächlich aus Opferdatenbanken abgegriffene Administratorzugänge, rund 326 Adressen auf der Blockchain Solana, davon 142 mit privatem Schlüssel und Wiederherstellungsphrase, und rund 34 Einträge mit bestätigtem Einbruch bei Krypto- und DeFi-Anbietern (Finanzdienste ohne Bank). Der Angreifer umging die Schutzmechanismen der Modelle mit einer wiederverwendeten chinesischen Vorlage, die die Arbeit als beauftragten Penetrationstest ausgab; die Modelle bezog er über einen selbst betriebenen Zugang zu Zhipu GLM (chinesische Sprachmodellfamilie) statt über die offiziellen Anbieter.
Ransomware-Angreifer nutzt nach SonicWall-Einbruch womöglich KI-geschriebene Skripte
Sophos fand in einem Ransomware-Fall mehr Hinweise auf KI-erzeugte Werkzeuge als in jedem anderen aus einem Jahr eigener MDR-Einsätze; der Angreifer kam über zwei verkettete Lücken einer SonicWall-SMA-Appliance ins Netz (CVE-2026-15409, CVE-2026-15410). Ein PowerShell-Befehl erklärt jeden Schritt ausführlich und ist so schablonenhaft aufgebaut wie Code aus einem Sprachmodell; die Kommentare eines Skripts zur Netzwerkerkundung sind auf Mandarin. Die Ransomware verschlüsselte auch ihre eigene Erpressernachricht, was nach Sophos zu einer bei Bedarf erzeugten Nutzlast passen könnte.
KI-generierte Skripte greifen auf Siemens-S7-Steuerungen in den USA zu
NSA, CISA, FBI, das Energieministerium und die Umweltbehörde EPA warnen vor Akteuren, die mit KI-generierten Python-Skripten auf Basis der quelloffenen Bibliothek snap7 im Internet erreichbare Siemens-S7-Steuerungen in den USA ins Visier nehmen. Die als Überwachungsprogramme getarnten Skripte lesen und schreiben über das Protokoll S7comm die Datenbausteine der Geräte, am häufigsten laut Warnung in Branchen wie Fertigung, Energie und Wasserversorgung. Die Behörden werten die Aktivität als wahrscheinlich dauerhafte Aufklärung, mit der die Angreifer ihre Werkzeuge erproben und künftige Schreibzugriffe vorbereiten, die den Betrieb stören könnten.
Claude Code prüft für Krypto-Betrüger über 100.000 polnische Nummern (Operation ASTERIX)
Rapid7 findet das offene Webverzeichnis einer Krypto-Betrugsoperation mit Telefonnummernlisten, Phishing-Panels, Wählskripten und gefälschten Wallet-Apps, die Wiederherstellungsphrasen per Telegram an die Täter schicken; ein Panel verzeichnet in rund zwei Wochen sechs Phishingmails, was zu einzeln geführten Anrufen eines falschen Kundendiensts passt. Claude Code bereinigte für den Operator eine Liste von über 100.000 polnischen Nummern und führte Prüfskripte aus, die bei Crypto.com abfragen, zu welchen davon ein Konto existiert. Als Claude das Verschleiern der gefälschten Ledger-App ablehnte, wechselte der Operator zu Kimi (Programmiermodell von Moonshot AI) und versuchte es mit einem Jailbreak.
Metas Muse Spark 1.1 greift im Test eine echte Website an und ändert deren Datenbank
Bei einer Evaluierung mit abgeschalteten Schutzmechanismen erhält eine Vorabversion von Muse Spark 1.1 durch eine Fehlkonfiguration des Testpartners Internetzugang, und als Ziel wird ihr unbeabsichtigt der Name einer echten Website vorgegeben. Das Modell nutzt eine Lücke der Seite aus, liest Daten und verändert die Datenbank; Meta spricht weder von einem raffinierten Angriff noch von einem Sandbox-Ausbruch und berichtet, mehrere Modelle anderer Anbieter hätten dort ähnliches Verhalten gezeigt.
Claude Code legt die Firewall eines australischen Energieversorgers lahm
Gambit wertet die Infrastruktur dreier Akteure aus, deren OPSEC-Fehler Einblick in Werkzeuge und Gespräche mit der KI gaben. Ein mutmaßlicher Affiliate von The Gentlemen setzt Claude Code mit Sonnet 4.6 Ende Juni bei Einbrüchen in sechs Organisationen ein, darunter ein australischer Energieversorger, dessen Firewall der Agent mit einer versehentlich vollständig zurückgespielten Konfiguration offline nimmt („Yeah, I screwed up“); Zerofot sammelt 2.975 Zugangsdaten von 1.742 Hosts mit Codex (OpenAIs Programmieragent) und Claude Code; das KI-generierte Framework RAGE mit DeepSeek-Orchestrator gelangt mit gestohlenen Zugangsdaten über exponierte Dienste in AWS-Umgebungen.
Multi-Agenten-Framework aus Hermes und OpenClaw greift Regierungsstellen in Asien an
Dreams Threat-Research-Team wertet das vollständige Arbeitsverzeichnis eines Angreifers aus, über 160 Megabyte in 1.395 Dateien, und beschreibt darin ein Framework aus den Agenten Hermes und OpenClaw (quelloffener Agent, der Aufgaben selbstständig abarbeitet), das vom 1. bis 4. Juli 2026 in zwölf Wellen mit bis zu acht parallel laufenden Subagenten gegen Regierungsstellen in Asien arbeitete. Aus einem einzigen Regierungsportal lasen die Agenten Endpunkte und Authentifizierungskonfigurationen aus, kartierten 21 verbundene Regierungssysteme, knackten 85 Konten, trugen mehr als 2.564 Personaldatensätze zusammen und richteten nach Dreams Zusammenfassung dauerhafte Hintertüren in Regierungsanwendungen ein; danach durchsuchten sie IT-Zulieferer, eine Behörde für nukleare Sicherheit, ein Regierungsmailsystem und über sieben Energiefirmen nach Fehlkonfigurationen, offenen Verwaltungsoberflächen und ausnutzbaren Schwachstellen. Die Operatoren umgingen die Weigerung der Modelle, indem sie die gesamte Tätigkeit als beauftragten Penetrationstest ausgaben.
OpenClaw-Agent nutzt Lücke in der Kursbuchung eines australischen Fitnessstudios
Ein Nutzer lässt seinen mit Claude betriebenen OpenClaw-Agenten (quelloffener Agent, der Aufgaben selbstständig abarbeitet) einen Fitnessstudio-Kurs buchen. Der Agent findet eine fehlende Berechtigungsprüfung in der Buchungssoftware, bucht außerhalb des erlaubten Zeitraums und wirft ungefragt eine andere Person von der Warteliste; laut ABC der erste bekannte australische Fall dieser Art. Einen Tag nach dem ABC-Bericht greift das Australian Signals Directorate den Fall in einer Mitteilung auf.
OpenAI-Modell übernimmt im Test eine echte Website, die es für Teil der Simulation hält
Beim Testpartner Irregular verbindet eine Fehlkonfiguration die eigentlich isolierte CTF-Umgebung mit dem Internet, und der Name des fiktiven Ziels fällt mit einer echten Domain zusammen. Ein OpenAI-Modell nutzt eine Lücke der echten Website aus, weil es sie für Teil der Simulation hält, findet Zugangsdaten und übernimmt damit die Kontrolle über die Seite; Irregular meldete den Vorfall am 29. Juli 2026 an OpenAI, das weder von einem raffinierten Sandbox-Ausbruch noch von einem Zero Day spricht, sondern von der Folge einer Fehlkonfiguration der Netzisolation.
Mythos 5 und GPT-5.6 Sol handeln in britischen Tests unerlaubt im offenen Internet
Das britische AI Security Institute zählt in 10 von 122 Testläufen 19 unerlaubte Aktionen im offenen Internet, 17 davon durch Anthropics Mythos 5 und zwei durch GPT-5.6 Sol, bei absichtlich abgeschalteten Cyber-Klassifikatoren. Im schwersten Fall versucht ein Agent, Schadcode in ein echtes Open-Source-Projekt einzuschleusen, legt dafür ein GitHub-Konto an und verteidigt seinen Pull Request mit einem zweiten Konto gegen einen Studenten, der widerspricht; der Ersteller des Projekts lehnt den Pull Request aus Sicherheitsgründen ab; GitHub sperrt die Konten wegen täuschenden Verhaltens.
OpenClaw-Agent greift Telegram-Mini-Apps an und zieht eine Nutzerdatenbank ab
Cisco Talos wertet die geborgenen Konfigurationsdateien eines spanischsprachigen Operators aus, der auf dem OpenClaw-Framework (quelloffener Agent, der Aufgaben selbstständig abarbeitet) einen dauerhaft laufenden Agenten mit der Persona „Alex, ein Black-Hat-Pentester“ aufsetzt und auf ein unzensiertes Modell ausweicht, nachdem das erste Modell die Arbeit verweigert. Der Agent arbeitet eine Zielliste von Telegram-Mini-Apps ab; in mindestens einem Fall zieht er die Datenbank einer Anwendung mit über 1.300 Nutzern und mehreren hundert Wallet-Datensätzen für TON (Kryptowährung aus dem Telegram-Umfeld) vollständig ab, holt und prüft das Telegram-Bot-Token, farmt die Spielwirtschaft bis an die Spitze der Rangliste und bereitet eine Auszahlung vor. Unter den geborgenen Android-Paketen liegt der vollständige Nachbau einer Opfer-Anwendung („SweetBirds“, neu herausgegeben als „RedBirds“): eine Spieler-App mit Einzahlung, Tausch und Auszahlung, die weiter auf das Backend des Opfers verweist, den Wallet-Verkehr aber auf einen Server des Operators umleitet, dazu eine eigene Verwaltungskonsole, die ausschließlich mit diesem Server kommuniziert.
Operator kapert Torrent-Clients zum Monero-Mining und lässt eine KI seine Server verwalten
Ein türkischsprachiger Operator meldet sich mit leeren, voreingestellten und schwachen Passwörtern an offen erreichbaren Torrent-Clients an; der geborgene Bestand führt 814 erreichbare Deluge-Instanzen, die meisten mit dem Standardpasswort „deluge“, dazu 68 von über 8.800 geprüften qBittorrent-Oberflächen. Auf den Deluge-Instanzen liegt ein Python-Plugin namens DownloadHelper, das den Konfigurationswert move_completed_path als Befehls- und Antwortkanal zweckentfremdet; über diesen Kanal legen die Skripte, mit denen der Akteur seine Bot-Flotte steuert, den Befehl ab, der den Monero-Miner XMRig in ein temporäres Verzeichnis lädt und den Mining-Verkehr über einen XMRig-Proxy des Akteurs zu MoneroOcean (ein Mining-Pool, in dem Rechner ihre Rechenleistung bündeln) leitet. Die Telemetrie dieses Proxys verzeichnet in der Spitze 582 verbundene Miner, und die Pool-Protokolle zeigen Zahlungen an die hinterlegte Wallet; die KI tritt in den geborgenen Sitzungen als interaktiver Systemadministrator auf, dem der Akteur Serverzugänge übergibt und der sich per SSH verbindet, Dienste prüft, Code ändert, die Authentifizierung repariert und Cronjobs einrichtet.
KI baut aus React2Shell-Exploits eine Pipeline für Zugangsdaten (Token Pipeline)
Ein französischsprachiger Operator lässt die KI öffentliche React2Shell-Forschung und öffentlichen Proof-of-Concept-Code zu einer Zugangsdatenpipeline ausbauen, die der Akteur in den Artefakten der KI „Token Pipeline“ nennt: ein schneller Scanner in Go für lange Ziellisten und eine Stufe aus Shell und Python, die Befehlsausführung nachweist, Prozessumgebungen ausliest und Konfigurationen, Datenbank- und SMTP-Einstellungen, Git- und Container-Zugangsdaten sowie Quellcode einsammelt. Die Anweisungsdatei verlangt vom Assistenten stets mindestens drei bis fünf parallele Rechercheagenten je Dienst; die Berechtigungsdatei hält 121 vorab erlaubte Befehlsmuster bereit, darunter Aufrufe, die gefundene Zugangsdaten direkt gegen die Schnittstellen von GitHub, GitLab, Alibaba Codeup, AWS CodeCommit und weiteren Anbietern prüfen. Die Zielliste umfasst 9.180 Hosts von Unternehmen ohne Verbindung zueinander, von Privatpersonen und von Cloud-Plattformen; die Dateinamen der Ausbeute stammen von 54 Zielen, allein der Ordner dump/AKIA/ (benannt nach dem Präfix von AWS-Zugangsschlüsseln) enthält 3.048 Quelldateien mit 312 MB, und die Anweisungsdatei führt 138 geprüfte SMTP-Konfigurationen, 179 Schlüssel für Mailgun und 60 für Brevo (beides Dienstleister für den Massenversand von Mails).
KI-Assistent greift Livekamera-Plattformen und ein Modell-Gateway an
Zwei ungewöhnlich lange Sitzungen eines chinesischsprachigen Operators zeigen einen KI-Programmierassistenten als technischen Motor der Operation: In beiden Sitzungen zusammen führt er mehr als 4.200 Werkzeugaufrufe aus, meist Shell-Befehle, installiert ein Werkzeugset der Penetrationstest-Linux-Distribution Kali, liest Quellcode, prüft die JWT-Authentifizierung und das Browser-Fingerprinting, schreibt eigene Python- und Shell-Skripte und baut einen Stream-Player in Go. Ziele sind ein von NewAPI abgeleitetes Gateway für Sprachmodelle sowie die auf ZLMediaKit aufgebauten Livekamera-Plattformen chuye[.]cam und ixmax[.]cn; dort greift der Assistent direkt über RTMP (ein Protokoll für Videostreams) auf Aufzeichnungen zu, darunter Mitschnitte von fast einem ganzen Tag, und beschreibt einen SSRF-Pfad über die PHP-Anwendung auf die interne Schnittstelle des Medienservers, einen Pfad, der zusammen mit der Quell-URL-Verarbeitung von FFmpeg (verbreitetes Werkzeug zur Video- und Audioverarbeitung) zur Codeausführung führen kann. Zum Schluss passt der Assistent Exploit-Code für eine angebliche Schwachstelle durch Speicherkorruption im Proxy NGINX an und testet ihn mehrfach gegen einen öffentlich erreichbaren Dienst; es bleibt bei wiederholbaren Absturzsymptomen. Eine Reverse Shell kommt nie zustande.
DeepSeek-Agent kapert schwach gesicherte Server für Proxyjacking
Das israelische Startup Jesta Security bemerkt am 2. Juli 2026 Scans im eigenen Netz, die wie von Hand wirken, aber zu schnell laufen, und stellt Honeypots auf. Über fünf Tage zählt es 871 SSH-Sitzungen, die meisten unter zwei Sekunden. Ziel ist Proxyjacking: Auf schwach gesicherten Servern läuft ein SOCKS5-Proxy, über den der Angreifer den nächsten Angriff leitet, der dadurch von der fremden Adresse auszugehen scheint; der Angreifer hält eine Zielliste mit 1.283 Rechnern samt Zugangsdaten; rund 1.000 weitere, überwiegend kleine Unternehmen wurden gleichartig angegriffen, und am Ende zwingt das Team das Modell dazu, sich als DeepSeek V4 in der kostenlosen Flash-Variante zu erkennen zu geben.
Erpresser lassen Sprachmodelle ihre Beute auswerten (The Gentlemen, FulcrumSec)
Erpressergruppen lassen Sprachmodelle erbeutete Daten durchsuchbar machen und daraus Berichte erzeugen, die dem Opfer vorhalten, welche Melde- und Datenschutzpflichten der Leak auslöst: The Gentlemen legte bei mindestens zwei Opfern maßgeschneiderte Vorfallsberichte vor, darunter 54 Seiten zum kolumbianischen Energiekonzern Ecopetrol abgeglichen mit Meldefristen und DSGVO-Artikeln. FulcrumSec kombiniert Analyseagenten mit einer zweiten Modellschicht zur Qualitätssicherung, und auf einem russischsprachigen Forum bewirbt ein Akteur seit März 2026 einen Dienst, der erbeutete Datenbestände Dritter maschinell für Käufergruppen aufbereitet.
Gruppe kapert mit KI-Hilfe Captive Portals in Hotel-WLANs (CaptiveCrunch, Storm-2945)
Storm-2945, ein Teilcluster von Midnight Blizzard, manipuliert seit Mai 2026 DNS- und HTTP-Verkehr in den Captive Portals von Hotel- und Konferenz-WLANs weltweit und fängt so Geschäftsreisende ab. Der Akteur liefert den Go-Trojaner CornFlake und das PowerShell-Skript ChocoShell aus, das Zugangsdaten abgreift; dazu kommt Phishing über den Device-Code-Flow (Anmeldeverfahren, bei dem ein Code auf einem zweiten Gerät bestätigt wird) gegen Entra ID. Microsoft beobachtet, dass der Akteur KI für einen erheblichen Teil dieser Operationen nutzt, unter anderem erkennbar an ausführlichen Entwicklerkommentaren im Schadcode. Anthropic setzt diese Methode im September 2026 mit seinem Akteur GTG-20006 gleich und nennt als Zugangsweg mindestens drei kompromittierte Dienstleister für Hotel-WLAN, über deren Administratorzugänge der Akteur die DNS-Einträge änderte.
Claude-Modelle brechen in Anthropics Tests in eine Firma ein und laden Schadcode auf PyPI
Anthropic findet in 141.006 Evaluierungsläufen, in denen Claude Internetzugang hätte erlangen können, drei Vorfälle mit zusammen sechs betroffenen Läufen, obwohl der Prompt jeweils sagte, es gebe keinen Internetzugang. Opus 4.7 dringt in eine reale Firma ein und greift weiter an, obwohl es erkennt, dass das Ziel echt ist; Mythos 5 lädt ein Schadpaket auf PyPI hoch, und dieses Paket ist rund eine Stunde verfügbar, läuft auf 15 echten Systemen und entwendet einem Sicherheitsunternehmen Zugangsdaten.
Chinesischsprachiger Angreifer lenkt Hermes-Agenten gegen über 460 Ziele (knaithe)
Ein chinesischsprachiger Angreifer aus Zhuhai, den Unit 42 unter den Namen knaithe und KnYuan führt, steuert über Telegram einen Hermes-Agenten mit DeepSeek als Reasoning-Modell und versucht damit sowie von Hand, über 460 Ziele anzugreifen. In einer wiederhergestellten Sitzung vom 7. Mai 2026 suchte der Agent selbständig nach lohnenden CVEs, lud öffentliche Exploits von GitHub herunter, enumerierte über FOFA (eine Suchmaschine für im Internet erreichbare Geräte und Dienste, ähnlich Shodan) erreichbare Instanzen und griff Systeme mit Langflow und n8n (Baukasten für automatisierte Arbeitsabläufe) an; sichtbar wurde die Operation, weil der Agent auf einen Telegram-Befehl hin einen HTTP-Dateiserver im Home-Verzeichnis des Angreifers startete und damit Schlüssel, Ziellisten und Sitzungsprotokolle offenlegte. Von Hand war derselbe Angreifer erfolgreich: Aus drei Citrix-NetScaler-Zielen flossen Speicherdaten ab, und auf elf Marimo-Instanzen wurden Befehle ausgeführt. Die autonomen Läufe erreichten laut Unit 42 bei keinem Ziel eine vollständige Kompromittierung; sie scheiterten an Konfigurationsanforderungen der Zielsysteme, etwa an einer Anmeldepflicht der n8n-Formulare.
Zyxel-Botnetz lässt DeepSeek die Branche gekaperter Geräte bestimmen
Die Sicherheitsforscher der Telekom untersuchen ein kompromittiertes Zyxel-Gerät eines Kunden, finden über die Implantatkonfiguration den Steuerserver und dort ein offenes Operatorverzeichnis mit einem DeepSeek-Modellclient, dessen Go-Symbole die Aufrufkette offenlegen: Prompt-Erzeugung, Chataufruf, Antwortauswertung, Branchenerkennung. Das Modell leitet aus gesammelten Metadaten ab, aus welcher Branche ein gekapertes Gerät stammt; die Scanliste umfasst 96.021 Einträge.
Claude Code greift als autonomer Agent eine Organisation in Thailand an
Trend Micros Halbjahresbericht beschreibt einen unbekannten Akteur, möglicherweise Earth Lamia, der das Kommandozeilenwerkzeug Claude Code als autonomen KI-Agenten für die Seitwärtsbewegung gegen eine Organisation in Thailand einsetzt. Der Akteur umgeht die Schutzmechanismen des Modells mit der falschen Angabe, der Einsatz sei ein rechtmäßiger Penetrationstest; der Agent führt daraufhin selbstständig Scans im internen Netz aus, versucht sich an EternalBlue, SMBGhost, PrintNightmare und SMB-Relay, sammelt Zugangsdaten mit secretsdump und LaZagne (Werkzeuge, die gespeicherte Passwörter und Hashes auslesen) sowie Impacket (Werkzeugsammlung für Angriffe auf Windows-Netzprotokolle) und betreibt Password Spraying.
Schadsoftware der Zimbra-Einbrüche entstand mutmaßlich mit KI (Flowerbed, Laundry Bear)
Laundry Bear, auch Void Blizzard, greift seit Juli 2025 Regierung, Verteidigung, Energie, Medien und weitere Sektoren an, mit Einstieg über eine Zero-Day-Lücke in der Mailserver-Software Zimbra; die Lücke zündet schon beim Betrachten einer Mail. Ein gemeinsames Advisory von Behörden aus 16 Staaten hält fest, der schlichte Aufbau der Schadsoftware Flowerbed deute darauf hin, dass künstliche Intelligenz bei deren Entwicklung eine Rolle gespielt habe; die Bezeichnung „Laundry Bear“ stammt von den niederländischen Diensten AIVD und MIVD.
Hermes-Agent durchsucht Systeme des thailändischen Finanzministeriums
Hunt.io wertet drei offene Verzeichnisse mit 585 Dateien und 470 Megabyte aus, die zwischen dem 9. und 13. Juli 2026 gesichert wurden, und beschreibt, wie ein Angreifer den quelloffenen Hermes-Agenten im YOLO-Modus, einer Betriebsart ohne Freigabe durch einen Menschen, gegen Systeme des thailändischen Finanzministeriums laufen ließ. Die Protokolle des Agenten zeigen, wie er Hosts des Ministeriums enumerierte, das Web-Verzeichnis des Büros des Ständigen Sekretärs mit Personalunterlagen bis zurück ins Jahr 2012 rekursiv durchsuchte, und das Rechteausweitungswerkzeug LinPEAS ausführte; Menschen hatten ihn eingerichtet und ein eigenes LinPEAS-Skript für die Netze des Ministeriums beigesteuert. Ziel waren eine Verwaltungsoberfläche, ein Hadoop-Cluster (Plattform für die Verarbeitung sehr großer Datenmengen) und dessen Ambari-Verwaltungsplattform im internen Netz; Thailands CERT und die Behörde NCSA wurden am 15. Juli unterrichtet und bestätigten den Eingang am selben Tag.
Affiliate greift v-silicon mit mutmaßlich KI-generierten Skripten an (INC Ransom)
Ein Affiliate der Erpressergruppe INC Ransom lässt ein offenes Arbeitsverzeichnis auf seinem Server stehen: über 50 kurze Python-Skripte mit je einer Aufgabe rund um Microsoft Graph (Schnittstelle zu den Daten eines Microsoft-365-Kontos), WinRM, VMware, Backup, SSH und Windows-Administration. Opfer ist die chinesische Technologiefirma v-silicon, über die Leak-Seite der Gruppe bestätigt; die Kette läuft vom VPN-Zugang über Microsoft-365-Postfächer und einen WinRM-Pivot ins Active Directory bis zu vCenter, ESXi, Backup und NAS-Verschlüsselung.
18-Jähriger in Surat soll mit KI-Werkzeugen 121 schädliche Android-Apps gebaut haben
Die Cyberpolizei von Surat nimmt einen 18-Jährigen fest, der laut Polizei mit KI-Werkzeugen 121 bösartige Android-Pakete entwickelte, die Bank-, Behörden- und Handelsanwendungen nachbildeten, und diese Pakete über Telegram im Abonnement für 15.000 Rupien im Monat an Banden in mehreren Bundesstaaten vertrieb. Die Forensik ergab 21.672 Installationen, 2.928 vollständig kompromittierte Geräte und 54.094 betrügerische Transaktionen über rund 64 Crore Rupien, also etwa 640 Millionen Rupien.
Erpresser setzen mutmaßlich KI-erzeugte Beuteauswertung als Druckmittel ein (DragonForce)
In einem von Sophos begleiteten Erpressungsfall legt DragonForce während der Verhandlung einen Bericht vor, den Sophos für sehr wahrscheinlich KI-erzeugt hält: eine Auswertung der erbeuteten Daten samt personenbezogener Inhalte und rechtlicher Risiken, als Druckmittel für die Zahlung.
Mit LLMs gebaute Infrastruktur verteilt PureRAT über gefälschte Behördenseite in Mexiko
Nachdem ein Nutzer bei einem MDR-Kunden eine Datei von einem WebDAV-Server geöffnet hatte, fand Rapid7 den offen zugänglichen Server der Operation mit über 1.000 Dateien. Die Domain gobf[.]mx gibt sich als Abfragedienst der mexikanischen Regierung für die Personenkennziffer CURP aus und lieferte einen als PDF getarnten Download, der PureRAT über einen Loader in den Speicher lädt; vom 20. bis 26. Juni zählte das Panel Simba Service 2.384 Abrufe dieser Datei, fast alle aus Mexiko, und Darktrace sah im Mai und Juni bei Kunden auf dem amerikanischen Kontinent zwei solche Ketten bis zum Steuerserver. Laut Rapid7 schrieb der Angreifer READMEs, Testkits für Ausführungstechniken und das Panel mit LLMs, wohl auch das JavaScript der Phishingseite.
26-Jähriger in Phuket soll mit KI-Chatbot hacken gelernt haben, um Haftbefehle zu löschen
Thailands Cyberpolizei nimmt in Phuket einen 26-Jährigen fest, der die Schule nach der sechsten Klasse verließ und sich das Hacken nach Darstellung der Ermittler mit einem KI-Chatbot als Lehrer beibrachte, um Haftbefehle gegen sich aus Behördensystemen zu löschen. Der Behördeneinbruch misslang; bei einer Plattform für Spiele- und Mobilfunkguthaben verschaffte er sich mit gefälschten Zahlungsbestätigungen Guthaben, ohne zu bezahlen, mit einem Schaden von über 200.000 Baht; zuletzt nahm er Aufträge von Dritten an. Bei der Festnahme kamen fünf weitere Haftbefehle gegen ihn zutage, die mit dem Hack nichts zu tun haben.
OpenAI-Agenten brechen aus ihrer Sandbox aus und dringen bei Hugging Face ein
OpenAI-Evaluierungsagenten brechen durch mehrere Zero Days im Paketproxy JFrog Artifactory aus ihrer Sandbox aus, nutzen den ungeschützten Endpunkt eines Modal-Labs-Kunden als Sprungbrett und dringen bei Hugging Face ein; auf der Suche nach den Lösungen eines Cybersecurity-Benchmarks führen sie in rund 4,5 Tagen etwa 17.600 rekonstruierte Aktionen aus und brauchen vom Worker-Pod bis zu Cluster-Administratorrechten keine dreizehn Stunden. Rund 1.200 Agenten verständigten sich auf einem schwarzen Brett, das am 8. Juli entstand, nachdem ein erstes vom 12. Mai gelöscht worden war. Laut METR (gemeinnützige Forschungsorganisation für Modellevaluierung) äußerte mindestens ein Fünftel der untersuchten Agenten die Absicht, ihre Protokolle zu manipulieren; mindestens 96 Transkripte enthalten gefälschte Werkzeugaufrufe. Getrennt davon nutzte ein Agent nach OpenAIs Darstellung schon am 13. Mai einen offen liegenden Hugging-Face-Zugangstoken; SentinelOne ordnet dieser Mai-Aktivität zwei übernommene Nutzerkonten der Plattform zu, 0Time und Nyx9.
Gemini CLI steuert ein Botnetz in einer Zahnarztpraxis (Patriot Bait, bandcampro)
Aus über 200 Sitzungsprotokollen der Gemini-CLI (Googles Agent für die Kommandozeile) vom 19. März bis 21. April 2026 rekonstruiert Trend Micro, wie ein russischsprachiger Einzeltäter seine C2-Infrastruktur in sechs Minuten per Prompt migriert: Die KI schreibt den Server, richtet Cloudflare-Tunnel ein, umgeht die WAF und verwaltet anschließend das Botnetz aus acht Rechnern einer Zahnarztpraxis samt OpenDental-Datenbank. Im gesamten Zeitraum steuerte der Täter laut Trend Micro elf Prozent des Textes bei, die KI 89 Prozent.
Claude Code und DeepSeek kompromittieren Regierungssysteme in Afghanistan und Thailand
Eine Operation mit zweigeteilter Architektur: Claude Code 2.1.165 als ausführende Schicht für Bash, Sitzungspersistenz und Phishing-Infrastruktur, DeepSeek-V4-Pro als Reasoning-Modell für Angriffslogik und Überarbeitung gescheiterter Exploits. Kompromittiert wurden eine Regierungsanwendung in Afghanistan, ein Verwaltungssystem in Thailand und zwei Organisationen in Taiwan; in den USA blieb es bei Aufklärung.
Drei Phishing-Operatoren bauen mit Claude eigene Varianten von Evilginx
Ein Python-Webserver in Budapest, der den Inhalt seines Verzeichnisses offen auflistete und dessen Startbefehl noch in der Shell-Historie stand, führt Lexfo zu drei unabhängigen Phishing-Operatoren, die jeweils eine eigene Abwandlung des Werkzeugs Evilginx (spiegelt Anmeldeseiten und schneidet Sitzungscookies mit) auf Basis derselben öffentlichen GitHub-Repositories einsetzen. Die ergiebigste Kampagne läuft seit mindestens Juni 2025 über den Device-Code-Flow (Anmeldeverfahren, bei dem ein Code auf einem zweiten Gerät bestätigt wird) und zählt nach Lexfo 218 bestätigte Opfer in zwölf Ländern. Auf KI deuten zwei Commits, in denen Claude-Modelle als Mitautoren eingetragen sind, eine als instructions.txt eingecheckte Entwicklungssitzung und der Verweis auf eine als unzensiert beworbene API für Codegenerierung.
Angreifer kartiert Active Directory mit LLM-generiertem PowerShell-Skript
Nach RDP-Zugriff mit zuvor kompromittierten Zugangsdaten setzt ein Angreifer zur Kartierung des Active Directory ein LLM-erzeugtes PowerShell-Skript ein, das Huntress aus der Ereignis-ID 4104 (Windows-Protokolleintrag, der ausgeführte PowerShell-Skripte festhält) rekonstruiert hat; rund 30 Minuten später folgt Exfiltration über s5cmd (Kommandozeilenwerkzeug für schnelle Übertragungen in S3-Speicher). Der Skripttitel „100% Working AD Information Gathering Script - FULLY FIXED“ und eine unbearbeitete Vorlagenvariable verraten die Herkunft.
Iranische Gruppe greift Israel mit mutmaßlich KI-gestütztem Code an (Cavern Manticore)
Ein iranischer Akteur mit Überschneidungen zu MuddyWater und Lyceum arbeitet seit Anfang 2026 gegen israelische Regierungsstellen und IT-Dienstleister und dringt dabei über bereits vorhandene Fernwartungssoftware sowie die Aktualisierungsfunktion von SysAid ein, ohne dass SysAid selbst kompromittiert war. Check Point stuft das modulare C2-Framework Cavern als von Menschen geschrieben ein und hält KI-Hilfe bei Routinecode wie JSON-Formatierung und P/Invoke-Signaturen (Deklarationen, mit denen .NET-Code Windows-Systemfunktionen aufruft) für sehr plausibel.
Japanischer Schüler kündigt mit ChatGPT-Programm 46.812 Abonnements bei Bandai Channel
Ein japanischer Jugendlicher, zur Tatzeit im letzten Jahr der Mittelschule, bei der Festnahme ein 15 Jahre alter Oberschüler, bricht in den Streamingdienst Bandai Channel ein, kündigt am 4. November 2025 eigenmächtig 46.812 Abonnements und zwingt den Betreiber zur vorübergehenden Abschaltung. Nach Polizeiangaben nutzte er den KI-Chatbot ChatGPT, um das Schadprogramm für die Kündigungen zu erstellen.
Mutmaßlicher Claude-Agent bricht über Webanwendungen ein und stiehlt eine Datenbank
Northwaves CERT findet auf einem Angreifersystem ein gefälschtes Pentest-Autorisierungsschreiben, ein Verzeichnis .claude/pentests/ und Berichte, die von Claude zu stammen scheinen und dokumentieren, welche Schritte der Agent selbst ausgeführt hat. Der Agent kartiert die externe Angriffsfläche, nutzt parallele Einstiege über exponierte Webanwendungen, platziert KI-generierte Webshells und exfiltriert eine Produktionsdatenbank; über 50 umgebungsspezifische Skripte entstehen binnen Stunden. Northwave beziffert den KI-Anteil auf 95 Prozent.
Mutmaßlich KI-generierte Loader gegen Behörden und Stromsektor (Armored Likho)
Kaspersky beschreibt Armored Likho, auch als Eagle Werewolf bekannt, als zuvor unbekannte Gruppe, die finanziell motivierte Kampagnen gegen Privatpersonen mit gezielter Spionage gegen Behörden und den Stromsektor verbindet, mit bestätigten Opfern in Russland, Kasachstan und Brasilien. Die Loader der ersten Stufe tragen ausführliche Kommentare und Aufzählungs-Emojis, was Kaspersky als starken Hinweis auf LLM-erzeugten Code wertet.
Phishingmail liefert mutmaßlich mit KI gebautes Ransomware-Framework aus (Avalon, CrownX)
Blackpoint analysiert das neue Schadsoftware-Framework Avalon, das Zugangsdaten abgreifen, sich im Netz ausbreiten, Wiederherstellungspunkte und forensische Spuren löschen und mit der Ransomware-Komponente CrownX Dateien verschlüsseln kann, und sieht starke Anzeichen KI-gestützter Entwicklung. Zugestellt wurde es per Phishingmail, getarnt als Benachrichtigung über ein juristisches Dokument, über ein passwortgeschütztes Archiv bei Proton Drive und eine LNK-Verknüpfung in einem ISO-Abbild, die die Nutzlast nur im Speicher nachlud. Blackpoint barg die Nutzlast von einem kompromittierten Rechner und sieht weitere Aktivität bei seinen Partnern.
KI-Agent steuert Erpressung vom Einbruch bis zur Verschlüsselung (ENCFORGE, JadePuffer)
Sysdig nennt JadePuffer den ersten dokumentierten Fall agentischer Ransomware: Ein Sprachmodell nutzt eine exponierte Langflow-Instanz aus und verschlüsselt am Ende selbst 1.342 Konfigurationseinträge in MySQL. In die Datenbank hinter Nacos schrieb der Agent mit Root-Zugang ein Hintertürkonto, dessen Passwort-Hash vermutlich leer geblieben war; 31 Sekunden nach der gescheiterten Anmeldung löschte er es und legte es mit funktionierendem Hash neu an. Den Verschlüsselungsschlüssel verlor er, und die Zahlungsadresse ist das Beispiel aus der Bitcoin-Dokumentation. Später setzt derselbe Akteur ENCFORGE ein, eine Go-Ransomware gegen Modell-Checkpoints, Vektordatenbanken und andere KI-Infrastruktur. Microsoft führt ihn als Storm-3168 und rechnet ihm auch einen Angriff im Juni 2026 zu, bei dem ein gekaperter Service Principal in rund sieben Minuten über hundert Azure-Speicherkonten einer Organisation zu löschen versuchte, meist mit Erfolg.
Angreifer kapern Ollama- und LiteLLM-Honeypots für Angriffswerkzeuge (Strix)
Zenity betreibt zwischen März und Mai 2026 absichtlich offene Endpunkte von Ollama (Software, die Sprachmodelle auf eigener Hardware bereitstellt) und LiteLLM (Gateway für LLM-API-Abfragen) als Honeypot und fängt drei Operatoren ab, die die Endpunkte als Modell-Backend für offensive Werkzeuge kapern. Einer richtet den autonomen Pentest-Agenten Strix mit einem 140.000 Zeichen langen Systemprompt gegen eine etablierte französische Auktionsseite; wiederholte Aufforderungen an den Agenten, es erneut zu versuchen, deuten laut Zenity darauf hin, dass ein Mensch den Agenten während des Angriffs nachsteuerte, doch Zenitys Sensoren erkennen und blockieren ihn, bevor er das reale Ziel erreicht.
Angreifer übernimmt mit mutmaßlich KI-gestützten Skripten eine AWS-Umgebung in 72 Stunden
Ein finanziell motivierter Angreifer kompromittiert eine große AWS-Umgebung in rund 72 Stunden, verkettet Schwächen in Anwendungsdiensten, Quellcodeverwaltung, CI/CD, den laufenden ECS- und EC2-Workloads und den Datenspeichern und demonstriert seine Kontrolle mit umkehrbaren Störaktionen wie gesperrten S3-Buckets und auf null skalierten ECS-Diensten. Sygnia fand mehrere Artefakte, die auf KI-gestützte Werkzeuge und Skripte deuten.
Angreifer sichern Zugang mit mutmaßlich KI-geschriebenem Tunnelskript (Bumblebee, Akira)
The DFIR Report beschreibt zwei Einbrüche vom Juli 2025 aus einer Kampagne, die manipulierte Installer etwa für ManageEngine OpManager und Advanced IP Scanner über Bing-Suchergebnisse verbreitete: Über den Loader Bumblebee luden die Angreifer das C2-Framework AdaptixC2 nach, übernahmen Domänencontroller und verschlüsselten die Netze mit der Ransomware Akira. Im zweiten Fall, den das Swisscom B2B CSIRT bearbeitete, sicherte sich der Angreifer den Zugang mit der Tunnelsoftware Cloudflared, die er als Windows-Dienst auf einem Domänencontroller einrichtete. Das PowerShell-Skript dafür ist nach The DFIR Report wahrscheinlich mit generativer KI entstanden.
KI-Agenten wie Claude Code und OpenClaw führen mutmaßlich reale Angriffe selbst aus
Tencents Cloud-Security-Labor Yunding wertet mehrere reale Angriffe aus, bei denen Claude Code, OpenClaw (quelloffener Agent, der Aufgaben selbstständig abarbeitet), OpenCode und das Framework CyberStrikeAI die Ausführung übernehmen. In einem Fall dringt der Agent binnen knapp sechs Stunden in Quellcodeplattform, SSO, Nacos (Alibabas quelloffener Dienst für Konfiguration und Dienstverzeichnis), Mailsystem und Datenbanken ein, schreibt direkt auf den Opfersystemen Java-Clients, nutzt xp_cmdshell (Funktion, mit der ein Microsoft-SQL-Server Systembefehle ausführt) und erläutert sein Vorgehen in Kommentaren, die in der Shell-Historie stehen bleiben. In einem anderen Fall schreibt ein Agent seinen Exploit gegen Odoo (Unternehmenssoftware für Buchhaltung und Warenwirtschaft) mehr als zehnmal neu.
Mutmaßlich KI-erzeugte AitM-Plattform spiegelt Buchungssysteme des Gastgewerbes (Kitana)
Kitana ist eine modulare Adversary-in-the-Middle-Plattform (AitM) aus Node.js-Proxy und Python-Backend, die Buchungssysteme des Gastgewerbes in den USA und Kanada sowie Händler in Chile und Saudi-Arabien live spiegelt; ein Mensch am Telegram-Panel greift Passwörter und Kartendaten ab und löst gefälschte Abfragen des zweiten Faktors aus. NCC Group stuft Dokumentation, Konfiguration und Codestruktur als LLM-erzeugt ein und fand zugleich hartkodierte Zugangsdaten im Quellcode.
Russischer Hacker greift mit Claude Buchungsplattformen des Gastgewerbes an (HexStrike)
Cybernews findet am 16. April 2026 den offen im Netz stehenden Server eines russischen Angreifers mit Quellcode, exfiltrierten Daten und mindestens 50 maschinell erzeugten Prüfberichten über Beherbergungsunternehmen, jeder aufgebaut wie ein professioneller Pentest-Bericht. Der Angreifer koppelt das quelloffene HexStrike AI (bündelt Angriffswerkzeuge für KI-Agenten) an Claude und gibt jeden Vorgang als beauftragten Penetrationstest aus; benannte Opfer sind NebulaPMS aus Südafrika mit rund zwei Millionen Datensätzen, RoomScope aus Thailand mit rund 6,4 Millionen Buchungssätzen, IGMS aus Kanada und Staysee aus Japan, insgesamt 2,1 Millionen verschiedene Mailadressen.
Angriff mit starkem KI-Einsatz auf einen Babel-Redakteur scheitert (SKELYAAGENT, UAC-0272)
Am 18. Juni 2026 bekam ein Redakteur von Babel einen Link auf ein Archiv mit zwei Office-Dokumenten, deren Makros eine eigens entwickelte Schadsoftware starten sollten; laut Babel scheiterte der Versuch. SKELYAAGENT, wie CERT-UA die Schadsoftware nennt, öffnet einen verdeckten Fernzugang, auch über Cloudflare-Tunnel, zeichnet Tastatureingaben, Mikrofon und Webcam auf und greift Zugangsdaten aus Browsern und Messengern ab. Als eines der Kennzeichen der Angriffe, die CERT-UA als UAC-0272 führt und die möglicherweise seit Ende Mai 2026 laufen, nennt CERT-UA den intensiven Einsatz künstlicher Intelligenz.
Täter mit Zugang zu 409 FortiGate-Firewalls nutzt Cursor und KI-Agenten (FortiBleed)
SOCRadar gelangt an die Arbeitsumgebung eines Affiliates der Erpressermarken INC und Lynx: 409 bestätigte Administratorzugänge auf FortiGate-Firewalls, bei 354 davon mit Zugang bis zum Domänenadministrator, mindestens zwölf Ransomware-Einsätze. Den Telegram-Bot zum Passwortknacken und die Skripte für das Active Directory der Opfer schrieben die Täter nach SpyCloud mit Cursor (Programmierumgebung mit eingebautem KI-Assistenten). Aus den Startskripten geborgene Schlüssel gehören zu einem Konto bei OpenRouter (Dienst, der Anfragen an viele Sprachmodelle vermittelt und abrechnet) mit rund 4.554 Dollar Ausgaben; damit lief ein auf CyberStrike aufgesetztes Multi-Agenten-Framework, das unter anderem Nextcloud nach unbekannten Schwachstellen absuchte.
Bewerber soll mit KI-Code drei fremde Bewerbungen am RPSC-Portal zurückgezogen haben
Ein 27-jähriger Bergbauingenieur lässt sich nach Polizeiangaben mit KI-Werkzeugen Code schreiben, der die Prüfung der einmaligen Registrierung (One Time Registration) am Bewerbungsportal der Rajasthan Public Service Commission umgeht; damit zieht er die Bewerbungen dreier Mitbewerber zurück, die auf der Warteliste vor ihm liegen. Aufgefallen ist der Fall, weil das Portal zu diesem Zeitpunkt gar keine Rücknahmen zuließ und ein Betroffener die automatische SMS meldete; die Cyberpolizei in Ajmer nahm den Ingenieur im Juni 2026 fest.
Operator missbraucht fremden Ollama-Server für ein Angriffswerkzeug im Aufbau
Vom 12. bis 14. Juni 2026 nutzt ein Operator, dessen Sitzungen aus Privatkunden-IP-Bereichen in Hyderabad kommen, einen fehlkonfigurierten fremden Ollama-Server (Ollama stellt Sprachmodelle auf eigener Hardware bereit) als kostenlose Reasoning-Engine eines mehrstufigen Angriffswerkzeugs im Aufbau, das Ziele scannen, Schwachstellen zuordnen und Proof-of-Concept-Exploits schreiben soll; das Modell entscheidet in jedem Schritt. Sysdig beobachtete, wie das Werkzeug über die ganze Sitzung wuchs und erweitert wurde; eingesetzt wurde es aber ausschließlich gegen private, selbst aufgesetzte Testziele und eine HackTheBox-Übungsumgebung.
Pix-Trojaner in Brasilien mit mutmaßlich KI-gebauter Steuerungsoberfläche (SmartRAT)
Im März 2026 beobachtete Zscaler ThreatLabz eine ClickFix-Kampagne, die sich als brasilianische Bank ausgibt und ihre Opfer dazu bringt, selbst einen PowerShell-Befehl auszuführen, der den Remote-Access-Trojaner SmartRAT nachlädt; der Trojaner blendet gefälschte Passwortformulare ein, protokolliert Tastatureingaben und tauscht QR-Codes für Pix (brasilianisches Zahlungssystem für Sofortüberweisungen) gegen eigene aus. Die webbasierte Steuerungsoberfläche des Trojaners wurde nach Zscaler ebenso wie die Köderseite wohl mit KI-Werkzeugen gebaut; darauf deuten ausführliche erklärende Kommentare und viele Emoticons im Quelltext. Trend Micro hatte dieselbe Schadsoftwarefamilie im Mai 2026 unter eigenem Namen und mit abweichendem Verbreitungsweg beschrieben und auf kompromittierten Rechnern gefunden.
Wenig versierter Akteur kompromittiert 14 Firmen mit gestohlener Claude-Instanz und Codex
OALABS dokumentiert einen Akteur mit offenbar geringen Fachkenntnissen, der mit einer gestohlenen Claude-Instanz, Codex (OpenAIs Programmieragent) und Prompts wie „recon this“ mindestens 14 Firmen kompromittiert. In über 1.000 Sitzungen schlug Codex nur ein einziges Mal wegen eines Richtlinienverstoßes an, Claude neunmal. OALABS führt das vor allem darauf zurück, dass der Akteur alle Anfragen als Teil eines autorisierten Red-Team-Auftrags darstellte, und hält es für möglich, dass ältere Modellversionen dazu beitrugen.
Erpresser wollen Beute von Novo Nordisk und Avnet mit KI ausgewertet haben (FulcrumSec)
FulcrumSec stiehlt, veröffentlicht und erpresst, ohne zu verschlüsseln, über einfache Einstiegswege wie offengelegten Zugangsdaten in clientseitigem JavaScript. Bei Novo Nordisk bestätigte der Konzern den Zugriff am 11. Juni 2026 und lehnte 25 Millionen Dollar ab; die Gruppe will 1,3 Terabyte und 700.717 Dateien erbeutet haben und erklärt, ein Team aus KI-Agenten habe die erbeuteten KI-Modelle des Konzerns aus Medizin und Wirkstoffforschung ausgewertet. Bei Avnet erzeugte sie den Auswertungsbericht nach eigener Angabe mit dem gestohlenen OpenAI-Schlüssel des Opfers; GuidePoint beschreibt unabhängig ein ähnliches Muster bei einem anderen Opfer, ohne den Avnet-Fall selbst zu bestätigen.
npm-Würmer entstehen mutmaßlich mit Hilfe von Claude Code (Mini Shai-Hulud, TeamPCP)
Das chinesische Sicherheitsunternehmen Antiy analysiert TeamPCP: Die npm-Würmer Chalk/Debug, Shai-Hulud, Megalodon und Mini Shai-Hulud entstanden nach Antiys Einschätzung mit KI-Unterstützung; für Mini Shai-Hulud nennt Antiy dabei Claude 3.5 Sonnet und Claude Code, ergänzt um GPT-4o und Copilot. Die Claude-Zuordnung stützt sich auf Repository-Markierungen und die Commit-Adresse mit dem GitHub-Nutzernamen claude; binnen acht Monaten verkürzte sich der Entwicklungszyklus von Monaten auf Wochen und Tage.
Mietbare Phishing-Plattform lässt Claude Sonnet gekaperte Postfächer auswerten (Kali365)
Kali365, auch Octopi365 und Freedom365, ist eine Phishing-Plattform zur Miete, die mit über 100 API-Endpunkten und mindestens 33 Vorlagen Microsofts Device-Code-Anmeldung (Anmeldeverfahren, bei dem ein Code auf einem zweiten Gerät bestätigt wird) missbraucht, um den Zugriff auf Microsoft-365-Konten auch nach aktivierter Mehr-Faktor-Authentifizierung und Passwortwechsel zu behalten. Der KI-Teil setzt erst nach dem Einbruch an: Ein Business-Email-Compromise-Modul lässt Claude Sonnet die mitgelesenen Mailverläufe bewerten, lohnende Zahlungsvorgänge herausfiltern und Antwortentwürfe samt ausgetauschter Bankverbindung erzeugen; Huntress zählte allein am 20. Mai 2026 über 80 erfolgreiche Anmeldungen aus Adressen der Tencent-Cloud.
KI-Agent bricht über marimo ein und entkommt aus dem Container auf den Host
Ein KI-Agent bricht über die Lücke CVE-2026-39987 in marimo (Notebook-Software für Python) ein, enumeriert den Docker-Socket, entkommt über einen privilegierten Container und nsenter (Linux-Befehl, der in die Namensräume eines anderen Prozesses wechselt) auf den Host und verwendet ein Kubernetes-Service-Account-Token erneut, um den gesamten Secret-Store auszulesen. Laut Sysdig der erste beobachtete Fall, in dem ein Agenten-Harness (Programmgerüst, das ein Modell mit Werkzeugen und Arbeitsschleife ausstattet) statt eines Menschen den Container-Ausbruch durchführt.
Angreifer betreiben ein Multi-Agenten-Labor mit Claude Opus 4.5 zur EDR-Umgehung
Sophos stößt über einen auffälligen Endpunkt in einem Kundentenant auf ein Multi-Agenten-Labor: Claude Opus 4.5 als koordinierender Agent in Cursor (Programmierumgebung mit eingebautem KI-Assistenten), Subagenten für EDR-Tests gegen Sophos, CrowdStrike und Defender, für OPSEC-Härtung und VM-Deployment, dazu ein Sliver-C2 (quelloffenes C2-Framework), rund 80 Module für über 70 Umgehungstechniken. Sophos verknüpft die Entwicklungsaktivität mit bekannten Ransomware- und Datendiebstahl-Operationen; die Agenten dokumentieren eine nahezu universelle EDR-Umgehung.
Russland-nahe Gruppe greift die Ukraine in jeder Phase mit KI an (LegionRelay, GREYVIBE)
GREYVIBE, eine Gruppe mit Russland-Bezug, greift seit mindestens August 2025 ukrainisches Militär, Behörden, Unternehmen und zivile Ziele an, in fünf benannten Kampagnen, die generative KI systematisch im gesamten Ablauf einsetzen, von Köderseiten über Obfuskatoren bis zur Entwicklung des LegionRelay-Trojaners. Designfehler in diesem Trojaner gaben WithSecure monatelang Einblick in Opfer und Aktionen.
Claude Code bricht in Behörden und Hochschulen in Asien ein (Hephaestus)
Claude Code wird über eine CLAUDE.md (Anweisungsdatei, die der Agent zu Beginn jeder Sitzung liest) mit Autorisierungs-Präambel und einem Scope aus Länder-Domainendungen für Indonesien, Südkorea, Thailand und Bangladesch gesteuert und automatisiert Aufklärung, Ausnutzung, Persistenz, Seitwärtsbewegung und Berichtswesen. Bestätigt sind Kompromittierungen bei indonesischen und bangladeschischen Regierungsstellen, indonesischen und südkoreanischen Hochschulen, darunter eine Kette aus drei CVEs gegen Moodle (Lernplattform von Schulen und Hochschulen) bis root und über 41.000 offengelegte Konten einer OJS-Publikationsplattform; Zugänge werden anschließend über Telegram verkauft. Nach der Offenlegung lief die Operation weiter: Der chinesische Sicherheitsanbieter NOSEC fand im August einen neuen Arbeitsrechner desselben Akteurs, erkennbar an derselben Berichtssignatur und derselben Dateiablage-Adresse wie im ersten Bericht von Oasis Security. In den dort geborgenen Sitzungsprotokollen tut der Operator nach NOSECs Lesart nur drei Dinge, während sechs und mehr Sitzungen parallel laufen: Zugangsdatenlisten einfügen, Ergebnisse der Codeausführung anmahnen, Ergebnisse entgegennehmen.
IoT-Botnetz mit einem Sprachmodell geschrieben (TuxBot v3)
Für das IoT-Botnetz TuxBot v3 ließ ein Entwickler nach Unit 42 ein Sprachmodell C-Module, portierte Exploits und den Steuerserver samt Bedienoberfläche für bezahlte DDoS-Angriffe schreiben und die wörtlichen Gedankengänge des Modells im Quellcode stehen. Kompilierte Bots tauchen seit Januar 2026 in freier Wildbahn auf; im April 2026 sah Unit 42 sechs neue Proben, und ein Steuerserver sowie ein Server, der die Bots ausliefert, waren aktiv. Das Eindringen per Telnet mit fast 1.500 Standardzugangsdaten funktioniert, die meisten Exploits dagegen nicht, großteils weil die KI-Hilfe Fehler einbaute.
KI-Agent dringt in einer Stunde von marimo bis in eine interne PostgreSQL-Datenbank vor
Der erste vom Sysdig-Threat-Research-Team beobachtete Einbruch, den ein KI-Agent ausführt: von einer kompromittierten Instanz von marimo (Notebook-Software für Python) über erbeutete Cloud-Zugangsdaten und einen SSH-Schlüssel aus dem AWS Secrets Manager bis zum vollständigen Dump einer internen PostgreSQL-Datenbank in etwa einer Stunde. Zwischen den ausgeführten Befehlen steht ein chinesischsprachiger Kommentar, der das weitere Vorgehen skizziert; zusammen mit dem Dump einer Tabelle, die es im Schema gar nicht gibt, spricht das dafür, dass die Befehle in Echtzeit entstanden und nicht aus einem Skript kamen. Cloudflare Workers (Cloudflare-Dienst, der kleine Programme an vielen Standorten ausführt) dienen als Egress-Pool über elf Adressen.
Iran zugerechnete Gruppe feilt mit ChatGPT an Löschskript gegen Vyncs (Ababil of Minab)
Hinter der Persona Ababil of Minab steckt nach Gambits Zuordnung sehr wahrscheinlich der Cluster Black Shadow, den Israels Cyberbehörde dem iranischen Geheimdienstministerium zurechnet; die Kampagne exfiltriert Daten bei Verkehrsbetrieben und Unternehmen in den USA, Israel, Saudi-Arabien und der Türkei, mit zerstörerischen Aktionen bei einem Teil der Opfer. Die Verkehrsbetriebe von Los Angeles bestätigten den Einbruch am 2. April 2026; Hunt.io fand im offenen Verzeichnis der Täter Datenbanksicherungen, SCADA-Konfigurationen und Rangierbahnhofdaten. Laut BankInfoSecurity gibt Gambit an, die Gruppe habe ChatGPT genutzt, um das Skript zum Enumerieren und Löschen von Datenbanken in der Umgebung des Fahrzeug-Ortungsdienstes Vyncs zu verfeinern.
Iranische Gruppe nutzt mutmaßlich KI-geschriebene Hintertür (MiniFast, Nimbus Manticore)
Nimbus Manticore, auch UNC1549, der Revolutionsgarde zugeordnet, startet zwischen Februar und April 2026 drei Wellen mit auf die Luftfahrt- und die Softwarebranche zugeschnittenen Ködern gegen Ziele in den USA, Europa und dem Nahen Osten, ohne Pause während der Militäroperation gegen Iran. Die neue Hintertür MiniFast zeigt laut Check Point KI-Merkmale: übermäßige Fehlerbehandlung selbst bei GetUserName, ausführliche Bezeichner, eingebettete Debug-Meldungen und eine Modularität, die zur Einfachheit des Programms nicht passt.
Composio meldet Einbruch mit LLM-erzeugten Angriffsmustern, 5.001 GitHub-Token betroffen
Composio, dessen Plattform im Auftrag von KI-Agenten Zugangstoken für GitHub, Gmail, Slack, Jira und weitere Dienste verwaltet, meldet, ein Angreifer habe die Systeme ausgiebig abgeklopft und dabei viele Exploit-Kombinationen aus LLM-erzeugten Angriffsmustern durchprobiert, bis er in einem internen Überwachungsagenten Fuß fasste; von dort ging es über das automatische Reparatursystem bis zur beliebigen Codeausführung. Betroffen sind rund 0,3 Prozent der aktiven Verbindungen, darunter 5.001 GitHub-Token; Auswertungen der Offenlegung nennen zusätzlich rund 5.241 API-Schlüssel aus einem Zwischenspeicher, der im Zeitraum des Einbruchs erreichbar war.
Gruppe bestiehlt Behörden in Russland und Belarus, mutmaßlich mit KI-Skripten (Leek Likho)
Kaspersky beobachtete von Februar bis April 2026 weitere gezielte Angriffe der Gruppe Leek Likho, auch SkyCloak oder Vortex Werewolf genannt, auf Organisationen des öffentlichen Sektors in Russland und Belarus, bei denen ein Operator über einen verdeckten Tor- und SSH-Zugang das Werkzeug rclone nachlädt und Dateien von USB-Datenträgern ausleitet. Für jedes Opfer erstellt die Gruppe eine eigene erste Stufe mit leicht abgewandelten Dateinamen, neuen lesbaren Variablennamen und teils wirkungslosen Zusatzbefehlen. Kaspersky sieht darin mögliche Hinweise, dass ein Sprachmodell Skripte und Namen erzeugt, und schreibt im Fazit, Leek Likho nutze KI, um für jedes Ziel eigene Varianten zu generieren.
Nordkoreanische Gruppe setzt Rust-Hintertür mit KI-Spuren ein (HelloDoor, Kimsuky)
Die nordkoreanische Gruppe Kimsuky setzt mit HelloDoor eine Hintertür in Rust ein, einer Sprache, die die Gruppe laut Kaspersky nur selten nutzt. Kaspersky fand darin Emoji-Debug-Logs, wie sie Sprachmodelle erzeugen, daneben stehengebliebene Tippfehler wie „decrytion failed“, die auf menschliche Nachbearbeitung deuten; zu den Opfern des PebbleDash-Clusters zählen brasilianische und südkoreanische Verteidigungsorganisationen und ein deutsches Rüstungsunternehmen.
KI-Agent greift brasilianische Finanzinstitute an (SHADOW-AETHER-064)
Eine portugiesischsprachige Gruppe greift seit April 2026 mit einem KI-Agenten brasilianische Finanzinstitute an; der Agent operiert über ProxyChains (leitet den Datenverkehr über mehrere Proxys um) und SSH im Opfernetz, nutzt das Tunnelwerkzeug Chisel, dazu Impacket und CrackMapExec (Werkzeugsammlungen für Angriffe auf Windows-Netzprotokolle) und erzeugt seine Skripte dynamisch. Derselbe Trend-Micro-Bericht beschreibt den Schwestercluster SHADOW-AETHER-040; dessen sechs Kompromittierungen mexikanischer Regierungsstellen fand Trend Micro über einen offen liegenden Steuerserver.
Mutmaßlich chinesischer Akteur setzt KI-Agenten gegen japanische Technologiefirma ein
Googles Threat Intelligence Group (GTIG) analysierte einen mutmaßlich chinesischen Akteur, der Agentenwerkzeuge wie Hexstrike (quelloffen, bündelt Angriffswerkzeuge für KI-Agenten) und Strix gegen ein japanisches Technologieunternehmen und eine bekannte ostasiatische Sicherheitsplattform einsetzt. Hexstrike läuft dabei mit dem Speichersystem Graphiti, einem zeitlichen Wissensgraphen, der die Angriffsfläche fortlaufend abbildet, sodass der Agent selbst entscheidet, wann er zwischen Werkzeugen wie subfinder und httpx (sie spüren Subdomains auf und fragen Webserver ab) wechselt; parallel automatisiert Strix als Multi-Agenten-Framework für Penetrationstests das Finden und Bestätigen von Schwachstellen.
Schadsoftware gegen die Ukraine mit KI-geschriebener Tarnung (CANFAIL, LONGSTREAM)
Googles Threat Intelligence Group (GTIG) bestätigt, dass Russland-nahe Angreifer gegen ukrainische Organisationen die Schadsoftwarefamilien CANFAIL und LONGSTREAM einsetzen, in die ein Sprachmodell Code zur Tarnung geschrieben hat. In CANFAIL erklären Kommentare des Modells bestimmte Codeblöcke ausdrücklich für ungenutzt; GTIG vermutet, dass die Angreifer diesen Ballast eigens beim Modell anforderten, um die schädliche Funktion zu verdecken. Im Downloader LONGSTREAM fand GTIG 32 Stellen, die abfragen, ob auf dem System Sommerzeit gilt, vermutlich ebenfalls erzeugter Code, der harmlos wirken soll.
Vishing-Panel aus dem ShinyHunters-Umfeld, eine Variante per LLM umgebaut (Doko’s Panel)
Push Security verschaffte sich Zugang zu Doko’s Panel und Abwandlungen davon, mit denen Operatoren aus dem Umfeld von ShinyHunters und BlackFile ihre Opfer am Telefon auf nachgebaute Anmeldeseiten von Okta, Microsoft, Google oder Kryptobörsen lotsen und Passwort und Einmalcode von Hand an den echten Dienst weiterreichen; Daten, die echte Opfer in derselben Woche eingegeben hatten, belegten laufende Angriffe. Eine Variante auf der zuerst entdeckten Okta-Phishingseite trägt nach Push deutliche Spuren eines Umbaus per Sprachmodell, etwa ausufernde Kommentare am Dateianfang mit der Überschrift „NOTES FOR NEXT SESSION“ und doppelt geplante Serveranfragen; das passe dazu, dass ein Operator Anforderungen in ein LLM kopierte und das Ergebnis übernahm, ohne den vorhandenen Code zu verstehen.
Nordkoreanische Gruppe baut npm-Lockpakete mit KI (PromptMink, Famous Chollima)
Famous Chollima aus Nordkorea veröffentlicht npm-Pakete, die ReversingLabs seit Oktober 2025 beobachtet; deren schiere Zahl und werbende README-Texte deuten nach Einschätzung von ReversingLabs darauf hin, dass die eigentlichen Ziele KI-Programmieragenten sein könnten, die nach einer passenden Abhängigkeit suchen. Ein harmloses Lockpaket zieht die Nutzlast nach, die Verzeichnisse nach .env- und .json-Dateien und nach Dateien mit kryptobezogenen Namen durchsucht, ganze Quellcode-Ordner exfiltriert und SSH-Schlüssel einträgt. Am 28. Februar 2026 fügte ein Commit mit Claude Opus als Mitautor in einem Krypto-Trading-Agenten die Lockabhängigkeit ein; die Pakete selbst wurden laut ReversingLabs mit generativer KI gebaut, erkennbar an einer stehengebliebenen Rückfrage des Modells, ob es die README auch etwas verschleiern solle.
Nordkoreanische Gruppe ködert Web3-Entwickler mit ChatGPT und Cursor (HexagonalRodent)
Eine nordkoreanische Gruppe, bei Expel HexagonalRodent, ködert Web3-Entwickler mit gefälschten Stellenangeboten und Programmiertests, die beim Öffnen in Visual Studio Code eine Hintertür starten. Expel belegt aus eigener Telemetrie den Einsatz von ChatGPT und Cursor (Programmierumgebung mit eingebautem KI-Assistenten), versehentlich geleakte Prompts für zwei neue Werkzeuge und den Bau mindestens einer Tarnfirmen-Website mit dem KI-Webdesigner Anima; aus der Datenbank der Täter stammen 26.584 Wallets von 2.726 infizierten Entwicklerrechnern, und Expel fand Hinweise, dass die Täter westliche Modelle vermutlich auch prüfen ließen, wie auffällig die Hintertüren der Gruppe sind.
Operator kompromittiert über 900 Firmen mit Claude Code und OpenClaw (Bissa Scanner)
Ein offen erreichbarer Server gibt eine Massenausnutzungs-Operation preis, bei der Claude Code und OpenClaw (quelloffener Agent, der Aufgaben selbstständig abarbeitet) den Operator bei Fehlersuche, Orchestrierung und Verfeinerung der Sammelpipeline unterstützen: Millionen Ziele auf React2Shell gescannt, über 900 Unternehmen kompromittiert, über 30.000 verschiedene .env-Dateien erbeutet. Der Operator triagiert die Zugänge und sieht sich nur Ziele aus dem Finanz-, Krypto- und Einzelhandelssektor genauer an.
NFC-Zahlungs-App mit mutmaßlich KI-geschriebenem Code stiehlt PINs in Brasilien (NGate)
Seit etwa November 2025 verbreiten Angreifer unter Android-Nutzern in Brasilien über eine gefälschte Lotterie-Website und eine nachgebaute Google-Play-Seite eine manipulierte Fassung der echten App HandyPay, die die NFC-Daten der Zahlungskarte an ein Gerät der Täter weiterleitet und die PIN an deren Steuerserver schickt. Auf diesem Server fand ESET Protokolle von vier kompromittierten Geräten in Brasilien mit erbeuteten PINs, IP-Adressen und Zeitstempeln. Den eingeschleusten Code, der die PIN ausleitet, erzeugten die Angreifer nach ESET höchstwahrscheinlich mit generativer KI; darauf deuten Emojis in den Protokollausgaben, die für KI-Texte typisch sind.
Einbruchsversuch über Obsidian mit KI-generiertem Remote-Access-Trojaner (PHANTOMPULSE)
Elastic Security Labs untersuchte einen Einbruchsversuch der Kampagne REF6598, die Personen aus der Finanz- und Kryptobranche als angebliche Risikokapitalfirma über LinkedIn und Telegram anspricht und ihnen Zugang zu einer Notizsammlung der Notiz-App Obsidian gibt; schaltet das Opfer die Plugin-Synchronisierung ein, führen manipulierte Plugins unbemerkt Code aus. Am Ende der Kette steht der bis dahin unbekannte Remote-Access-Trojaner PHANTOMPULSE, nach Elastic großteils KI-generiert, erkennbar an ungewöhnlich ausführlichen, durchnummerierten Debug-Zeichenketten. Im beobachteten Fall erkannte und blockierte Elastics Endpunktschutz die Kette früh, bevor PHANTOMPULSE lief.
Akteur öffnet über 500 bösartige Pull Requests mit KI-generierten Nutzlasten (prt-scan)
Ein Akteur öffnet in sechs Wellen über sechs Konten mehr als 500 bösartige Pull Requests gegen GitHub-Repositories mit fehlkonfiguriertem pull_request_target und wechselt dabei von einfachen Bash-Skripten zu KI-generierten, an den jeweiligen Technologie-Stack angepassten Nutzlasten; mindestens zwei npm-Pakete eines Maintainers werden kompromittiert; Wiz beziffert die Erfolgsquote auf unter zehn Prozent.
Hintertür mit LLM-Merkmalen gegen russische Rüstungsbetriebe (WarpPlugin, GOFFEE)
Die Spionagegruppe GOFFEE (Paper Werewolf) verschickt nach PT ESC an Mitarbeiter russischer Organisationen Archive mit einem Fragebogen, der angeblich von einem staatlichen Unternehmen kommt; das Excel-Add-in (XLL) darin öffnet eine Tabelle zur Ablenkung und startet im Hintergrund die Hintertür WarpPlugin (auch EchoGather), die PT ESC als KI-generiert bezeichnet. PT ESC beobachtet diese Aktivität seit Ende 2025 und schreibt, GOFFEE erzeuge mit KI-Agenten laufend neue Köderdateien und Varianten von WarpPlugin, dazu ständig neue Namen für Steuerserver. Nach dem Quartalsbericht von Positive Technologies tragen Module, die bei Angriffen der Gruppe auf russische Rüstungsbetriebe auftauchten, typische Merkmale von LLM-Code.
Phishing-Plattform wertet erbeutete Microsoft-365-Postfächer mit KI aus (EvilTokens)
EvilTokens, seit Februar 2026 als Phishing-as-a-Service verkauft, missbraucht Microsofts Device-Code-Anmeldung (ein Verfahren, bei dem ein Code auf einem zweiten Gerät bestätigt wird) und erbeutet so Zugangstoken für Microsoft-365-Postfächer. Nach Sekoia liest eine KI-Pipeline bis zu 5.000 gestohlene Mails, sucht verwertbare Zahlungsvorgänge und entwirft passende Betrugsmails; in einem von Microsoft beobachteten Fall wählte ein Täter mit der KI-Funktion unter den kompromittierten Nutzern gezielt jene mit Finanz-, Führungs- oder Verwaltungsrollen aus. Laut Microsoft ist die Plattform selbst großenteils mit KI programmiert; der Konzern zählt über 12.000 übernommene Postfächer in über 10.000 Organisationen und ließ EvilTokens im September 2026 mit gerichtlicher Genehmigung abschalten, und die Londoner Polizei nahm zwei Verdächtige fest.
Schadsoftware mit mutmaßlich KI-erzeugter Verschleierung stiehlt Zugangsdaten (DeepLoad)
ReliaQuest untersuchte Vorfälle in Unternehmensnetzen, in denen Nutzer über ClickFix-Köder (gefälschte Fehlermeldungen, die zum Einfügen eines Befehls auffordern) die Schadsoftware DeepLoad selbst starteten: Sie versteckt ihre Nutzlast im Sperrbildschirmprozess von Windows, greift Zugangsdaten ab und infizierte einen bereinigten Rechner über eine WMI-Event-Subscription drei Tage später erneut. Die Verschleierung, Tausende bedeutungsloser Variablenzuweisungen, stammt nach ReliaQuest sehr wahrscheinlich von einer KI. Im Mai 2026 warnte Nigerias IT-Behörde NITDA über ihr CERRT.NG, DeepLoad greife nachweislich nigerianische Behörden, Finanzinstitute und Unternehmen an.
Einzeltäter lässt Claude Code ein BuddyBoss-Plugin mit Hintertür ausliefern
Ein französischsprachiger Einzeltäter kompromittiert die WordPress-Plattform BuddyBoss und den Lizenzserver von Caseproof und verteilt eine Plugin-Version mit Hintertür über die Produktionsinfrastruktur; betroffen sind 246 WordPress-Seiten, über 29 Gigabyte Datenbanken, rund 150.000 Nutzerkonten und aktive Stripe-Schlüssel. Ctrl-Alt-Intel barg aus einem offenen Verzeichnis das Transkript einer Claude-Code-Sitzung, in der der Agent selbst die Cloudflare-Schutzmaßnahmen umgeht und die manipulierte Version einspielt, nachdem der Täter die Aufgabe als CTF-Szenario ausgegeben hatte.
npm-Wurm mit mutmaßlich KI-geschriebenem Verbreitungsskript (CanisterWorm, TeamPCP)
Am 20. März 2026 entdeckte Aikido einen bis dahin unbekannten Wurm, der mit gestohlenen npm-Token Pakete kompromittierte, bis zum Bericht 28 im Scope @emilgroup und 16 unter @opengov, und die Adresse seiner Nutzlast aus einem Canister (ein Programm auf der dezentralen Blockchain-Plattform Internet Computer, hier als toter Briefkasten genutzt) abrief; zum Zeitpunkt des Berichts verwies der Canister noch auf ein YouTube-Video statt auf Schadsoftware. Aikido hält den Wurm für ein Werk von TeamPCP und sein Verbreitungsskript deploy.js für vollständig mit KI geschrieben („entirely vibecoded“). Rund eine Stunde nach der ersten Welle baute der Operator den Wurm so um, dass er auf befallenen Rechnern nach npm-Token sucht und sich mit ihnen selbst weiterverbreitet.
Gefälschte Spielmods laden Miner per mutmaßlich KI-geschriebenem Skript (WinUpdateHelper)
Mehr als 440 ZIP-Archive, getarnt als Spielmods, Cheats, Treiber und KI-Werkzeuge und abgelegt unter anderem bei Discord und SourceForge, bringen nach McAfee Labs Krypto-Miner oder weitere Nutzlasten wie SalatStealer und Mesh Agent auf Rechner vor allem in den USA, Großbritannien und Indien; über sieben nachverfolgbare Bitcoin-Wallets flossen rund 11.500 Dollar. Die Schadbibliothek WinUpdateHelper.dll lädt vom Steuerserver ein PowerShell-Skript, das sie im Speicher ausführt und das die eigentliche Infektion erledigt. Erklärende Kommentare und gegliederte Abschnitte darin deuten nach McAfee stark auf ein Sprachmodell hin; einer davon spricht von „your GitHub URL“ und meint das Repository der Angreifer.
Gekaperte ukrainische Websites verteilen iOS-Exploits mit LLM-Spuren (DarkSword, UNC6353)
Über versteckte Iframes auf zwei kompromittierten ukrainischen Websites, einer Nachrichtenseite aus dem Donbas und der Seite des Siebten Verwaltungsberufungsgerichts, lieferte die wahrscheinlich russische Gruppe UNC6353 nach Lookout die Exploitkette DarkSword an Besucher mit iOS 18.4 bis 18.6.2 aus. Die in JavaScript geschriebene Kette verschafft sich Lese- und Schreibzugriff auf den Kernel, schickt binnen Minuten Passwörter, Nachrichten, Fotos und die Daten von Krypto-Wallets an einen Steuerserver und löscht danach ihre Spuren. Muster im Code deuten nach Lookout darauf hin, dass zumindest ein Teil des Implantats mit Sprachmodellen entstand; auch im Code des Servers, der die Beute entgegennimmt, sieht Lookout Hinweise auf ein LLM.
Interlock-Gruppe nutzt mutmaßlich KI-geschriebenen C2-Client (Slopoly, Hive0163)
IBM X-Force findet im Arsenal der Interlock-Ransomware-Gruppe Hive0163 den PowerShell-C2-Client Slopoly, der über eine Woche lang den Zugriff auf einen Opferserver aufrechterhielt und nach Einschätzung der Analysten wahrscheinlich von einem Sprachmodell geschrieben wurde.
Iranischer Cluster nutzt mutmaßlich KI-geschriebenen Wiper gegen Stryker (Void Manticore)
Der iranische Cluster Void Manticore, auch Handala, verteilt in seiner destruktiven Welle gegen Israel und US-Ziele wie den Medizintechnikkonzern Stryker neben dem Handala-Wiper auch einen per Gruppenrichtlinie verbreiteten PowerShell-Wiper. Check Point hält den PowerShell-Wiper anhand von Codestruktur und ausführlichen Kommentaren für wahrscheinlich mit KI-Hilfe entwickelt.
Phishing in Algerien, Kuwait und der Mongolei, in verwandten Dateien ein türkischer Prompt
Ende Februar und Anfang März 2026 verschickte ein Angreifer nach PT ESC Archive an Organisationen in Algerien, Kuwait und der Mongolei, getarnt als Schreiben von Energieunternehmen, Behörden und Militär; eine LNK-Verknüpfung darin lud Skripte nach, die mit dem Synchronisationsprogramm Rclone Telegram-Daten und Dokumente vom Desktop in ein Konto des Angreifers beim Cloudspeicher Mega hochluden. Unter verwandten Dateien fand PT ESC Loader für den Kryptominer XMRig und Kommentare auf Türkisch, außerdem einen Prompt in derselben Sprache, mit dem der Angreifer ein Sprachmodell als hemmungslose, kokette Hackerin auftreten und Schadsoftware schreiben ließ. In 81 Tagen brachten die Miner auf infizierten Rechnern rund 436 Rubel ein.
Akteur lässt ein Sprachmodell Hunderte Salesforce-Umgebungen nach Beute sichten (GRUB1)
Cloudforce One beschreibt in Cloudflares erstem eigenen Lagebericht, wie der Akteur GRUB1 nach dem Erbeuten von OAuth-Zugängen über die Salesloft-Drift-Integration ein Sprachmodell einsetzte, um in hunderten fremden Salesforce-Umgebungen die Datentabellen mit den wertvollsten Inhalten zu bestimmen, kurz bevor er auf die Produktivinstanzen zugriff. Cloudflare selbst gehörte im August 2025 zu den Betroffenen.
Hintertüren mit KI-Spuren gegen irakische Regierungsbeamte (Dust Specter)
Im Januar 2026 beobachtete Zscaler ThreatLabz, wie sich Angreifer gegenüber irakischen Regierungsbeamten als Außenministerium des Landes ausgaben und die bis dahin unbekannten Hintertüren TWINTALK und GHOSTFORM verteilten; ein Archiv mit GHOSTFORM lag auf der kompromittierten Behördenwebsite ca.iq. Dass bei der Entwicklung generative KI half, schließt Zscaler aus Emojis im Quelltext und aus einem Startwert in einer Prüfsummenfunktion, der wie ein typischer Platzhalter aus KI-generiertem Code aussieht. Den Akteur, intern Dust Specter genannt, hält Zscaler für Iran-nah.
Selbsternannter Claude-Agent greift GitHub-Workflows an und kapert Trivy (hackerbot-claw)
Ein GitHub-Konto, das sich als autonomer Security-Agent auf Basis von Claude Opus 4.5 bezeichnet, greift zwischen dem 21. Februar und 2. März 2026 CI/CD-Workflows bei Microsoft, Datadog, CNCF, RustPython und Aqua Security an und erreicht laut StepSecurity in mindestens sechs von sieben Zielen Codeausführung; Pillar zählt für denselben Vorfall sechs Ziele und fünf Erfolge; bei Datadog liefen beide Versuche, darunter eine Prompt-Injection gegen die KI-gestützte Issue-Triage, ins Leere. Bei aquasecurity/trivy exfiltriert das Konto ein GitHub-Token mit Schreibrechten, löscht nach Pillars Zählung 97 Releases, stellt das Repository auf privat und veröffentlicht eine trojanisierte Erweiterung von Trivy (verbreiteter Schwachstellenscanner für Container und Projekte) auf OpenVSX (offener Marktplatz für Editor-Erweiterungen); Pillar bewertet die Operation als strategisch von Menschen und taktisch vom Modell geführt, elf Sekunden von Fork bis Push.
Hacktivisten greifen russische Behörden und Firmen mit KI-Skripten an (Forbidden Hyena)
BI.ZONE fand auf dem Steuerserver des Hacktivisten-Clusters Forbidden Hyena erkennbar KI-generierte Skripte, zwei PowerShell-Skripte für Persistenz und AnyDesk und ein Bash-Skript, das ein Implantat des quelloffenen C2-Frameworks Sliver nachlädt, mit Debug-Zeichenketten, ausführlichen Kommentaren und lesbaren Variablennamen ohne Obfuskation. Ziel ist die Installation der Hintertür BlackReaperRAT, anschließend die Verschlüsselung mit der Milkyway-Ransomware; Opfer sind russische Behörden und Unternehmen aus Gesundheit, Energie, Maschinenbau, Handel und Versorgung.
Ein Operator steuert Claude Code und GPT-4.1 gegen neun mexikanische Behörden
Gambit Security rekonstruiert aus drei gemieteten Servern die Arbeit eines einzelnen Operators gegen neun mexikanische Behörden zwischen Ende Dezember 2025 und Mitte Februar 2026: Claude Code erzeugt rund 75 Prozent aller Befehle auf den Servern und führt sie aus; 1.088 Prompts ergeben 5.317 Befehle. Parallel verarbeitet GPT-4.1 305 Server zu 2.597 Lageberichten. Dragos beschreibt, wie Claude beim Wasserversorger von Monterrey eigenständig eine SCADA-Schnittstelle als Ziel erkennt und ein erfolgloses Password Spraying steuert; Trend Micro, CloudSEK, Unit 42 und Oasis Security beschreiben denselben Komplex anhand eigener Funde, verbunden über gemeinsame Infrastrukturadressen.
Wenig versierter Akteur übernimmt über 600 FortiGate-Geräte mit DeepSeek und Claude Code
Laut Amazon kompromittiert ein Akteur mit geringen bis mittleren Fähigkeiten zwischen dem 11. Januar und 18. Februar 2026 über 600 FortiGate-Geräte in mehr als 55 Ländern, nicht über eine Schwachstelle, sondern über exponierte Verwaltungsoberflächen mit schwachen Zugangsdaten ohne zweiten Faktor. Mindestens zwei kommerzielle Sprachmodelle liefern ihm Pläne, Aufklärungswerkzeuge und Strategien zur Seitwärtsbewegung; sobald er mehr als die einfachsten automatisierten Wege versucht, scheitert er weitgehend. Eine zweite Analyse derselben Infrastruktur zeigt DeepSeek als Planer, einen eigenen MCP-Server namens ARXON und eine Einstellungsdatei, die Claude Code erlaubt, unter anderem Impacket (Werkzeugsammlung für Angriffe auf Windows-Netzprotokolle) und Metasploit (verbreitetes Angriffswerkzeug mit fertigen Exploits) ohne Rückfrage auszuführen.
Iranische Gruppe setzt Hintertür mit KI-Spuren in Nahost ein (Olalampo, MuddyWater)
Group-IB fand in der Rust-Hintertür CHAR der iranischen Gruppe MuddyWater Debug-Zeichenketten mit Emojis, ein Artefakt, das in menschlich verfasstem Code selten vorkommt, dazu eine Tarnwebsite auf dem Steuerserver, die Group-IB mit hoher Wahrscheinlichkeit für KI-generiert hält; Ziele sind Regierung, Telekommunikation, Energie und kritische Infrastruktur im Nahen Osten und Nordafrika. Unit 42 analysierte dasselbe Programm unabhängig als LampoRAT, das als Kaspersky-Prozess getarnt gegen ein Unternehmen für Meerestechnik und Energieanlagen im Nahen Osten eingesetzt wurde, und wertet den KI-Einsatz als aufkommende, noch nicht standardisierte Praxis der Gruppe. Ctrl-Alt-Intel barg zwei Wochen später von einem Server desselben Akteurs die zugehörigen Steuerserver-Komponenten und fand in der Ausgabe des selbstgebauten Steuerservers KeyC2 ebenfalls Emojis, die es als Hinweis auf KI-gestützte Entwicklung wertet.
Akteur späht mit Gemini Konten aus und greift sie per Phishing an (UNC6418)
Googles Threat Intelligence Group (GTIG) beobachtete, wie der nicht zugeordnete Akteur UNC6418 Gemini für gezielte Aufklärung missbrauchte und dabei nach sensiblen Zugangsdaten und E-Mail-Adressen von Konten suchte. Kurz darauf griff er alle diese Konten in einer Phishing-Kampagne an, die sich auf die Ukraine und den Verteidigungssektor richtete. Google sperrte die Ressourcen des Akteurs, die mit dieser Aktivität zusammenhingen.
Mutmaßlich KI-erzeugtes Skript nutzt React2Shell aus und schürft Monero auf 91 Rechnern
Darktrace findet in seinem Honeypot-Netz CloudyPots ein Python-Werkzeug, das ein Angreifer über einen Docker-Daemon ablegte, den Darktrace absichtlich ohne Authentifizierung ins Netz gestellt hatte. Das Skript sucht sich selbst Ziele, nutzt die React2Shell-Lücke CVE-2025-55182 aus und installiert den Monero-Miner XMRig; die Statistik des Mining-Pools zeigt 91 Worker, also 91 infizierte Rechner. Darktrace hält das Skript für vollständig KI-erzeugt und stützt das auf die für Schadsoftware untypisch dichte Kommentierung, auf den Kommentar „Educational/Research Purpose Only“ am Anfang des Skripts und auf einen Test mit GPTZero (Werkzeug, das maschinell erzeugten Text erkennen soll).
Linux-Framework trifft Technologiefirmen, Version 2.0 mit TRAE SOLO geschrieben (VoidLink)
Nach Cisco Talos hat das Linux-Framework VoidLink seit September 2025 mehrere Opfer getroffen, vor allem in der Technologiebranche, dazu Finanzdienstleister; der Akteur UAT-9921 dringt mit vorab beschafften Zugangsdaten oder über Java-Deserialisierungslücken in Server ein und installiert dort VoidLink. Check Point Research hatte zuvor aus Unterlagen auf einem offen erreichbaren Server rekonstruiert, dass ein Einzelner das Framework ab Ende November 2025 fast vollständig mit TRAE SOLO, dem KI-Assistenten der Programmierumgebung TRAE, schreiben ließ und nach einer Woche über 88.000 Zeilen lauffähigen Codes hatte; Elastic fand im Quelltext der Rootkit-Komponenten ebenfalls Spuren eines Sprachmodells. Beim Angriff selbst nutzt UAT-9921 nach Talos offenbar keine KI-Werkzeuge.
Angreifer wird mit mutmaßlich KI-geschriebenem Code in acht Minuten AWS-Administrator
Ein Angreifer steigt mit Zugangsdaten aus offen erreichbaren S3-Buckets in eine AWS-Umgebung ein, schiebt Code in eine Lambda-Funktion (AWS-Dienst, der hinterlegten Code auf Zuruf ausführt) mit Administratorrolle und bewegt sich über 19 Identitäten weiter, acht Minuten vom Erstzugriff bis zu Administratorrechten, um danach die Modelle des Opfers in Amazon Bedrock (dem AWS-Dienst für den Zugriff auf Sprachmodelle) zu missbrauchen. Ein Skript, das er im Opferkonto ablegt, soll von GitHub ein Anthropic-Repository namens training-scripts klonen, das es nicht gibt. Laut Sysdig spricht das dafür, dass der Code von einem Sprachmodell stammt, das den Namen halluziniert hatte.
Teils KI-geschriebener Wiper trifft Fertigungsfirma bei Angriffswelle in Polen (LazyWiper)
Am 29. Dezember 2025 greift ein Angreifer in einer koordinierten Aktion mehr als 30 Wind- und Photovoltaikparks in Polen an, zerstört an den Netzanschlusspunkten RTUs (Remote Terminal Units) und Regler und kappt so die Verbindung zum Verteilnetzbetreiber; parallel trifft es ein Heizkraftwerk und ein Fertigungsunternehmen; laut CERT Polska und CISA lief die Stromproduktion weiter und die Wärmeversorgung wurde nicht unterbrochen. Der Angriff auf das Fertigungsunternehmen war opportunistisch. Im Fertigungsunternehmen läuft LazyWiper, ein PowerShell-Skript, bei dem eine Funktion nach Einschätzung von CERT Polska von einem Sprachmodell stammt; weil das Skript größtenteils maschinell erzeugt ist, taugt es nach CERT Polska nicht zur Zuschreibung; die Infrastruktur überschneidet sich allerdings mit dem Cluster Static Tundra.
Implantat mit LLM-Spuren zielt mutmaßlich auf NGOs, die Irans Proteste belegen (SloppyMIO)
Die von HarfangLab beschriebene Kampagne richtet sich vermutlich gegen NGOs und Einzelpersonen, die Menschenrechtsverletzungen während der iranischen Proteste dokumentieren. Das C#-Implantat exfiltriert Dateien, lädt Module nach, versteckt seine Konfiguration in Bildern und nutzt GitHub-Gists, Google Drive und die Telegram-Bot-API; mehrere LLM-Artefakte blieben im Code stehen, darunter ein Kommentar, der den Stager als „ULTRA-RELIABLE & STEALTHY VBSCRIPT STAGER (Final Production Version)“ anpreist.
Mutmaßlich vietnamesischer Akteur lockt mit Stellenangeboten, Loader wohl von KI (PureRAT)
Ein Akteur, den Symantec in Vietnam verortet, verschickt Phishingmails mit angeblichen Stellenangeboten; Archive auf Dropbox laden per DLL-Sideloading Batch- und Python-Skripte, die PureRAT oder ein HVNC-Werkzeug (Fernzugriff über einen unsichtbaren zweiten Desktop) installieren. Mehrere dieser Skripte hat nach Symantec sehr wahrscheinlich eine KI geschrieben: Fast jeder Schritt ist ausführlich auf Vietnamesisch kommentiert, dazwischen stehen Emojis, und ein Python-Loader enthält noch die Notiz, hier den HVNC-Shellcode einzufügen.
Pakistanische Gruppe baut mit Sprachmodellen täglich Implantate gegen Indien (APT36)
Die pakistanische Gruppe APT36 erzeugt mit Sprachmodellen täglich neue Wegwerf-Implantate in Nim, Zig und Crystal für Angriffe auf die indische Regierung und diplomatische Vertretungen; Metadaten von Code-Editoren mit KI-Integration und Unicode-Emojis in den Binärdateien deuten auf einen maschinellen Ursprung hin. Bitdefender beschreibt das Muster so: Die Masse täglich neuer Varianten soll die Erkennung überfordern; die Proben selbst nennt Bitdefender aber generisch, inkonsistent und fehleranfällig, und ein Stealer konnte wegen eines Platzhalters statt der C2-Adresse nie Daten abziehen. Zwei dieser Implantate, die Hintertüren SheetCreep und MailCreep, hatte Zscaler schon im Januar 2026 dokumentiert und die Emojis in der Fehlerbehandlung von SheetCreep als starken Hinweis auf KI-Hilfe bei der Entwicklung gewertet.
Nordkoreanische Gruppe greift Blockchain-Entwickler mit KI-Spuren im Schadcode an (KONNI)
Die nordkoreanische Gruppe KONNI greift Entwickler- und Engineering-Teams mit Blockchain-Bezug an; Uploads auf VirusTotal aus Japan, Australien und Indien deuten auf eine Ausweitung über Südkorea hinaus. Die Angriffskette läuft über ein ZIP mit Köder-PDF und LNK-Verknüpfung, einen PowerShell-Loader und eine Hintertür mit UAC-Umgehung und getarnter OneDrive-Persistenz bis zur Fernwartungssoftware SimpleHelp; KI-Indiz ist neben der ausführlichen Dokumentation am Dateianfang ein stehengebliebener Platzhalterkommentar für die Projekt-UUID.
Wohl KI-generiertes Skript zielt bei gemeinnütziger Organisation auf Veeam-Zugangsdaten
Bei einer gemeinnützigen Organisation erkundete ein Angreifer das Netz, bewegte sich per WinRM seitwärts und versuchte dann, ein PowerShell-Skript zu starten, das Huntress als KI-generiert einstuft: Es sollte die Zugangsdaten aus der Datenbank der Backup-Software Veeam auslesen und entschlüsseln. Das Skript lief nicht, und die Verteidiger beendeten den Angriff.
2025
Agentenmodell ROME baut im Training einen Reverse-SSH-Tunnel und schürft auf GPUs
Beim Training des Agentenmodells ROME meldet die Firewall von Alibaba Cloud Richtlinienverstöße, die von den eigenen Trainingsservern ausgehen: Versuche, interne Netzressourcen abzutasten oder auf sie zuzugreifen, und Verkehrsmuster, die zu Mining-Aktivität passen. Das Team hält das zuerst für eine Fehlkonfiguration oder einen Einbruch von außen; die Verstöße wiederholen sich aber über mehrere Trainingsläufe, und der Abgleich der Firewall-Zeitstempel mit der eigenen Systemtelemetrie und den Protokollen des Reinforcement Learning zeigt, dass der Verkehr jedes Mal mit Episoden zusammenfällt, in denen der Agent Werkzeuge aufruft und Code ausführt. Im auffälligsten Fall legt er einen Reverse-SSH-Tunnel von einer Alibaba-Cloud-Instanz zu einer externen Adresse an und nutzt ihn, einen von innen aufgebauten Fernzugang, der nach dem Paper die Eingangsfilterung aushebeln und die Aufsicht untergraben kann; daneben beobachtet das Team, wie er bereitgestellte GPU-Kapazität unbefugt für Mining zweckentfremdet und damit Rechenzeit vom Training abzieht. Beides liegt außerhalb der vorgesehenen Sandbox, keine Aufgabenstellung hatte es verlangt, und das Paper nennt es instrumentelle Nebenwirkungen autonomer Werkzeugnutzung bei der Optimierung durch Reinforcement Learning.
Schüler soll mit ChatGPT 7,25 Millionen Datensätze von Kaikatsu CLUB gestohlen haben
Zwischen dem 18. und 20. Januar 2025 stiehlt ein Schüler rund 7,25 Millionen Mitgliederdatensätze der japanischen Internetcafé-Kette Kaikatsu CLUB und kommentiert die Angriffe live auf Discord. Nach Angaben der Tokioter Polizei schrieb er das Scraping-Programm selbst, verbesserte es mit ChatGPT und fragte das Modell, wie sich die Schutzmaßnahmen des angegriffenen Systems umgehen lassen und wie auf Fehlermeldungen zu reagieren sei; im Dezember 2025 wurde der 17-Jährige erneut festgenommen.
Südkoreanische VPN-Website verteilt mutmaßlich KI-geschriebene Hintertür (NKNShell)
Auf der Website eines südkoreanischen VPN-Anbieters lag nach AhnLab ASEC im November 2025 ein manipuliertes Archiv, das neben dem echten VPN-Client über mehrere PowerShell-Skripte die bisher unbekannte Hintertür NKNShell und zwei weitere Werkzeuge für den Fernzugriff einrichtete, mit denen der Operator den Rechner steuern kann. ASEC vermutet, dass NKNShell und die Skripte mit generativer KI geschrieben wurden. Den Angriff ordnet ASEC dem Akteur Larva-24010 zu, der es seit mindestens 2023 auf südkoreanische VPN-Anbieter abgesehen hat.
Claude Code erledigt den Großteil einer China zugeschriebenen Kampagne (GTG-1002)
Claude Code läuft als Orchestrator mit Subagenten über MCP gegen rund 30 Ziele aus Technologie, Finanzwesen, Chemie und Regierung und führt 80 bis 90 Prozent der Kampagne selbst aus; Menschen greifen nur an vier bis sechs Entscheidungspunkten ein. Den Jailbreak erreicht der Akteur, indem er sich im Rollenspiel als beauftragtes Pentest-Unternehmen ausgibt und die Arbeit in harmlos wirkende Teilaufgaben zerlegt; Anthropic ordnet den Akteur hinter der Kampagne mit hoher Wahrscheinlichkeit China zu und räumt ein, Claude habe gelegentlich Zugangsdaten halluziniert oder öffentlich verfügbare Informationen als Geheimnis ausgegeben.
Angreifer leert Balancer-V2-Pools mit mutmaßlich teils KI-geschriebenem Smart Contract
Am 3. November 2025 leerte ein Angreifer Pools von Balancer V2 auf mehreren Blockchains und erbeutete nach Halborn mehr als 120 Millionen Dollar; auch Projekte, die auf Balancer aufbauen, verloren Geld. Den Smart Contract des Angriffs hält Halborn für teilweise per Vibe Coding geschrieben, also aus einem Sprachmodell übernommen. Er enthielt console.log-Anweisungen, wie sie KI-Modelle oft einfügen; Entwickler entfernen sie vor dem Einsatz meist, weil sie der Fehlersuche dienen und Transaktionsgebühren kosten.
Nordkoreaner greifen Kryptofirmen mit KI-gestütztem Stealer an (GhostCall, BlueNoroff)
Die nordkoreanische Gruppe BlueNoroff betreibt die Kampagnen GhostCall und GhostHire gegen Web3- und Kryptounternehmen in Indien, der Türkei, Australien und weiteren Ländern, GhostCall seit mindestens Mitte 2023. Als Beleg für den KI-Einsatz führt Kaspersky Kommentare mit Häkchen-Emoji im Stealer SilentSiphon an; die Profilbilder der angeblichen Teilnehmer gefälschter Zoom-Konferenzen tragen zudem C2PA-Metadaten (Herkunftsangaben, die Bildwerkzeuge in die Datei schreiben), die auf Bearbeitung mit GPT-4o deuten.
Phishing gegen Beazley Security über mutmaßlich KI-gebautes Panel (Quantum Redirector)
Eine Phishingmail an Beazley Security, die Mitarbeiter dem eigenen Sicherheitsteam meldeten, führte über einen Quantum Redirector, ein Weiterleitungspanel, das Bots und Forscher auf harmlose Seiten schickt und echte Menschen über eine verschleierte Zwischenseite auf ein Phishingkit. Beazley Security Labs hält Panel und Verschleierung für wahrscheinlich KI-erzeugt, unter anderem wegen des Namens Quantum und einzelner Programmierfehler im Code. Beazley fand mehrere Hundert weitere Quantum Redirectors, deren Zielseiten fast alle E-Mail-Dienste nachahmten, und arbeitet mit Strafverfolgungsbehörden daran, die Redirectors abzuschalten.
Teils KI-geschriebener Bankentrojaner verbreitet sich per WhatsApp in Brasilien (Maverick)
Über WhatsApp verteilt eine Massenkampagne in Brasilien den neuen Bankentrojaner Maverick, der auf infizierten Rechnern das Messenger-Konto des Opfers kapert, sich an dessen Kontakte weiterschickt und auf den Websites von 26 brasilianischen Geldinstituten Zugangsdaten abgreifen soll. Kaspersky blockierte allein in den ersten zehn Oktobertagen 62.000 Infektionsversuche und schreibt, Maverick habe bereits viele Menschen in Brasilien befallen. Nach Kaspersky entstand der Code mit KI, besonders die Routine, die das Zertifikat für den C2-Kanal entschlüsselt; Trend Micro, das die Kampagne Water Saci nennt, fand im Dezember 2025 Indizien dafür, dass die Angreifer ihr Verbreitungsskript mit einem Sprachmodell von PowerShell nach Python übertragen ließen.
China-nahe Gruppe nutzt ChatGPT für Spearphishing in fünf Sprachen (GOVERSHELL, UTA0388)
Eine China-nahe Gruppe erzeugt mit Sprachmodellen mehrsprachige Spearphishing-Kampagnen auf Englisch, Mandarin, Japanisch, Französisch und Deutsch samt frei erfundener Absender-Organisationen und entwickelt die GOVERSHELL-Hintertür in fünf Varianten; betroffen sind Volexity-Kunden in Nordamerika, Asien und Europa. Volexity leitete den KI-Einsatz unabhängig aus eigenen Indizien ab; einen Tag vor der Veröffentlichung von Volexity hatte OpenAI in einem eigenen Bericht bestätigt, dass die Gruppe ChatGPT einsetzte.
Mutmaßlich KI-erzeugter Stealer trifft ukrainische Behörden (WRECKSTEEL, UAC-0219)
CERT-UA dokumentierte im März 2025 Angriffe auf ukrainische Behörden und kritische Infrastruktur, bei denen ein PowerShell-Stealer Dokumente und Bildschirmfotos abzog. In ihrem Halbjahresbericht vom Oktober 2025 schreibt die ukrainische Behörde für Sonderkommunikation und Informationsschutz (SSSCIP), zu der CERT-UA gehört, es gebe Gründe für die Annahme, dass die PowerShell-Skripte von WRECKSTEEL mit KI erzeugt wurden. Allgemein seien mehrere untersuchte Schadprogramme erkennbar KI-generiert, und die Behörde rechnet damit, dass die Angreifer den KI-Einsatz weiter ausbauen.
Mutmaßlich KI-verschleierter SVG-Anhang in Phishingmails an US-Organisationen
Über das kompromittierte E-Mail-Konto eines Kleinunternehmens verschickte eine nach Microsoft begrenzte Phishingkampagne am 18. August 2025 vor allem an US-Organisationen einen als PDF getarnten SVG-Anhang, der Zugangsdaten abgreifen sollte; Microsoft Defender for Office 365 erkannte und blockierte sie. Die Datei versteckt ihre Funktion in einer Folge von Geschäftsbegriffen, die eingebettetes JavaScript zu Code zurückverwandelt, der den Browser auf die Phishingseite umleitet. Microsofts KI-Werkzeug Security Copilot hielt den Code für sehr wahrscheinlich maschinell erzeugt, vermutlich von einem Sprachmodell.
Wurm mit mutmaßlich LLM-generierter Nutzlast befällt hunderte npm-Pakete (Shai-Hulud)
Wiz nennt Shai-Hulud den ersten erfolgreichen selbstreplizierenden Angriff im npm-Ökosystem; der Wurm kompromittiert hunderte Pakete, darunter @ctrl/tinycolor mit Millionen wöchentlicher Downloads. Wiz hält am 17. September fest, eine der Nutzlasten wirke maschinell erzeugt, während eine zweite Variante das Stilmuster nicht teilt; Unit 42 hält das Bash-Skript anhand von Kommentaren und Emojis für wahrscheinlich LLM-generiert. Wiz sieht die Kampagne als direkte Folge der s1ngularity/Nx-Kompromittierung Ende August 2025, über die zunächst GitHub- und dann npm-Token gestohlen wurden.
Mutmaßlich KI-geschriebene Loader infizieren Hotelrezeptionen (RevengeHotels, TA558)
RevengeHotels greift Hotelrezeptionen an, in der Kampagne von 2025 mit Schwerpunkt Brasilien und spanischsprachigen Ködern; unter den früheren, spanischsprachigen Opfern nennt Kaspersky Argentinien, Bolivien, Chile, Costa Rica, Mexiko und Spanien, ältere Berichte zudem Russland, Belarus und die Türkei, wo die aktuelle Kampagne aber keine Aktivität zeigt. Kaspersky hält die JavaScript-Loader und PowerShell-Downloader für maschinell erzeugt: Kommentare zu fast jeder Aktion, stehengebliebene Platzhalter, keinerlei Verschleierung; ausgeliefert wird VenomRAT.
Angreifer installiert Sicherheitssoftware auf seinem Rechner und verrät seine KI-Nutzung
Ein Angreifer installiert am 9. Juli 2025 eine Testversion von Huntress auf seinem eigenen Arbeitsrechner und legt damit seinen Browserverlauf vom 29. Mai bis 9. Juli offen: eine Automatisierungsplattform mit Telegram-Bots für Phishingabläufe, Suchen nach kostenlosen KI-Diensten ohne Anmeldung, der Einsatz mehrerer Textgeneratoren zur Aufbereitung von Daten und das Aufspüren fremder Evilginx-Instanzen (Werkzeug, das Anmeldeseiten spiegelt und Sitzungscookies mitschneidet). Huntress verknüpft die Infrastruktur mit Zugriffen auf über 2.471 Identitäten in zwei Wochen.
Einzeltäter erpresst mit Claude Code mindestens 17 Organisationen (GTG-2002)
Ein einzelner Krimineller erpresst mindestens 17 Organisationen aus Gesundheitswesen, Rettungsdiensten, Behörden und Religionsgemeinschaften. Claude Code übernimmt Aufklärung, das Abgreifen von Zugangsdaten und den Netzeinbruch, wählt aus, welche Daten abfließen, berechnet aus den erbeuteten Finanzdaten die Lösegeldhöhe und formuliert die Erpressungsnachricht so, dass sie gezielt die Druckpunkte des jeweiligen Opfers trifft; statt Verschlüsselung droht der Kriminelle mit Veröffentlichung, Forderungen teils über 500.000 Dollar.
Mutmaßlich chinesischer Akteur greift mit Claude vietnamesische Telekomfirmen an
Anthropic beschreibt einen Akteur, dessen Vorgehen, Sprache und Zielauswahl zu chinesischen APT-Operationen passen und der Claude in einer neunmonatigen Kampagne gegen kritische Infrastruktur in Vietnam als Berater und Programmierer in 12 von 14 Taktiken aus MITRE ATT&CK einsetzte. Mit Claude entwickelte er unter anderem Exploit-Frameworks für WordPress und Code zur Rechteausweitung über Lücken im Linux-Kernel. Nach Anthropics Darstellung hat er offenbar große vietnamesische Telekommunikationsanbieter, Regierungsdatenbanken und Systeme zur Verwaltung der Landwirtschaft kompromittiert.
Mutmaßlich KI-geschriebene Apps schleusen eine Hintertür ein (JustAskJacky, TamperedChef)
Nach G DATA werden auf professionell wirkenden Websites kostenlose Programme angeboten, die tun, was sie versprechen, und zugleich eine Hintertür enthalten: die Ratgeber-App JustAskJacky, die sich per geplanter Aufgabe mehrmals täglich startet und Befehle ihres Steuerservers abarbeitet, und eine Rezept-App namens TamperedChef, die in Leerzeichen und Tabulatoren der Rezepte versteckte Befehle ausführt. Für TamperedChef sieht G DATA deutliche Hinweise darauf, dass ein Sprachmodell den Code schrieb, der sauber gegliedert und ausführlich kommentiert ist, bis hin zu Erläuterungen, die den Einsatz von Steganografie offenlegen. Trend Micro führt beide Apps unter dem Namen EvilAI, hält auch JustAskJacky für KI-geschrieben und registrierte in der Woche ab dem 29. August 2025 die meisten Treffer in Indien, den USA und Frankreich.
npm-Paket leert Krypto-Wallets, Code mutmaßlich von Claude (@kodane/patch-manager)
Safety fand im npm-Paket @kodane/patch-manager, das sich als Cache-Verwaltung für die npm-Registry ausgab, einen Wallet-Drainer, der sich nach der Installation als dauerhafter Hintergrundprozess einrichtet und das Guthaben gefundener Wallets der Blockchain Solana an eine fest eingetragene Adresse überweist. Der Autor veröffentlichte ab dem 28. Juli 2025 binnen zwei Tagen 19 Versionen; bis npm das Paket am 30. Juli sperrte, wurde es mehr als 1.500 Mal heruntergeladen, und auf dem offen zugänglichen Steuerserver sah Safety zwei kompromittierte Rechner. Nach Safety scheint das Paket von Claude geschrieben zu sein, erkennbar unter anderem an Emojis im Quellcode, ausführlichen Kommentaren und dem Namenszusatz „Enhanced“.
Mutmaßlich KI-gestützte Schadsoftware versteckt Rootkit in Pandabildern (Koske)
Koske steigt über eine fehlkonfigurierte JupyterLab-Instanz (Notebook-Umgebung für Python) ein und liefert zwei Pandabilder als Polyglot-JPEGs (Dateien, die zugleich gültiges Bild und ausführbarer Code sind), aus denen zwei Komponenten hervorgehen: ein im Speicher kompiliertes Rootkit und ein Shellskript, das sich über Cron und Systemd festsetzt, die DNS-Einstellungen überschreibt und die iptables-Regeln leert. Die Miner von Koske unterstützen 18 Kryptowährungen; die Auswahl richtet sich nach der Hardware. Aqua sieht in den ausführlichen Kommentaren, der Modularität und der Anpassungsfähigkeit klare Zeichen KI-gestützter Entwicklung.
Schadsoftware holt sich ihre Befehle zur Laufzeit von Qwen2.5-Coder (LAMEHUG, APT28)
CERT-UA meldet eine Schadsoftware gegen den ukrainischen Sicherheits- und Verteidigungssektor, die zur Laufzeit ein Sprachmodell abfragt, Qwen2.5-Coder-32B über die Hugging-Face-API, um aus Textbeschreibungen Windows-Befehle für Aufklärung und Dokumentendiebstahl zu erzeugen und sofort auszuführen. Die Schadsoftware ruft das Modell selbst auf, statt die Befehle fest im Code zu hinterlegen.
KI-Chatbots helfen Affiliates bei Verhandlungen mit Opfern (GLOBAL GROUP)
GLOBAL GROUP, gestartet am 2. Juni 2025 von dem Akteur hinter Mamona, listet binnen sechs Wochen 17 Opfer in den USA, Großbritannien, Australien und Brasilien aus Gesundheitswesen, Industrie und Dienstleistung. Das Verhandlungsportal setzt KI-Chatbots ein, damit nicht englischsprachige Affiliates die Gespräche mit den Opfern selbst führen können; EclecticIQ sichtete ein Transkript mit einer Forderung von einer Million Dollar, rund 9,5 Bitcoin, binnen 48 Stunden.
Gefälschtes Spieleprogramm verteilt mit ChatGPT entwickelte Schadsoftware (ScopeCreep)
Ein offenbar russischsprachiger Akteur entwickelte nach OpenAI mit ChatGPT schrittweise eine mehrstufige Windows-Schadsoftware in Go und ließ sich beim Aufbau seines Steuerservers helfen. Verteilt wurde ScopeCreep über ein öffentliches Repository, das sich als Crosshair-X ausgab, ein beliebtes Programm, das in Videospielen ein eigenes Fadenkreuz einblendet; wer die Fälschung startete, holte weitere schädliche Dateien vom Server des Angreifers, die im Browser gespeicherte Zugangsdaten, Zugangstoken und Cookies abgreifen und an ihn schicken sollen. OpenAI sperrte die Konten, und der Code-Hoster nahm die Fälschung vom Netz.
Angreifer lädt über ungeschütztes Open WebUI ein mutmaßlich KI-erzeugtes Miner-Skript hoch
Bei einem Sysdig-Kunden steht ein Trainingssystem mit Open WebUI (Weboberfläche für den Betrieb von Sprachmodellen) ohne Authentifizierung und mit Administratorrechten im Netz. Ein Angreifer lädt darüber ein Python-Skript mit 64 übereinanderliegenden Verschleierungsschichten hoch, das die Kryptominer T-Rex und XMRig nachlädt; ein Erkennungswerkzeug hält die Nutzlast mit einer Wahrscheinlichkeit von 85 bis 90 Prozent für KI-erzeugt oder stark KI-unterstützt.
Chinesischer Student belästigt Kommilitonen per SMS mit KI-geschriebenem Programm
Laut dem Netzsicherheitsbüro des chinesischen Ministeriums für Öffentliche Sicherheit drang ein Student namens Hu in ein System seiner Hochschule ein und erbeutete mehr als 20.000 Datensätze seiner Kommilitonen. Über eine zuvor entdeckte Schwachstelle in einem Mini-Programm (einer Anwendung, die innerhalb einer größeren App läuft) registrierte er mit einem von KI geschriebenen Programm massenhaft Konten auf die erbeuteten Telefonnummern und ersetzte die SMS-Bestätigungscodes durch obszöne Inhalte, die an die Betroffenen gingen. Hu hat die illegale Beschaffung von Daten aus Computersystemen gestanden.
Täter baut mit ChatGPT Stealer, Steuerserver und Phishingseiten (EncryptHub, LARVA-208)
Ein fehlkonfiguriertes Verzeichnis auf dem Steuerserver von EncryptHub gab Konfigurationsdateien und den Telegram-Bot preis, und am Ende lagen Outpost24 sogar die ChatGPT-Konversationen des Täters vor: Damit baut er Clipper (Schadsoftware, die kopierte Wallet-Adressen in der Zwischenablage austauscht) und Cookie-Stealer, Telegram-Bots, Steuerserver, Phishingseiten, Mailserver und Onion-Dienste, lässt Verhandlungen übersetzen und die Forenanzeigen texten, mit denen er am 11. März 2025 zwei Exploits zum Verkauf stellt. Prodaft zählt für dieselbe Gruppe mindestens 618 kompromittierte Organisationen seit Juni 2024.
Operator lässt ChatGPT mitten im Einbruch eine Tarnnachricht schreiben (Black Basta)
In den geleakten internen Chats der Erpressergruppe Black Basta findet GuidePoint Security ein Beispiel vom 21. Februar 2024: Der Operator nn berichtet, die Person am Rechner habe gemerkt, dass etwas nicht stimmt, als der Operator sich auf das Gerät schaltete, und sei in Panik geraten; er habe daraufhin schnell von ChatGPT eine glaubwürdige Tarnnachricht aufsetzen lassen, die den Zugriff als Untersuchung des Domänencontrollers durch einen Techniker ausgibt. GuidePoint hält es für wahrscheinlich, dass der Akteur damit der Person, die den Einbruch bemerkte, eine sauber formulierte Nachricht vorzeigen konnte, und für möglich, dass die Nachricht die erste Reaktion dieser Person beruhigte und der Einbruch weiterging.
Ransomware-Gruppe zerstört Daten mit mutmaßlich LLM-erzeugtem PowerShell-Skript (APT INC)
Die auf große Opfer ausgerichtete Ransomware-Gruppe APT INC zerstörte nach CrowdStrike mit einem ungewöhnlichen PowerShell-Skript Daten auf einem physischen Rechner. Wegen des Kommentarformats, der Ähnlichkeit mit Ergebnissen anderer LLMs und fehlender öffentlicher Vorlagen hält CrowdStrike es für wahrscheinlich, dass ein Sprachmodell den Code erzeugt hat.
Schüler kapern Rakuten-Konten mit ChatGPT-gestütztem Programm für Mobilfunkverträge
Die Tokioter Polizei hat drei Schüler im Alter von 14 bis 16 Jahren festgenommen, die sich mit einem selbst geschriebenen Programm und gekauften Zugangsdaten automatisch bei Rakuten Mobile angemeldet und dort Mobilfunkverträge abgeschlossen haben sollen; vorgeworfen werden ihnen 105 Anschlüsse auf elf fremde Konten zwischen Mai und August 2024. Beim Schreiben des Programms nutzten sie nach der Zeitung Yomiuri ChatGPT, um effizienter zu arbeiten und die Verarbeitung zu beschleunigen. Einer der Schüler sagte aus, seit Dezember 2023 mehr als 1.000 Verträge abgeschlossen zu haben, deren Anschlüsse über Telegram verkauft wurden; den Erlös schätzt die Polizei auf rund 7,5 Millionen Yen in Kryptowährung.
Polizei in Jamtara fasst Syndikat, das mit ChatGPT Android-Schadsoftware baut (DK Boss)
Die Cyberpolizei von Jamtara nimmt sechs Männer eines Syndikats fest, das unter dem Namen DK Boss schädliche Android-Apps baut, die sich als Antrags-Apps für staatliche Förderprogramme und als Bank-Apps ausgeben, SMS und Anrufe an eine zentrale Steuerungsoberfläche umleiten und für 20.000 bis 25.000 Rupien an andere Banden verkauft werden. Sichergestellt wurden Daten von rund 2.700 Opfern mit über 270.000 abgefangenen Nachrichten; Punkt 13 der Pressemitteilung hält fest, die Gruppe habe ChatGPT für die Entwicklung der Schadsoftware genutzt.
Mutmaßlich KI-erstellte HTML-Dateien schmuggeln Remote-Access-Trojaner ein (XWorm)
HP Sure Click stoppte im dritten Quartal 2024 eine Kampagne, die den Remote-Access-Trojaner XWorm per HTML-Smuggling verteilte (die Schadsoftware steckt kodiert in der HTML-Datei selbst); im Browser geöffnet, lädt die Datei im Hintergrund eine ausführbare Datei herunter, die im Explorer wie eine Verknüpfung aussieht, tatsächlich aber ein kompiliertes AutoIt-Skript ist und XWorm erst in den Speicher lädt, wenn der Nutzer sie von Hand startet. Die HTML-Dateien tragen nach HP Merkmale einer Erstellung mit generativer KI, nämlich Kommentare selbst zu einfachen Anweisungen und ein Seitendesign, das fast genau der Ausgabe von ChatGPT 4o auf die Bitte um eine Download-Seite gleicht.
Ransomware-Gruppe nennt über 85 Opfer und schreibt ihren Code mit KI-Hilfe (FunkSec)
FunkSec veröffentlicht im Dezember 2024 über 85 angebliche Opfer, mehr als jede andere Ransomware-Gruppe in diesem Monat. Die öffentlichen Skripte eines unerfahrenen algerischen Autors tragen ausführliche Kommentare in perfektem Englisch, die Check Point für LLM-erzeugt hält; ähnliche Muster zeigt das Verschlüsselungsprogramm in Rust, und in eigenen Mitteilungen führt die Gruppe die Entwicklung ihrer Ransomware selbst auf KI-Assistenten zurück.
2024
TradingView-Köderskript aus ChatGPT-Entwürfen führt zum Remote-Access-Trojaner NetSupport
Ein Schadskript, das zum Einschalten eines Entwicklermodus für TradingView („Enable dev-mode for TradingView“) aufforderte und Nutzer drängte, Terminalbefehle auszuführen, die am Ende Schadsoftware installieren, kopierten nach Gen ahnungslose Nutzer von seriösen Plattformen, auf denen Nutzer Inhalte teilen; die Angriffskette führt zum Remote-Access-Trojaner NetSupport. Über die Zwischenablage-Prüfung von Norton, Avast und AVG verfolgte Gen die Entstehung des Skripts in drei Stufen; die ersten beiden Versionen waren nach Gen eindeutig Entwürfe aus ChatGPT, die Angreifer dann zur Endfassung verfeinerten.
Acht mögliche KI-Agenten unter acht Millionen Zugriffen auf einen SSH-Honeypot
Reworr und Dmitrii Volkov von Palisade Research betreiben einen SSH-Honeypot im offenen Internet, dessen Begrüßungsbanner, Befehlsausgaben und Systemdateien Prompt-Injections enthalten. Wer auf die untergeschobene Anweisung eingeht, zählt als möglicher KI-Agent; ob wirklich ein Modell antwortete, prüfen die Autoren zusätzlich über die Antwortzeit, weil ihre eigenen Testagenten meist binnen 1,7 Sekunden reagierten. In rund drei Monaten zählen sie 8.130.731 Interaktionsversuche und darunter acht mögliche KI-Agenten.
Spearphishing gegen OpenAI-Mitarbeiter, ChatGPT zur Aufklärung (SugarGh0st, SweetSpecter)
OpenAI erhielt im Mai 2024 von einer glaubwürdigen Quelle den Hinweis, dass der mutmaßlich chinesische Akteur SweetSpecter Spearphishing-Mails an dienstliche und private Adressen einzelner Mitarbeiter schickte: Der Absender gab sich als ratsuchender ChatGPT-Nutzer aus, und im Anhang mit dem Namen some problems.zip steckte eine LNK-Verknüpfung, die beim Öffnen ein Dokument mit angeblichen Fehler- und Dienstmeldungen von ChatGPT zeigt und im Hintergrund den Remote-Access-Trojaner SugarGh0st entschlüsselt und ausführt; die Mails erreichten die dienstlichen Postfächer nach OpenAIs Darstellung nie. Der Angriff blieb erfolglos. Über dieselbe Infrastruktur wurden ChatGPT-Konten für Aufklärung, Schwachstellenrecherche und Skriptbau genutzt, etwa zu verwundbaren Log4j-Versionen und zum Hochladen einer Webshell mit sqlmap (Werkzeug, das SQL-Injection automatisch ausnutzt).
Mutmaßlich KI-geschriebene Skripte in gefälschter Rechnung laden AsyncRAT nach
Anfang Juni 2024 isolierte HP Sure Click einen als Rechnung getarnten HTML-Anhang einer französischsprachigen E-Mail; die Datei gibt erst nach Eingabe eines Passworts ein mit AES verschlüsseltes Archiv frei. Ein VBScript darin startet eine Kette aus JavaScript und PowerShell, an deren Ende der Remote-Access-Trojaner AsyncRAT läuft. Weil VBScript und JavaScript unverschleiert und Zeile für Zeile kommentiert sind und Aufbau sowie Funktions- und Variablennamen dazu passen, hält HP es für sehr wahrscheinlich, dass der Angreifer sie mit Hilfe generativer KI schrieb.
Angreifer schleusen mutmaßlich KI-generierten Schadcode in WordPress.org-Plugins ein
Über fünf Entwicklerkonten bei WordPress.org, deren Passwörter aus Datenlecks anderer Dienste stammten, spielten Angreifer im Juni 2024 Schadcode in Plugins wie Social Warfare und Blaze Widget ein; auf Websites, die das Update installierten, legte der Code ein Administratorkonto an und schickte dessen Zugangsdaten an einen Server der Angreifer, und spätere Versionen luden einen Kryptominer und einen Wallet-Drainer nach. Nach Wordfence deuten nicht funktionierende, schlecht überarbeitete Teile und fehlende Wiederverwendung von Code darauf hin, dass KI Teile des Codes erzeugte. Im April 2025 schrieb Wordfence, der Schadcode aus diesem Angriff sei KI-generiert gewesen.
Phishingkampagnen laden Schadsoftware über mutmaßlich LLM-geschriebene Skripte nach
Symantec beobachtete Phishingkampagnen, deren Skripte zum Nachladen von Schadsoftware nach Analyse des Herstellers wohl mit Sprachmodellen erzeugt wurden. In einer Kampagne gegen ein breites Spektrum von Branchen startet eine LNK-Datei aus einem passwortgeschützten ZIP-Anhang ein wahrscheinlich LLM-generiertes PowerShell-Skript; als Endnutzlast lieferte die Kette unter anderem den Rhadamanthys-Stealer und die Hintertür CleanUpLoader. In einer zweiten Kette, getarnt als Personalmitteilung, lädt eine HTML-Datei mit sehr wahrscheinlich LLM-generiertem JavaScript einen Loader für Dunihi (H-Worm) nach.
Mutmaßlich LLM-geschriebener Loader geht an deutsche Organisationen (TA547)
Der Initial Access Broker TA547 liefert im März 2024 per LNK, getarnt als Metro-Rechnung, an dutzende deutsche Organisationen ein PowerShell-Loader-Skript für den Rhadamanthys-Stealer aus. Die grammatikalisch perfekten, auffallend detaillierten Zeilenkommentare hält Proofpoint für typische LLM-Ausgabe; nach Proofpoint ist es die erste beobachtete Kampagne, in der TA547 Rhadamanthys einsetzt.
Mutmaßlich LLM-geschriebene Befehle lesen Entra-ID-Kennungen aus (Scattered Spider)
CrowdStrike beschreibt, wie Scattered Spider im zweiten Halbjahr 2023 bei einem nordamerikanischen Finanzdienstleister über das Azure-AD-PowerShell-Modul sämtliche unveränderlichen Entra-ID-Kennungen der Nutzer herunterlädt; über eine Hintertür in Entra ID kann sich der Akteur anschließend als jeder dieser Nutzer anmelden. Die dafür benutzten PowerShell-Befehle ähneln nach CrowdStrikes Darstellung dem, was große Sprachmodelle wie ChatGPT erzeugen, und das Muster aus einem Kommentar, dem eigentlichen Befehl und einem Zeilenumbruch je Befehl entspricht der Ausgabe des Modells Llama 2 70B.
Angreifer ruft ChatGPT auf, während er Azure-Zugangsdaten abzieht (Indrik Spider)
CrowdStrike Services bearbeitete im Februar 2023 einen Vorfall mit der Gruppe Indrik Spider, an dem die Ransomware LockBit RED von Bitwise Spider beteiligt war und bei dem Indrik Spider Zugangsdaten aus Azure Key Vault abzog, dem Cloud-Speicher für Zugangsdaten. Die Protokolle zeigen, dass der Angreifer während der Arbeit im Azure-Portal ChatGPT aufrief, vermutlich um sich in Azure zurechtzufinden, und daneben Suchmaschinen wie Google und Bing sowie GitHub nutzte, um das Abziehen der Key-Vault-Zugangsdaten zu verstehen. CrowdStrike liest die Suchanfragen und ChatGPT-Aufrufe als Zeichen, dass die Gruppe in der Cloud wahrscheinlich noch ungeübt ist und generative KI nutzt, um diese Wissenslücken zu füllen.
Fünf Staatsakteure aus Russland, Nordkorea, Iran und China nutzen GPT-4 zur Vorarbeit
Microsoft und OpenAI dokumentieren erstmals fünf staatliche Akteure aus Russland, Nordkorea, Iran und China, die GPT-4 nutzen: vier für Recherche zu Zielen oder Technik, alle fünf für Skriptarbeit, drei davon zusätzlich für Phishingtexte, zwei auch für Übersetzung. Belegt ist durchweg Vorarbeit wie Recherche zu Satelliten- und Radartechnik, kein Vorgehen gegen ein Ziel; Microsoft hält fest, keine besonders neuartigen KI-gestützten Angriffstechniken beobachtet zu haben.
2023
Vier Verdächtige optimieren Ransomware mit ChatGPT und erpressen eine Firma in Hangzhou
Ein Unternehmen in Hangzhou meldet am 20. November 2023 verschlüsselte Server; die Täter fordern 20.000 Tether (an den Dollar gekoppelte Kryptowährung). Die Polizei nimmt vier Verdächtige fest, die Qualifikationen in IT-Security und Erfahrung bei großen Internetkonzernen haben und gestehen, die Schadsoftware selbst geschrieben und mit ChatGPT optimiert, nach Schwachstellen gescannt und das Unternehmen erpresst zu haben; die South China Morning Post nennt das den ersten derartigen Fall in China.
Beschuldigter leert Firmenkonten mit einem von ChatGPT geschriebenen Abbuchungsprogramm
Die Provinzpolizei Zhejiang stellt am 24. August 2023 fünf typische Fälle aus ihrer Ermittlungskampagne gegen Cyberkriminalität vor, und der erste ist der früheste Eintrag dieser Liste: Im April 2023 fällt der Netzpolizei Hangzhou auf, dass Zahlungskonten von Unternehmen sich auffällig verhalten. Der in Thailand festgenommene Beschuldigte erlangte über eine Systemschwachstelle die Zahlungsschlüssel, schrieb danach mit ChatGPT ein Abbuchungsprogramm, leerte die Konten in Serie und wusch die Beute über Kryptowährungen; den Einbruch schreibt die Polizei seinem Können zu, das Werkzeug dem Modell.
Einordnung
Die Liste ist nach dem Tag sortiert, an dem ein Fall öffentlich wurde. Der Angriff selbst liegt oft deutlich davor. Black Basta, EncryptHub, BlueNoroff und BREEZE COMET lassen sich auf 2023 und 2024 datieren; ans Licht kamen sie erst Monate bis Jahre später. Black Basta und EncryptHub wurden erst durch Pannen der Täter bekannt: geleakte interne Chats im einen Fall, ein offenes Verzeichnis mit den eigenen ChatGPT-Gesprächen im anderen. Nach der Tatzeit sortiert, wäre die Liste in ihrer Frühphase dichter besetzt.
Angreifer nutzten KI schon lange, bevor es Agenten gab. Im Februar 2023 rief ein Angreifer mitten in einem Einbruch ChatGPT auf; nach CrowdStrikes Lesart wollte er sich im Azure-Portal zurechtfinden. Im April 2023 fielen der Polizei in Hangzhou auffällige Zahlungskonten auf; der Täter hatte sich nach ihren Angaben mit ChatGPT das Programm schreiben lassen, mit dem er erbeutete Zahlungsschlüssel in Serie zu Geld machte. Ab dem zweiten Halbjahr 2023 stießen Forscher auf Schadcode, den sie für LLM-generiert hielten; zunächst erkannten sie ihn allein am Stil der Kommentare. 2025 kamen KI-getextete Köder und ein Verhandlungsportal mit Chatbots dazu. Im Juli 2025 rief Schadsoftware zur Laufzeit selbst ein Modell auf, der erste Fall dieser Art in der Liste, und im November berichtete Anthropic, ein Agent habe 80 bis 90 Prozent einer Spionagekampagne allein erledigt. Seit Frühjahr 2026 taucht KI in Fällen jeder Größe auf, bei Gelegenheitstätern wie bei Staatsakteuren, und seit dem Sommer häufen sich Angriffe mit hunderten Opfern, bei denen KI-Agenten die Arbeit übernehmen.
Bisher steht in der Liste kein Angriff, der einen physischen Prozess gestört hätte und bei dem ein KI-Anteil belegt ist. Zugriff auf Industrietechnik hatten Angreifer nach Angaben von CISA und vier weiteren US-Behörden aber schon. Laut deren Warnung vom August 2026 lasen und schrieben die Angreifer mit KI-generierten Skripten Datenbausteine von Siemens-S7-Steuerungen, die in den USA standen und aus dem Internet erreichbar waren. Die Behörden halten es für wahrscheinlich, dass die Zugriffe der Aufklärung dienten und spätere Störungen vorbereiten sollten; Opfer und Akteur nennen sie nicht, und woran sie die KI-Herkunft der Skripte erkennen, sagen sie auch nicht. Im polnischen Sabotagefall vom Dezember 2025 betrifft die KI-Einschätzung von CERT Polska nur ein Wiper-Skript, und das fand sich bei einem Fertigungsunternehmen, das nebenbei mitgetroffen wurde. Für die zerstörten RTUs (Remote Terminal Units) in den Wind- und Solarparks nennt der Bericht keinen KI-Anteil. Beim Angriff auf mexikanische Behörden machte Claude nach Darstellung von Dragos selbst eine SCADA-Schnittstelle des Wasserversorgers von Monterrey als Ziel aus, gelangte per Password Spraying aber nicht in die OT-Umgebung.
Verschoben hat sich vor allem die Kosten-Nutzen-Rechnung der Angreifer. Ein technisch schwacher Akteur kompromittierte laut OALABS mit einer gestohlenen Claude-Instanz mindestens 14 Firmen, und Agenten ersetzten nach Unit 42 rund zwei Wochen Handarbeit. Dass KI die Obergrenze dessen angehoben hätte, was ein Angreifer kann, belegt bisher kein Eintrag; Microsoft und OpenAI halten in ihren Berichten fest, keine neuartigen Techniken oder Fähigkeiten beobachtet zu haben, und Amazon sah einen Akteur weitgehend scheitern, sobald er über die einfachsten automatisierten Wege hinauswollte. Die Missbrauchsberichte der KI-Anbieter beruhen allerdings auf deren eigener Telemetrie und nennen meist weder Opfer noch Indikatoren; die am besten belegten Fälle stammen von unabhängigen Forschern, die geborgene Prompt-Protokolle und offen erreichbare Verzeichnisse der Angreifer ausgewertet haben.
Vollautonome Fälle, bei denen kein Mensch das Ziel vorgab, stehen in dieser Liste bisher fast nur als Unfall aus Laborumgebungen: Fehlkonfigurationen reichten ins echte Internet, Agenten brachen aus ihrer Sandbox aus, ein Modell nutzte den Netzzugang eines Trainingslaufs, um sich fremde Zugangsdaten anzueignen, oder ein Agent verschaffte sich im Training selbst Rechenzeit und einen Fernzugang nach draußen. Die Einträge kommen von fünf KI-Laboren und einem staatlichen Prüfinstitut, mehrmals bei einem Testpartner. Außerhalb des Labors stehen nur zwei Grenzfälle in der Liste: ein Agent, der für einen gewöhnlichen Nutzer eine Alltagsaufgabe erledigte und dabei eine Schwachstelle ausnutzte, und die RubyGems-Paketflut, deren Zuschreibung an OpenAI-Agenten die Plattform selbst nicht bestätigt. Kriminelle setzen die Ziele weiterhin selbst und lassen den Agenten die Angriffskette abarbeiten.
Viele der am besten belegten Fälle gehen auf Fehler der Angreifer in der eigenen operativen Sicherheit zurück. Die Angreifer ließen Verzeichnisse mit Sitzungsprotokollen offen, trugen den Agenten in Commit-Metadaten als Mitautor ein oder hinterließen in der Shell-Historie der Opfer die Kommentare, mit denen das Modell sein eigenes Vorgehen beschreibt. Wer mit Agenten arbeitet, lässt Spuren zurück, die es beim klassischen Handwerk nicht gab, aber auf diese Spuren wird sich auf Dauer niemand verlassen können. Wer die Anbieterberichte gelesen hat, weiß, wie man Emojis, Kommentare und Metadaten entfernt; bei Kimsuky deuten stehengebliebene Tippfehler schon auf Nachbearbeitung von Hand, und im Hugging-Face-Fall fälschten Agenten laut METR die Protokolle ihrer eigenen Werkzeugaufrufe. Die Liste bildet deshalb eher ab, wie nachlässig Angreifer bisher mit KI umgegangen sind, und weniger, wie viel KI tatsächlich im Einsatz ist. Ihre Zahlen sind in beide Richtungen mit Vorsicht zu lesen.
Was nicht in der Liste steht
- Betrug mit Deepfakes, geklonten Stimmen und KI-getexteten Ködern, bei dem die KI nur Stimme, Gesicht oder Wortlaut liefert.
- Angriffe gegen oder über KI-Systeme, etwa Prompt-Injection gegen Agenten oder Lücken in KI-Frameworks. Dort ist die KI das Ziel.
- Labordemonstrationen und Proofs of Concept aus der Forschung ohne genauer benannte Opfer, auch autorisierte Agentenangriffe im Rahmen von Programmen zur Meldung von Schwachstellen.
- Sammelberichte der KI-Anbieter und Branchenrundschauen ohne abgegrenzten Einzelfall mit erkennbarem Opfer.
- Einflusskampagnen, Überwachung, Waffenentwicklung und das Abschöpfen fremder Modelle, auch wenn KI dort die Arbeit macht. Angegriffen wird in diesen Fällen kein IT-System. Anthropics Bericht vom September 2026 etwa führt neben seinen Cyberfällen neun Einflusskampagnen, sechs Fälle konventioneller Waffenentwicklung und fünf zum biologischen Missbrauch auf.
- Fälle, in denen Schadsoftware den KI-Assistenten des Opfers missbraucht. Ein Grenzfall dieser Art steht mit Vorbehalt in der Liste.
Verwandte Sammlungen
- Threat Actors’ Use of Artificial Intelligence von Rachel James: eine weitere privat gepflegte Sammlung, die Hackingvorfälle mit KI-Beteiligung zusammenträgt; sie ordnet nach Akteur statt nach Vorfall und liefert eine maschinenlesbare Tabelle.
- AI Security Bulletin der japanischen IPA, eine Behörde, die Hackingvorfälle mit KI-Beteiligung fortlaufend dokumentiert, etwa vierteljährlich als PDF.
- Felony Bench zählt dieselben Laborvorfälle, gruppiert sie aber nach Anbieter statt nach Datum und führt eine Punktzahl je Unternehmen. Gezählt wird nur, was Dritte trifft; ein Ausbruch aus der Sandbox allein genügt dort nicht.
- MITRE ATT&CK T1588.007, die Technik für die Beschaffung von KI-Fähigkeiten, mit dokumentierten Anwendungsbeispielen seit Mai 2026.
- AI Incident Database, die KI-Schäden aller Art sammelt. Mehrere Fälle dieser Liste haben dort eine Kennung.
- AI Incidents and Hazards Monitor (AIM) der OECD, der Vorfälle und Gefährdungen aller Art aus der Medienberichterstattung erfasst, filterbar nach Land, Branche und Schadensart.
- Awesome AI Agent Incidents, eine Linkliste zur Sicherheit von KI-Agenten mit Vorfällen, CVEs, Frameworks und Abwehrwerkzeugen; sie deckt damit überwiegend Angriffe gegen Agenten ab, den Bereich, den diese Liste auslässt.
- AI Coding Horrors von Sai Krishna verzeichnet Fälle, in denen der eigene KI-Agent den Schaden anrichtet, von der gelöschten Produktionsdatenbank bis zur unerwarteten Rechnung. Jeder Eintrag verlinkt die Schilderung des Betroffenen.
Zur Methode
Die Liste entstand in mehreren Rechercherunden aus eigenen Linksammlungen, Anbieterberichten und Websuche, auf Englisch ebenso wie in anderen Sprachen. Dubletten und Nachberichte zu demselben Fall wurden zu je einem Eintrag zusammengeführt.