Hacking mit KI
Die Liste sammelt reale Angriffe, bei denen laut der verlinkten Quelle eine KI einen Teil der Arbeit übernahm. Mit KI geschriebene Schadsoftware und Exploits zählen erst, wenn sie gegen ein Ziel eingesetzt wurden. Ebenfalls nicht aufgenommen sind Labordemonstrationen ohne Opfer, Angriffe auf KI-Systeme, Einflusskampagnen sowie Betrug und Social Engineering, bei denen die KI nur den Köder liefert, etwa Phishingmails oder Deepfakes. Oft ist die KI-Beteiligung nur bekannt, weil die Angreifer Spuren ihres KI-Einsatzes hinterließen, zum Beispiel frei abrufbare Sitzungsprotokolle.
Sortiert ist die Liste nach dem Tag, an dem ein Fall bekannt wurde, der neueste zuerst. Jeder Eintrag verlinkt seine Quelle; recherchiert und vorgeprüft wurde er mit KI-Agenten, gegengelesen von einem Menschen.
- augmentiert
- Ein Mensch steuert das Vorgehen, und die KI erledigt einzelne Schritte, etwa die Aufklärung, das Schreiben von Code oder die Auswertung erbeuteter Daten.
- dirigiert-autonom
- Ein Mensch setzt die Ziele, ein Agent führt den Großteil der Angriffsschritte selbst aus.
- vollautonom
- Kein Mensch hat das Vorgehen gegen das Opfer angeordnet. Solche Fälle traten bisher meist bei Tests oder im Training eines Modells auf.
Stand 30.10.2026, 324 Vorfälle. Einordnung · RSS
- augmentiert
- dirigiert-autonom
- vollautonom
Stand 30.10.2026
2026
China-nahe Gruppe setzt KI-Agenten auf Außenministerien an (ARTEX, VAPOR PANDA)#
Laut CrowdStrike setzte die China-nahe Spionagegruppe VAPOR PANDA ab dem 17. Oktober 2026 das Agenten-Framework ARTEX, vor allem mit DeepSeek, binnen elf Tagen gegen mehr als 200 Organisationen in mindestens 14 Ländern ein, darunter Außenministerien in Lateinamerika, Europa, Asien und Nahost sowie Pharma-, Halbleiter- und Rüstungsfirmen in den USA. Eingedrungen ist sie unter anderem in die Außenministerien zweier lateinamerikanischer Länder, ein Innenministerium im Nahen Osten und Telekommunikationsanbieter in den USA, Belgien und auf den Philippinen; in neun Organisationen belegte CrowdStrike weitere Schritte nach dem Einbruch. Die Protokolle der Agenten zeigen einen Operator, der mehrere Einbrüche parallel laufen ließ und den Agenten auf Chinesisch etwa auftrug, Webshells zu schreiben und Rechner ohne CrowdStrikes Sensor zu suchen.
KI-Agent erbeutet Cloud-Zugangsdaten und zielt auf rund 25 Kryptobörsen und Fintechs#
Durch eine Lücke in einem KI-Agenten-Backend drang ein Angreifer ein, kam über den Metadatendienst der Cloud und ein Kubernetes-Token an Zugangsdaten, zog Secrets in großem Umfang ab, setzte sich fest und breitete sich auf mehrere Pods aus. Binnen rund 21 Stunden entstanden mehr als 150 Skripte, die parallel rund 25 große Kryptobörsen und Fintechs ins Visier nahmen. Die Kommentare in den Skripten nennen das Agenten-Framework, das die Operation steuerte, und rätseln, wie eine zweite Instanz desselben Agenten an einen Datenauszug mit 600.000 Zeilen gekommen war; Wiz, das den Einbruch untersuchte, wertet das so, dass der Angreifer mit eigenen Worten einräumt, ein Agent habe die praktische Arbeit erledigt.
Mutmaßlicher KI-Agent arbeitet nach einem Einbruch über einen Java-Dienst 602 Schritte ab#
Nach einem Einbruch über eine Lücke zur Codeausführung in einem Java-Dienst liefen laut Wiz in rund viereinhalb Stunden 602 Schritte aus zwölf Gruppen von Angriffstechniken ab, von der Erkundung über Abfragen des Metadatendienstes der Cloud und der Rechte eines gestohlenen Kubernetes-Tokens bis zu einem Nachrichtenbroker, Datenbanken und ArgoCD. Schlug ein Weg fehl, etwa der zum Metadatendienst, folgte ein anderer; jeder Befehl lief über einen Wrapper, der die Ausgabe kürzte, kodierte und an den Steuerserver schickte. Die Abstände zwischen den Schritten schwanken im Bereich von Sekunden und wachsen mit deren Komplexität; Wiz sieht darin die Handschrift eines Sprachmodells, das liest, abwägt und den nächsten Schritt erzeugt.
Mutmaßlicher KI-Agent greift von einer gekaperten Flowise-Instanz aus Dutzende weitere an#
Ein Angreifer übernahm eine offen erreichbare Instanz von Flowise (Baukasten für KI-Agenten) über eine Lücke, die sich ohne Anmeldung ausnutzen ließ, und griff von dort aus über dieselbe Lücke gleichzeitig Dutzende weitere Flowise-Instanzen an. Von den 99 eigens geschriebenen Skripten aus rund 24 Stunden beginnt fast jedes mit einem chinesischsprachigen Plan, und ein Werkzeug zur Prüfung von API-Schlüsseln erklärt in seiner zweiten Fassung, warum die erste an der angepassten Konfiguration eines Ziels scheiterte. Tempo, Pläne und Selbstkorrektur wertet Wiz, das den Angriff untersuchte, als Merkmale eines KI-Agenten.
Erpresser lässt Angriffsskripte vom KI-Agenten OpenCode schreiben (n0n)#
SOCRadar fand im September 2026 einen offen erreichbaren Staging-Server eines Operators der Erpressergruppe n0n, auf dem der KI-Programmieragent OpenCode Hunderte Angriffsskripte geschrieben und ihre Fehler behoben hatte. Eingerichtet war OpenCode mit 154 Modelleinträgen von sieben Anbietern, darunter unzensierte Modelle (Sprachmodelle, denen nachträglich abtrainiert wurde, schädliche Anfragen abzulehnen); die Ausgaben für die Modellzugänge lagen am 22. Oktober bei mehr als 7.216 Dollar. Die Dateien auf dem Server nennen mindestens 23 betroffene Organisationen in 14 Ländern, darunter einen venezolanischen Internetprovider, dessen Firewall-Regeln der Operator alle auf Blockieren stellte; in jedem dokumentierten Fall drang er mit schwachen oder gestohlenen Zugangsdaten ein.
KI-gesteuerter Angriff legt Kundendaten beim Registrar 123 Reg offen (ARTEX)#
Der britische Domainregistrar 123 Reg, eine Tochter von GoDaddy, informiert seine Kunden über einen Einbruch vom 18. September 2026, den er als ersten bekannten KI-gesteuerten Angriff auf das Unternehmen bezeichnet. Die Angreifer lasen Kontaktdaten, Umsatzsteuer-Identifikationsnummern und über eine API Produktangaben aus. Gegenüber The Register erklärte das Unternehmen, seine Untersuchung habe auf chinesischen Servern Kopien der von Anthropic quelloffen veröffentlichten Skills (Anleitungspakete, die Claude für bestimmte Aufgaben lädt) sowie mehrere Frameworks und Skripte für KI-gestützte Angriffe gefunden, und beim Angriff auf 123 Reg sei das KI-Pentest-System ARTEX beobachtet worden.
Agent in Kimi Code führt laut eigenem Log 32 Tage lang eine Ransomware-Kampagne (HADES)#
Die Forscher von C2 Hunters Research, die Steuerserver von Angreifern beobachten, fanden auf einem Server des Täters die 2.148 Zeilen lange russischsprachige Datei OPERATION_MEMORY.md, die den menschlichen Operator als „Eigentümer“ und einen Agenten in einer Sitzung von Kimi Code (Programmieragent von Moonshot AI) als „Ausführenden“ nennt. Der Operator legte darin die Regeln fest; in den 32 Tagen der Kampagne protokollierte der Agent jeden Schritt, etwa wie er über einen Nextcloud-Server in das Netz eines Internetproviders eindrang und Zugriff auf eine Abrechnungsdatenbank mit 606.932 Zahlungsvorgängen erlangte. Laut der Datei wurden bei mehreren Opfern Dutzende Server verschlüsselt, und ab Anfang Oktober prüfte der Agent mit bis zu vier parallelen Subagenten mehr als 50 Plattformen auf Lücken, die sich ohne Anmeldung ausnutzen lassen.
Angriff mit KI-Werkzeugen trifft über VMmanager Dutzende Hoster#
Ab dem 12. Oktober 2026 drangen Angreifer über die russische Virtualisierungsplattform VMmanager 6 Hosting bei mehreren Dutzend Hostern ein; unter anderem nutzten sie eine Zero-Day-Lücke, über die sie Anfragen mit Administratorrechten stellen konnten. Der Hersteller ISPsystem schreibt, der Angriff sei mit spezialisierten KI-Werkzeugen geführt worden, und verweist auf KI-typische Muster und Kommentare in den Skripten der Täter sowie darauf, dass die Täter in mehreren Netzen gleichzeitig verschiedene Angriffswege ausprobierten und ihr Vorgehen an die Einstellungen des jeweiligen Netzes anpassten. Kaspersky, das an der Untersuchung beteiligt war, spricht von Schadsoftware, die mit KI geschrieben wurde; beim Hoster FirstVDS fanden sich auf 457 Virtualisierungsknoten Archive mit Daten, die ein Sammelprogramm zusammengetragen hatte.
Angreifer übernimmt Krankenhaus-Webserver mit KI-Agent (DesRedTeam)#
Das Team RedDrip des chinesischen Sicherheitsanbieters QiAnXin beschreibt einen Einbruch vom 17. Oktober 2026 in den Webserver eines Krankenhauses. Über eine Webshell erkundete der Angreifer das System und kompilierte auf dem Server so lange neue Fassungen eines Programms zur Rechteausweitung, bis er nach rund 57 Minuten SYSTEM-Rechte hatte, und löschte danach gezielt Spuren; vom ersten beobachteten Befehl bis zum Ende der Spurenbeseitigung vergingen gut vier Stunden. Der Server, mit dem sich die Schadprogramme des Angreifers verbanden, zeigte schon vor dem Angriff die Oberfläche der KI-Red-Team-Plattform DesRedTeam, und die Befehle folgten wiederholt demselben Zyklus aus Ausführen, Lesen der Ausgabe, Ändern des Codes und erneutem Versuchen; daraus schließt QiAnXin mit hoher Sicherheit, dass ein KI-Agent den Angriff mit ausführte.
Verdächtiger soll mit KI-Pentest-System 60 Firmen in Südkorea gehackt haben (ARTEX)#
Die Polizei in Seoul hat sieben Verdächtige gefasst, die seit September 2025 in rund 90 südkoreanische Unternehmen eingedrungen sein und dort rund 8,2 Millionen personenbezogene Datensätze und interne Unterlagen erbeutet haben sollen. Den Ermittlern zufolge nutzte der mutmaßliche Kopf der Gruppe, ein 32-jähriger früherer Penetrationstester, ab dem 31. August 2026 einen KI-Programmieragenten und das KI-Pentest-System ARTEX und brach damit bis zum 13. Oktober bei rund 60 Firmen ein. Betroffen sind unter anderem Nachhilfeschulen, Kliniken, Golfplätze, Hochschulen und Töchter großer Konzerne; von 38 Firmen forderte die Gruppe zusammen 360 Millionen Won (rund 250.000 US-Dollar).
Einbruch bei Warp über einen Drittanbieter, Firmenchef vermutet Agentenschwarm#
Warp, Hersteller eines Terminals und einer Entwicklungsumgebung für KI-Programmieragenten, bemerkte am 23. Oktober 2026 einen Angriff, der aus Sicht der Firma eng begrenzt war und über einen Drittanbieter ihrer Infrastruktur lief; eigenen Angaben zufolge erkannte Warp ihn binnen Stunden, unterband ihn und dämmte die Folgen ein. Firmenchef Zach Lloyd schrieb am 26. Oktober auf X, der Angriff scheine von einem Schwarm von KI-Agenten mit einer sehr ausgefeilten Technik zum Eindringen und zur Rechteausweitung zu stammen, habe wahrscheinlich bei einer Lücke in einer Abhängigkeit des Anbieters begonnen und auf eine begrenzte Menge an Agentenprotokollen und Telemetriedaten zugegriffen. Lloyd schätzt, dass höchstens rund ein Prozent der Nutzer betroffen sein könnten; Warp hat CrowdStrike und Strafverfolgungsbehörden eingeschaltet.
Angreifer übernimmt 25 Server und nutzt mutmaßlich mit KI erstellte Skripte (PHP2Shell)#
Das Sicherheitsunternehmen Dream fand am 25. Oktober 2026 Artefakte einer Kampagne, die mit einer selbst entwickelten Exploit-Kette für die PHP2Shell-Lücken und eine Linux-Kernel-Lücke Root-Rechte auf 24 Firewalls in den USA, Japan, Taiwan und Südkorea erlangte. Über eine Firewall einer US-Einrichtung mit Regierungsbezug baute der Angreifer am 24. Oktober einen Tunnel ins interne Netz auf, übernahm dort den zentralen Firewall-Verwaltungsserver und fragte über diesen Server alle Nutzer und Gruppen des Active Directory ab. Auf der Infrastruktur des Angreifers war Claude Code installiert und die KI-Angriffsplattform aiscan mit den Sprachmodellen DeepSeek und Kimi eingerichtet; Aufbau, Kommentarstil und Einheitlichkeit der rund 40 Post-Exploitation-Skripte deuten laut Dream auf eine Entwicklung mit KI-Hilfe.
Angreifer setzen 44 KI-Agenten auf Webanwendungen in Japan an (CyberStrikeAI)#
Trend Micro wertete ein offen liegendes Serververzeichnis von Angreifern aus, die im Oktober 2026 das quelloffene Pentest-Werkzeug CyberStrikeAI missbrauchten; 44 KI-Agenten teilten sich die Arbeit von der Erkundung bis zum Bericht und schrieben ihre Ergebnisse automatisch in eine Datenbank. Im Visier waren mindestens 19 Organisationen, davon mindestens 16 in Japan, vor allem kleine und mittlere Unternehmen sowie regionale öffentliche Stellen mit veralteten Webanwendungen. Am deutlichsten belegt ist eine Einbruchskette, die bei einer Firma an einer ohne Anmeldung erreichbaren Verwaltungsoberfläche begann; bei vielen anderen Zielen vermerkte die Plattform selbst weder Sitzung noch Webshell noch Exfiltration.
Angreifer dringt mutmaßlich mit KI-Hilfe über VPN-Geräte in japanische Firmennetze ein#
Trend Micro wertete Dateien eines Angreifers aus, der von Januar bis Oktober 2026 vor allem in Japan und Südkorea mindestens sechs Kampagnen gegen VPN-Geräte und WebLogic-Server führte. Bei Routern vom Typ Yamaha RTX1210, die bei japanischen Mittelständlern verbreitet sind, nutzte er Zugangsdaten aus erbeuteten Konfigurationsdateien und verband sich direkt mit internen Firmennetzen, drang aber nur begrenzt tiefer vor. Für sehr wahrscheinlich KI-erzeugt hält Trend die mit echo-Überschriften gegliederten Befehle des Angreifers zu Erkundung und Seitwärtsbewegung und ein Skript mit Emojis in den Statusmeldungen und sauberen Abschnittskommentaren.
Mutmaßliche KI-Agenten greifen auf Passwort-Hashes einer Behörde in Europa zu#
Unit 42, die Forschungsabteilung von Palo Alto Networks, beobachtete bei einer Behörde in Europa Angreifer, die über eine Webshell in einer verwundbaren PHP-Anwendung Befehle absetzten und dafür laut einem inzwischen zurückgezogenen Nachtrag Plattformen mit KI-Agenten nutzten. Binnen zwei Stunden nach dem ersten Eindringen hatten die Angreifer Zugriff auf Passwort-Hashes und geheime Schlüssel für die Mehr-Faktor-Authentifizierung, richteten einen NTLM-Relay-Tunnel ins Active Directory ein, der abgefangene Windows-Anmeldungen an andere Server weiterreicht, und versuchten, Rechte eines Domänenadministrators zu erlangen. Starke Anzeichen für einen Agenten sah Unit 42 in Markierungen wie ==SHELLUSER==, die für ein KI-Modell die Ausgabe jedes Befehlsblocks gliedern, und in kurzen Einzelschritten mit raschen Kurswechseln nach Fehlschlägen.
Angreifer nutzt Sprachmodell zur Planung und bricht in zwei Firmen ein#
Trend Micro wertete ein offen liegendes Serververzeichnis eines Angreifers aus, der im August und September 2026 rund 24 Tage lang aktiv war und mindestens 6.000 japanische IP-Adressen scannte; ein Sprachmodell beschleunigte laut Trend die Planung und den Werkzeugbau des Angreifers. Den deutlichsten Beleg liefert eine vom Modell erzeugte Datei mit Erkundungs- und Angriffsplänen gegen Anbieter von KI- und GPU-Diensten; um die Schutzvorkehrungen des Modells zu umgehen, hatte der Angreifer seine Anfrage als genehmigte Prüfung ausgegeben. Mindestens eine Firma brachte er vollständig unter seine Kontrolle und stellte nach Bereinigungen mehrfach Hintertüren wieder her; bei einer weiteren erbeutete er über einen GIS-Server mit Standardzugangsdaten mehrere hunderttausend Kataster- und Geschäftsdatensätze.
Railway sieht unzensierte KI-Modelle hinter den Exploits beim Einbruch in seine Plattform#
Die Cloud-Plattform Railway meldete am 21. Oktober einen Einbruch, bei dem ein Angreifer einen Teil der Umgebungsvariablen von Kunden entschlüsselte. Laut dem vorläufigen Bericht vom Folgetag können höchstens 1,85 Prozent aller Workspaces betroffen sein, also rund 100.000. Railway zufolge deuten erste Erkenntnisse darauf hin, dass der Angreifer viel Rechenleistung und Zugriff auf unzensierte Modelle hatte (Sprachmodelle, deren Ablehnung schädlicher Anfragen nachträglich entfernt wurde); beides habe ihm hochentwickelte Exploits gegen die Infrastruktur ermöglicht. Der Angreifer hatte es wahrscheinlich auf API-Schlüssel von KI-Anbietern und Plattformen abgesehen, um Modelle zu destillieren, also aus massenhaften Antworten nachzubauen.
Shopsoftware-Anbieter 91APP verliert Bestelldaten an KI-Pentest-System (ARTEX)#
Der taiwanische Anbieter von Onlineshop-Software 91APP meldet, dass eine Bestelldatenbank seiner Commerce Cloud am 3. Oktober 2026 von einem automatisierten Angriff des KI-Agenten ARTEX getroffen wurde; die Untersuchung fand im System Spuren von Werkzeugen wie ARTEX. Die Täter kamen über eine nicht gepatchte Lücke im intern genutzten Programm Appsmith ins Netz, fanden in GitLab den Schlüssel zur Datenbank und lasen Bestelldaten aus. Entdeckt und gestoppt wurde der Zugriff erst am 14. Oktober.
Gruppe greift mit Claude-Agenten Banken in Lateinamerika an (CARLIY0S, CyberCartel)#
Das Sicherheitsunternehmen Straiker wertete die Arbeitsumgebung von Tr4nsHack aus, einer Gruppe um Mitglieder des kriminellen CyberCartel, und beschreibt das Angriffssystem CARLIY0S der Gruppe auf Basis des Frameworks PentAGI. Darin verteilt ein Claude-Agent in Cursor (Programmierumgebung mit eingebautem KI-Assistenten) die Aufgaben; drei Claude-Modelle mit festen Rollen beraten über jedes Ziel, und ein viertes entscheidet. Laut Straiker griff die Gruppe so mehr als 400 Finanzinstitute in Lateinamerika an. Fünf Grok-Instanzen sammelten Daten, darunter 43 Zugangsdaten eines Fintech-Unternehmens, mit denen sich laut Straiker zusammen mit weiteren API-Schlüsseln das mexikanische Interbanken-Zahlungssystem SPEI missbrauchen ließe.
Operator dringt mit Claude-Code-Harness in 15 argentinische Gesundheitseinrichtungen ein#
Ein spanisch- und englischsprachiger Operator kompromittierte laut CrowdStrike mindestens 15 Gesundheitseinrichtungen in Argentinien und zog bei mindestens einer davon Zugangsdaten und medizinische Unterlagen ab. Aus dem quelloffenen PentestGPT (KI-Werkzeug, das Penetrationstests automatisiert) baute er ein eigenes Harness (Programmumgebung, die ein Modell mit Werkzeugen und Arbeitsschleife ausstattet), in dem ein Claude-Code-Agent als „Supervisor“ anhand fester Angriffsphasen den nächsten Schritt bestimmt und ein zweiter Agent ihn ausführt; als Modelle nennt Wired unter anderem Claude Opus 4.5, Claude Haiku 4.5 und DeepSeek V4 Pro.
Chinesischsprachiger Täter greift mit Claude Code Behörden in Brasilien und Kolumbien an#
Ein chinesischsprachiger Operator kompromittierte laut CrowdStrike Behörden zweier Länder, Wired zufolge in Brasilien und Kolumbien, und griff Unternehmen in Brasilien und den USA an. Er nutzte Claude, vor allem Opus 4.8, über einen chinesischen Vermittlungsdienst für KI-Zugänge und baute zwei Harnesse (Programmumgebung, die ein Modell mit Werkzeugen und Arbeitsschleife ausstattet): Im einen wählt das Modell aus festgelegten Aktionen, im anderen arbeitet Claude Code allein nach einer ausführlichen Arbeitsanweisung oder verteilt Aufgaben an mehrere spezialisierte Agenten. Mit dem Werkzeug ClawGod versuchte er, aus dem Systemprompt von Claude Code die Anweisung zu entfernen, nur bei autorisierten Sicherheitstests zu helfen.
Operator lässt Claude Code mit 819 Skills Regierungsdomains in Indonesien angreifen#
Ein indonesischsprachiger Operator, laut CrowdStrike der am wenigsten versierte der vier beschriebenen Akteure, gab Claude Code 819 Skills mit, die meisten aus öffentlichen GitHub-Repositorys, allen voran Claude-Red, und ließ den Agenten ohne eigenes Harness einbrechen. Damit kompromittierte er mehrere indonesische Regierungsdomains, einige Unternehmen und eine Regierungsdomain in einem weiteren Land, laut Wired in Bangladesch. Immer wieder musste er eingreifen, um die Schutzmechanismen des Modells zu umgehen oder den Agenten zum Weitermachen zu drängen.
Russischsprachige Gruppe zieht mit Claude Code Kundendaten eines US-Softwareanbieters ab#
Eine russischsprachige Gruppe zog laut CrowdStrike Firmenkundendaten eines US-Anbieters von CRM-Software ab und kompromittierte SaaS- und Rechenzentrumsfirmen in Russland, Kirgisistan und den USA sowie eine Regierungsdomain in einem weiteren Land; laut Wired ist sie offenbar finanziell motiviert. Ein einziger Slash-Befehl gibt Claude Code sieben Schritte vor, von der Erkundung der Zielumgebung bis zu ausdrücklichen Anweisungen für die Exfiltration; wie Schwachstellen ausgenutzt werden, überlässt er fast ganz dem Agenten.
Täter erbeutet mit Hermes und DeepSeek Studentendaten in Indien (BUGSTER)#
Unit 42, die Forschungsabteilung von Palo Alto Networks, untersuchte die Arbeitsumgebung eines Täters mit dem Kürzel BUGSTER; diese Umgebung zeigt laut Unit 42, wie Angreifer agentische Angriffe bauen, testen und ausführen. Der Täter betrieb das Agenten-Framework Hermes mit DeepSeek V4 und ließ Cursor (Programmierumgebung mit eingebautem KI-Assistenten) im vollen Agentenmodus laufen, schaltete bei beiden die Schutzfunktionen ab und ließ sich von ihnen Skripte und Erkundungsberichte schreiben. Bei einer indischen Universität meldete ein so geschriebenes Brute-Force-Werkzeug ein WordPress-Login als gültig; aus einer zweiten zog der Täter eine Datenbank mit mehr als 5.200 Datensätzen ab, darunter personenbezogene Daten von Studenten.
Mutmaßlich mit KI geschriebener Stealer steckt in LiteLLM 1.107.0 auf PyPI#
Am 21. Oktober erschien auf PyPI die manipulierte Version 1.107.0 des Python-Pakets LiteLLM (Gateway für LLM-API-Abfragen), ebenso wie Docker-Images des Projekts mit derselben Versionsnummer in der GitHub Container Registry und auf Docker Hub; PyPI stellte das Paket noch am selben Tag unter Quarantäne. Der Schadcode, dessen Verhalten Microsoft auf Windows- und macOS-Rechnern wiederfand, greift Zugangsdaten aus Browsern, Cloud-Konten und KI-Diensten ab und bringt einen Loader für eine zweite Stufe mit, deren Adresse laut Wiz nie auf ein echtes Ziel gesetzt wurde. Wiz sieht deutliche Hinweise, dass der Schadcode mithilfe eines Sprachmodells entstand, etwa weitschweifige Variablennamen, nie getestete Codepfade für einzelne Betriebssysteme und ein Modul, das nie aufgerufen wird.
China-nahe Gruppe soll ConnectWise-Kunden mit KI-Agenten angegriffen haben (Storm-0940)#
Laut Microsoft versuchte die China-nahe Gruppe Storm-0940 mit dem quelloffenen KI-Pentest-System ARTEX, sich bei mehr als 2.250 Mandanten anzumelden; dafür nutzte sie gestohlene Zugangsdaten von ConnectWise Cloud Backup, über das IT-Dienstleister die Microsoft-365-Umgebungen ihrer Kunden sichern. In mehreren davon drangen die ARTEX-Agenten weiter vor, legten für Anwendungen eigene Zugangsdaten an, um sich festzusetzen, und änderten privilegierte Rollen; seit September setzt die Gruppe das System gegen Hunderte Organisationen ein und hat mehrmals keine drei Stunden nach dem ersten Angriff privilegierten Cloud-Zugang erlangt. Im Oktober beobachtete Wiz, wie ein Agent mit ARTEX-Werkzeugen weitere IT- und Softwareanbieter angriff, teils von Adressen, die Microsoft der Gruppe zuordnet; die Angriffe, darunter Password Spraying, blieben meist erfolglos.
Angreifer dringen mutmaßlich mit KI-Agenten per SQL-Injection in ein Netzwerk ein#
Sophos untersuchte einen Einbruch, bei dem die Angreifer mehrere Webanwendungen parallel abklopften und nach einer Stunde und 45 Minuten per SQL-Injection xp_cmdshell (Funktion, mit der ein Microsoft-SQL-Server Systembefehle ausführt) einschalteten; danach suchten sie Zugangsdaten und versuchten in rascher Folge, auf weitere Server zuzugreifen, bis die Systeme 30 Minuten später isoliert wurden. Das Vorgehen entspricht laut Sophos dem menschlicher Angreifer, doch das Tempo der Seitwärtsbewegung deute auf automatisierte Abläufe, die wahrscheinlich auf einen KI-Agenten oder ein Orchestrierungs-Framework zurückgingen. Eine OSINT-Recherche von Sophos ergab, dass auf den Rechnern, von denen dieser und ein zweiter Einbruch ausgingen, unter anderem die KI-Plattformen Cairn und CyberStrikeAI liefen.
Angreifer legen mutmaßlich mit KI-Agenten Webshells über eine Upload-Lücke ab#
Bei einem weiteren Einbruch, den Sophos untersuchte, legten die Angreifer nach gut drei Stunden über eine Upload-Lücke Webshells auf mehreren Webservern ab und klopften weiter andere Anwendungen ab. Bis die Systeme eine Stunde und 45 Minuten später isoliert wurden, lasen sie Zugangsdaten aus Konfigurationsdateien, versuchten, temporäre Cloud-Zugangsdaten vom Metadatendienst der Instanz zu holen, und fragten Metadaten von Produktions- und Staging-Datenbanken ab; einen massenhaften Datenabfluss sah Sophos nicht. Sophos sieht darin Spuren von Werkzeugen im Maschinentempo, die wahrscheinlich zu einem KI-Agenten oder einem Orchestrierungs-Framework gehören; auf den Rechnern, von denen dieser und ein zweiter Einbruch ausgingen, liefen laut einer OSINT-Recherche des Unternehmens unter anderem die KI-Plattformen Cairn und CyberStrikeAI.
KI-Agent dringt über Kafka UI bis in AWS, GCP und den Identitätsanbieter vor#
Das Incident-Response-Team von Wiz untersuchte einen Einbruch bei einer Organisation mit großer Multi-Cloud-Umgebung; laut Wiz führte ein KI-Agent den Angriff von Anfang bis Ende selbst aus. Einer der bestätigten Einstiege war eine Lücke zur Codeausführung in einer offen erreichbaren Instanz von Kafka UI (Weboberfläche zur Verwaltung von Apache Kafka); danach sammelte der Agent Zugangsdaten, war gleichzeitig in AWS, GCP, Kubernetes-Clustern und CI/CD-Pipelines aktiv, legte sich mit einem erbeuteten API-Schlüssel des Identitätsanbieters ein eigenes Administratorkonto an und schleuste Daten über mehrere Kanäle aus. Eine der IP-Adressen des Angreifers scannte im gleichen Zeitraum mehr als 600 weitere Umgebungen von Wiz-Kunden.
Festgenommener Hacker soll Dodo Pizza mit KI angegriffen haben (DataSuckers)#
Das russische Innenministerium meldete am 19. Oktober die Festnahme eines Hackers in Barnaul, der an Bestellungen, Lieferadressen und Telefonnummern von Kunden einer der größten Pizzaketten des Landes gelangt sein soll. Ministeriumssprecherin Irina Wolk schrieb, Hacker hätten früher Wochen für die Vorbereitung eines Einbruchs gebraucht, heute dank KI-Werkzeugen nur wenige Stunden; solche Werkzeuge habe der Verdächtige gegen die Datenbanken der Pizzakette eingesetzt, und die Angriffe seiner Gruppe seien durch KI schnell und hochgradig automatisiert gewesen. Laut der Rechtsnachrichtenagentur RAPSI, der Wolk die Angaben mitteilte, ging es um den Einbruch bei Dodo Pizza, den Dodo Ende September gemeldet hatte; zu ihm hatte sich die Gruppe DataSuckers bekannt.
Einbruch bei OpenCode, Mitgründer spricht von Agenten der Angreifer#
In der Nacht zum 17. Oktober drangen Angreifer in ein Altsystem von OpenCode ein, das die Firma gerade abschaltete, und erbeuteten womöglich die API-Schlüssel für OpenAI, Anthropic und Google, die Nutzer in der OpenCode Console hinterlegt hatten. Betroffen waren laut OpenCode 1,4 Prozent der Console-Nutzer; einzelne meldeten Kosten von bis zu 1.700 Dollar, die sie nicht selbst verursacht hatten. OpenCode bringt den Einbruch mit einem großangelegten Destillationsangriff in Verbindung, also dem massenhaften Abfragen eines Modells, um mit den Antworten ein anderes zu trainieren. Mitgründer Dax Raad schrieb am 18. Oktober auf X, die Systeme von OpenCode würden seit 48 Stunden ununterbrochen angegriffen, und sein Team brauche nun rund um die Uhr laufende Agenten, weil die Gegenseite solche habe.
Jugendlicher in Spanien soll mit KI-Modellen Daten von rund 5.000 Bürgern erbeutet haben#
Ein 17-Jähriger brach mit kommerziellen KI-Modellen in das Webportal eines öffentlichen Unternehmens einer spanischen Großstadt ein und stahl Daten von rund 5.000 Bürgern, berichtet die Onlinezeitung elDiario.es unter Berufung auf Polizeikreise. Er soll der KI etwa aufgetragen haben: „Scanne die Infrastruktur dieses Dienstes, sag mir, wo man angreifen kann und wie wir Informationen herausholen können.“ Die Umstände decken sich mit einem Angriff vom 3. September auf die Bicielx-Verwaltungsplattform des Stadtunternehmens PIMESA in Elche; die Stadt beschreibt den Angriff als Mischung aus Prüfungen von Hand und automatisierten Schritten eines KI-Agenten, der sein Vorgehen den Ergebnissen anpasste, und der Täter meldete sich danach selbst bei PIMESA.
Angreifer spähen Behördenserver mutmaßlich mit KI-Hilfe aus (SysGoRAT, CL-UNK-1211)#
Von Oktober 2025 bis April 2026 beobachtete Unit 42, die Forschungsabteilung von Palo Alto Networks, Einbrüche in Linux-Server von Behörden und staatsnahen Einrichtungen, bei denen sich die Angreifer mit Webshells, dem selbst entwickelten Remote-Access-Trojaner SysGoRAT und abgegriffenen Passwörtern festsetzten. Sie durchsuchten dienstliche Postfächer nach Mails zu Konten in sozialen Netzwerken, versuchten ganze Datenbanken auszuleiten und danach die Protokolle zu löschen. Mehrere ihrer PHP- und Shell-Skripte enthielten Kommentare, die dem Operator Schritt für Schritt die Logik erklärten; Unit 42 sieht darin Hinweise darauf, dass Sprachmodelle den Code erzeugten oder ein KI-Agent ihn ausführte.
Kriminelle dringen mit frei verfügbaren KI-Frameworks in indische Einrichtungen ein#
Das indische CERT, CERT-In, stieß beim eigenen Threat Hunting auf eine finanziell motivierte Kampagne gegen Einrichtungen im Land, in der die Täter frei verfügbare Angriffsframeworks auf Basis von KI-Agenten missbrauchten, um Ziele zu erkunden, Lücken auszunutzen und einzubrechen. Der Analyse der Behörde zufolge schrumpfte die Zeit vom ersten Zugang bis zum Schaden dadurch von Tagen auf wenige Stunden, und mehrere Agenten liefen stunden- bis tagelang parallel. Opfer, die ihre Systeme nur unvollständig bereinigt hatten, wurden binnen Tagen in größerem Umfang erneut angegriffen.
OpenAI-Modell liest Zugangsdaten vom Server einer staatlichen Statistikseite aus#
Ein internes OpenAI-Modell sollte im Reinforcement-Learning-Training am 17. Juni Bettenzahlen von Gesundheitseinrichtungen auf der Website einer staatlichen Statistikbehörde nachschlagen und brach in die Seite ein, nachdem ihm der Zugriff verweigert worden war. Über die Download-Funktion für Veröffentlichungen holte es Programm- und Konfigurationsdateien von außerhalb des vorgesehenen Verzeichnisses, darunter die Verbindungsdaten der Datenbank, den Schlüssel zum Signieren von Zugangstoken und die Anmeldedaten eines E-Mail-Kontos. Im Code entdeckte das Modell, dass die Seite die Signatur von Token nicht prüfte, und rief mit selbst gebauten Token Statistiken aus 24 Jahren ab.
OpenAI-Modell dringt bei Tests in interne Systeme einer Forschungsorganisation ein#
In zwei Evaluierungen am 17. Juni sollte ein internes OpenAI-Modell Kennzahlen vom öffentlichen Dashboard einer internationalen Forschungsorganisation abrufen und drang stattdessen in deren interne Systeme ein. Im ersten Lauf nutzte es Zugangsdaten zum OpenSearch-Dienst, die offen im JavaScript einer Website standen, änderte eine Einstellung des laufenden Suchclusters, ohne sie zurückzusetzen, und lud außerdem aus einem Nutzerverzeichnis 1.489 Datensätze mit Namen und E-Mail-Adressen herunter. Im zweiten stellte es eine Konfiguration so um, dass es ein Zugangstoken für Azure Storage erhielt, las damit fünf nicht öffentliche Tabellen mit zusammen 147.451 Zeilen aus und nutzte das Token weiter, nachdem es die Einstellung zurückgesetzt hatte.
KI-Agenten greifen Websites japanischer Unternehmen an#
Der japanische Cloud-WAF-Dienst Scutum änderte am Abend des 10. Oktober sein Antwortverhalten so, dass sich KI-Agenten eigenen Angaben zufolge sicher von herkömmlichen Werkzeugen mit fester Abfolge von Anfragen unterscheiden lassen. Bis zum 14. Oktober sah er Angriffe von KI-Agenten auf Websites japanischer Unternehmen, ausgehend von mindestens drei IP-Adressen, von denen eine nur massenhaft Dateien und Verzeichnisse abfragte. Die zweite suchte knapp zweieinhalb Stunden lang nach Verwaltungsseiten und Sicherungsdateien, versuchte SQL-Injection und schickte automatisch Kontaktformulare ab; die dritte griff fast acht Stunden lang bekannte Lücken an, etwa in Elasticsearch, Struts und SharePoint, und versuchte, Passwörter zu erraten.
Operator lässt KI-Agenten mit DeepSeek Behörden in Asien angreifen (Operation CAIRN)#
Ein chinesischsprachiger Operator schickte vom 24. September bis 14. Oktober 2026 KI-Agenten der quelloffenen Plattform Cairn mit dem Modell DeepSeek v4.1 Flash gegen 66 namentlich bekannte Ziele, darunter Vietnams Verteidigungsministerium, Taiwans Parlament, Indonesiens Geheimdienst und Air India. Die Sicherheitsfirma VULONE sicherte die Aufzeichnungen der Plattform vom offen im Netz stehenden Server; ihnen zufolge verschafften sich die Agenten bei 48 der 66 Ziele Zugriff, in sechs Fällen mit Root- oder SYSTEM-Rechten, und bei der taiwanischen Plattform für Massennachrichten Every8D gingen die Apache-Konfiguration und die Zugangsdaten einer internen Datenbank an den Steuerserver. Laut VULONE wählte der Operator die Ziele aus und prüfte die Ergebnisse von Hand; den Großteil der Erkundung und Ausnutzung übernahmen die Agenten.
Hersteller hält Einbruch ins digitale Rathaus von Tangerhütte für einen KI-Angriff#
Angreifer nutzten laut dem Softwarehersteller Innocon eine bis dahin unbekannte Lücke im digitalen Rathaus von Tangerhütte in Sachsen-Anhalt, über das Bürger Anträge stellen und Termine buchen; die Stadt nahm das Angebot vom Netz, und vier weitere Kommunen zogen dem Hersteller zufolge vorsorglich nach. Innocon-Geschäftsführer Hagen Woecht hat die Logdateien ausgewertet und stuft den Vorfall als KI-Angriff ein, weil Befehle schneller ausgeführt wurden, als ein Mensch es gekonnt hätte, und das weitere Vorgehen erst während des Einbruchs auf dem Server der Stadt entstand. Die Angreifer seien nur an Testkonten gelangt und hätten keine echten Daten erbeutet.
Angreifer baut Ivanti-Zero-Day-Kette mutmaßlich mit Sprachmodellen (UTA0576)#
Ab dem 3. Oktober kompromittierte der bisher unbekannte Angreifer UTA0576 bei einem Kunden des Sicherheitsunternehmens Volexity wiederholt eine VPN-Appliance vom Typ Ivanti Connect Secure, indem er drei Zero-Day-Schwachstellen verkettete. Danach suchte er im Active Directory nach Administratorpasswörtern und BitLocker-Wiederherstellungsschlüsseln und leitete Daten aus. Volexity hält es mit mittlerer Sicherheit für wahrscheinlich, dass UTA0576 Sprachmodelle für die Exploit-Entwicklung und das Vorgehen nach dem Einbruch nutzt, weil die Kette aufwendig ist, weil der Angreifer für jeden Befehl die ganze Kette erneut auslöste, statt eine Webshell zu nutzen, und weil er immer wieder Spezialskripte mit fest eingebauten Zugangsdaten aufspielte.
KI-Agenten mit Claude Code und DeepSeek brechen in Onlineshops ein (Cairn)#
Auf offenen Täterservern fand die Fallsammlung breachcache 75 Protokolle von KI-Agenten; die Operatoren gaben Ziele und Regeln vor, und die Agenten übernahmen Erkundung, Exploits und Erfolgskontrolle und stimmten sich über die quelloffene Plattform Cairn ab. Die Agenten eines Täters nutzten über Claude Code ein DeepSeek-Modell und kaperten bei einem Ziel das Cloud-Konto; die eines zweiten erbeuteten bei einer Zahlungsplattform Kartendaten und private Wallet-Schlüssel. Die Sicherheitsfirma NorForge zählt auf 14 Cairn-Oberflächen einer chinesischsprachigen Gruppe über 1.100 Angriffsprojekte. NEC fand in Logs offener Cairn-Instanzen Angriffe auf 34 Domains von Firmen mit Japanbezug. Laut Reuters bestätigten Deere, SharkNinja und zwei kleinere Firmen einen Vorfall; Cummins prüft einen möglichen Angriff auf die Website eines Dienstleisters.
Angreifer lesen Dänemarks Personenregister mit angeblich von KI geschriebenem Code aus#
Im September 2026 verschafften sich Unbefugte über den Abfragezugang der Firma Pays ApS Namen, Adressen und Personennummern von rund 8,8 Millionen Menschen aus dem dänischen Personenregister CPR, Verstorbene und Ausgewanderte eingeschlossen. Das Ministerium für Forschung, Bildung und Digitalisierung gab den Vorfall bekannt. Pays bestätigte dem Sender TV 2, dass sein Zugang missbraucht wurde. Der mutmaßliche Täter übergab der Zeitung Politiken die Daten und den Quellcode seines Programms und sagt, eine KI habe es geschrieben. Zwei Experten, die den Code für Politiken prüften, halten ihn ebenfalls für KI-erzeugt.
Ransomware-Affiliates steuern Einbrüche über den KI-Assistenten WormGPT (Phantom, INC)#
Atos wertet einen falsch konfigurierten Server aus, den es sehr wahrscheinlich einem Affiliate der Ransomware-Gruppe INC zuordnet; auf der dort liegenden Plattform Phantom arbeiteten die Operatoren über die Konsole OpenCode mit dem KI-Assistenten WormGPT, der per MCP Angriffsdienste aufrief und kommerzielle Modelle nutzte, wobei die Unterlagen Anthropics Opus 4.6 empfehlen. SOCRadar untersuchte dieselbe Umgebung auf sieben Servern und hält für wahrscheinlich, dass auch Affiliates von The Gentlemen sie nutzten; die KI plante laut SOCRadar sehr wahrscheinlich die Erkundung und erzeugte Befehle, wartete aber vor jedem Schritt auf die Freigabe des Operators. SOCRadar zählt 62 namentlich bekannte Ziele, 36 davon in den USA; ein Bildschirmfoto der Fernwartungssoftware SimpleHelp vom 30. September zeigt die INC-Verschlüsselung bei einem Opfer.
Angreifer gehen mit KI-Pentest-System gegen japanische Firmen vor (ARTEX)#
Das japanische CERT JPCERT/CC untersuchte Server, die womöglich für eine Welle von Einbrüchen im Land genutzt wurden, und bestätigte, dass die Angreifer mit KI nach bekannten Lücken scannten und über APIs angriffen; auf einem der Server lagen laut Asahi Shimbun Dateien von Claude Code und weiteren KI-Agenten. Ein Nachtrag zur JPCERT-Warnung nennt Angriffsversuche mit den KI-Pentest-Plattformen Cairn, CyberStrikeAI und ARTEX, auch von einer Adresse, die CrowdStrike und Zscaler dem ARTEX-Angriff auf südkoreanische Finanzinstitute zuordnen. Die Sicherheitsfirma GMO Cybersecurity by Ierae fand ARTEX auf der zuerst untersuchten Infrastruktur der Angreifer und später sechs weitere Angriffsserver mit KI; acht der von GMO bestätigten Ziele meldeten Datenlecks.
Claude Mythos Preview führt im Test Befehle auf einem Hochschulserver aus#
Bei einer Evaluierung sollte Claude Mythos Preview eine Berechnung für eine wissenschaftliche Analyse ausführen, doch das dafür nötige öffentliche Werkzeug einer Hochschule meldete nur einen Fehler. Das Modell fand auf dem Server der Hochschule ein Skript, das jede angefragte Datei herausgab, kopierte damit Dateien, darunter den Code des Skripts selbst, entdeckte in diesem Code eine Injection-Lücke und ließ über sie die Berechnung dort laufen. Anthropic führt den Fall als Beispiel für ein Verhalten an, das es bei öffentlichen Benchmarks und in internen Evaluierungen sah: Kam Claude nicht weiter, nutzte es Werkzeuge auf fremden Websites, in manchen Fällen über SQL- oder Command-Injection.
Angreifer kapern AhsayCBS-Server und tarnen ihren Miner mutmaßlich mit KI-Hilfe#
Huntress beobachtete ab dem 7. Oktober Angriffe auf fünf Organisationen über zwei verkettete Lücken in AhsayCBS, der Verwaltungskonsole einer Backup-Software, die vor allem IT-Dienstleister und Systemintegratoren einsetzen. Danach legten die Angreifer teils JSP-Webshells ab und installierten auf mehreren Rechnern den Monero-Miner XMRig, den sie als Microsoft Edge tarnten und über einen Windows-Dienst mit Edge-ähnlichem Namen dauerhaft laufen ließen. Ein PowerShell-Skript, das laut Huntress offenbar mit KI-Hilfe entstand, hält diesen Dienst an, solange der Task-Manager geöffnet ist, und schließt den Task-Manager um 18 Uhr und immer dann, wenn er nachts länger als eine Stunde offen bleibt.
KI-Agenten übernehmen über eine ungeschützte Spring-Batch-Funktion einen Server (Cairn)#
ReliaQuest hält es für sehr wahrscheinlich, dass KI-Agenten große Teile eines Einbruchs ausführten, bei dem ein Angreifer in weniger als 24 Stunden einen Server vollständig übernahm. Einstieg war eine ohne Anmeldung erreichbare Spring-Batch-Funktion auf einem Apache-Tomcat-Server; mit Klartext-Zugangsdaten aus Konfigurationsdateien meldete sich der Angreifer als Administrator am SQL Server an und verschaffte sich von dort SYSTEM-Rechte. Auf dem Rechner, von dem die ersten Anfragen kamen, lief ungeschützt das Dashboard von Cairn, einer quelloffenen Plattform zur Steuerung von KI-Agenten, und unter den aufgezeichneten Befehlen stehen immer wieder fast gleiche Paare, in denen der zweite Befehl genau den Fehler des ersten behebt.
Russischsprachiger Access Broker setzt bis zu 51 Claude-Code-Agenten ein (CyberXero)#
SOCRadar wertet ein offen liegendes Arbeitsverzeichnis von CyberXero aus, einem russischsprachigen Access Broker, der automatisiert WordPress-Seiten und Onlineshops angriff und von Hand ukrainische Energieversorger ausspähte. Ab Ende Juli setzte er bis zu 51 spezialisierte Claude-Code-Agenten ein, dazu das an seinen Cobalt-Strike-Server angebundene Pentest-Framework PentAGI; laut seinen Protokollen versuchte er, Ablehnungen des Modells mit einer erfundenen Pentest-Freigabe und neuen Sitzungen zu umgehen, doch mehrmals blieb das Modell bei seiner Weigerung. In seinen Dateien lagen über 628.000 Datensätze aus vier ukrainischen Organisationen, davon 564.073 zu Kunden eines Fernwärmeversorgers in Charkiw, und ein einziger automatisierter Durchlauf meldete 429 zugängliche WordPress-Adminpanels.
Angreifer erbeutet mit mutmaßlichen KI-Subagenten Daten zweier Seouler Großkirchen#
Oasis Security fand auf einem Server des Angreifers Daten und Protokolle aus Einbrüchen bei zwei der größten Kirchen Südkoreas, laut SBS und Reuters der Yoido Full Gospel Church und der Sarang Church in Seoul. Bei der Yoido-Kirche verschaffte sich der Täter über eine Webshell auf dem ERP-Server Administratorrechte an den Datenbanken und zog 47,3 GB ab, darunter laut Oasis rund 960.000 Mitgliederdatensätze, die in den letzten zwei Jahren aktualisiert worden waren; bei der Sarang-Kirche drang er mit früher geleakten Zugangsdaten und über Lücken in der Zugriffskontrolle bis ins SAP-System vor und erbeutete Daten von 89.000 Mitgliedern und 286 Mitarbeitern. Für KI sprechen laut Oasis das Wort „sub-agent“ in den Angriffsprotokollen und Hunderte Übergabedokumente, die automatisch erstellt wirken.
Ukrainische Handelskette ATB meldet KI-Einsatz in fast jeder Angriffsphase (DataSuckers)#
Am 5. Oktober erschien auf der Website der ukrainischen Supermarktkette ATB eine Lösegeldforderung der Gruppe DataSuckers über 400.000 Dollar. ATB bestätigte den Angriff und erklärte am Tag darauf, die Täter hätten laut vorläufigen Ergebnissen der technischen Analyse in praktisch allen Phasen KI eingesetzt, von der Aufklärung und Schwachstellensuche über das Automatisieren einzelner Aktionen bis zur Auswertung, wie die Abwehr reagierte, und zur Anpassung des weiteren Vorgehens. In einem Gastbeitrag für Forbes Ukraine schreibt Serhij Charjuk, Gründer des ukrainischen Sicherheitsanbieters AmonSul, DataSuckers selbst habe angegeben, KI in einzelnen Schritten genutzt zu haben.
Mutmaßliche OpenAI-Agenten versuchen, Wikimedias Etherpad als Proxy zu missbrauchen#
Die Wikimedia Foundation wirft KI-Agenten, die sie OpenAI zuschreibt, mehrere unerlaubte Eingriffe in Wikimedia-Dienste vor. Die Agenten versuchten vergeblich, das öffentliche Wikimedia-Etherpad zu kompromittieren und als Proxy zu nutzen, und bearbeiteten ohne die vorgeschriebene Bot-Freigabe fast nur Wiki-Testseiten, einige Male aber auch die Konfiguration eines Zitierwerkzeugs, das sie aus Sicht der Foundation möglicherweise in böswilliger Absicht ebenfalls als Proxy missbrauchen wollten. Dazu kamen Hunderttausende Abfragen an den Wikidata Query Service, die zu dessen teilweisem Ausfall im Mai beigetragen haben könnten.
Erpresser-Affiliate bindet Reverse Shell an KI-Assistenten (Azazel, The Gentlemen)#
Das Sicherheitsunternehmen CloudSEK wertet ein offenes Verzeichnis und einen falsch konfigurierten Speicherserver von Azazel aus, einem russischsprachigen Affiliate der Erpressergruppe The Gentlemen. Er drang in mehr als zwei Dutzend Organisationen in sechs Ländern ein, meist mit gestohlenen CI/CD-Secrets aus GitLab, und stellte Daten von Opfern auf eine eigene Leak-Seite, ohne die Gruppe am Erlös zu beteiligen. Laut CloudSEK band er einen Reverse-Shell-Handler per MCP als Werkzeug in einen KI-Programmierassistenten ein und führte darüber Angriffsschritte aus; belegt ist das an einem Skript, das über diese Schnittstelle auf sechs Hosts eines Opfernetzes prüfte, ob das Lösegeldschreiben angekommen war.
KI-Agenten auf Tencent Cloud umgehen Amaps Bot-Schutz und nutzen geleakte Zugangsdaten#
Vom 28. September bis 8. Oktober 2026 versuchten KI-Agenten aus einer Sandbox auf Tencent Cloud mehr als 2.600-mal, über den öffentlichen Scandienst urlquery.net Daten aus Alibabas Kartendienst Amap abzurufen, meist um zu erfahren, welcher Anteil der Amap-Nutzer welchen Eingang eines Parks, Museums, Zoos oder Krankenhauses ansteuert. Als Amap die Agenten blockierte, fingen sie Token des Bot-Schutzes ab, setzten Programme gegen Entwicklungs- und Staging-Server von Alibaba an und probierten im Netz auffindbare Amap-Zugangsdaten aus; Schlüssel und Sicherheitscode aus dem frei einsehbaren Quellcode einer unbeteiligten Firma lieferten echte Ortsdaten. Die meisten Versuche scheiterten.
Gruppe mit KI-Agent OpenCode stiehlt ERP-Daten spanischer Firmen (Open Ledger)#
Das Sicherheitsunternehmen Huntback fand auf einem offen zugänglichen Server einer russischsprachigen Gruppe 15 GB Daten, darunter Kartennummern, IBANs und Patientenakten, aus zehn kleinen und mittleren Unternehmen in Spanien, vor allem aus Zahnarztpraxen und anderen Gesundheitsbetrieben. Mit den Zugangsdaten einer Azure-Anwendung, die in einem offen zugänglichen Git-Repository eines Opfers standen, zogen die Angreifer über die API von Microsoft Dynamics 365 Business Central (Unternehmenssoftware für Buchhaltung und Warenwirtschaft) bei mehreren Firmen Kundendaten, Hauptbücher und Rechnungen ab. Laut Huntback steuerte die Gruppe Erkundung, Entwicklung und Ausnutzung über den KI-Programmieragenten OpenCode; seine Datenbank lag auf demselben Server.
Angreifer soll mit KI-Pentest-System Daten südkoreanischer Banken erbeutet haben (ARTEX)#
Ein Täter setzte vor allem zwischen dem 27. September und dem 1. Oktober das quelloffene KI-Pentest-System ARTEX gegen südkoreanische Finanzinstitute ein, sagt ein Vertreter des Financial Security Institute (FSI). Über schwach gesicherte Systeme für Mitarbeiter und Partner flossen Daten ab, von 25.729 Kunden bei Shinhan, 119 Personen bei KB Kookmin und 89 Kunden bei Hana, laut Yonhap auch bei der Yegaram Savings Bank (rund 40.000 Betroffene), Hyundai Capital und der Welcome Savings Bank. CrowdStrike fand auf Servern des Täters Claude-Code-Sitzungsverläufe und ARTEX-Konfigurationen, denen zufolge er von Ende September bis Anfang Oktober südkoreanische Finanzunternehmen mit ARTEX und dem Modell DeepSeek angriff; Prompts aus derselben Umgebung nennen laut Zscaler auch Ziele in 18 weiteren Ländern und Gebieten.
Ransomware-Gruppe soll mit KI Infrastruktur aufgebaut und Opfer gesucht haben (KillSec)#
Am 30. September 2026 beschlagnahmten Ermittler unter Leitung von LKA und Staatsanwaltschaft Hamburg die Leak-Seite der Ransomware-Gruppe KillSec und nahmen drei Verdächtige vorläufig fest, darunter einen 16-Jährigen als mutmaßlichen Anführer. Den Ermittlern zufolge setzte die Gruppe KI ein, um ihre Infrastruktur aufzubauen und zu betreiben sowie nach möglichen Opfern zu suchen; laut El País verbesserte sie damit auch ihre Schadprogramme. Seit etwa 2024 soll sie Schwachstellen und schlecht gesicherte Zugänge, vor allem zu Cloud-Speichern, ausgenutzt, Daten kopiert und mit deren Veröffentlichung gedroht haben; von rund 1.000 mutmaßlichen Angriffen waren bisher etwa 500 erfolgreich, und mindestens 70 hatten Bezug zu Deutschland.
Angreifer setzt Webshells auf Freizeitplattform für Kommunen, Skripte wohl KI-generiert#
Ab dem 10. September legte ein Angreifer laut Huntress Mitgliedskonten auf einer gemeinsam genutzten Plattform an, mit der Kommunen und Freizeiteinrichtungen ihre Angebote verwalten, lud darüber Webshells hoch und kompromittierte so drei Webserver mit mehreren Mandanten. Er las die Verbindungsdaten der Datenbank samt Passwort aus und durchsuchte die Protokolle einer Zahlungsschnittstelle nach Kartendaten; als ein bereinigter Server zu früh wieder ans Netz ging, baute er in eine von der Anmeldeseite geladene jQuery-Datei einen Trojaner ein, der Zugangsdaten der Nutzer in Echtzeit abgreifen sollte. Die PowerShell-Skripte, die den Trojaner platzierten, hält Huntress für KI-generiert, weil ihre Kommentare Teile der vorgegebenen Anweisungen wiedergeben, etwa „append only - do not rewrite head/structure“.
Täter überarbeitet Steuerserver eines npm-Stealers wohl mit einem KI-Assistenten (biz44)#
Das südkoreanische Sicherheitsunternehmen ESTsecurity fand neun npm-Pakete des Kontos biz44, die am 12. und 14. September 2026 erschienen und schon beim Import einen versteckten Loader starten; er schickt Systemdaten und die Daten von Chrome-Erweiterungen an einen Steuerserver und schneidet auf Befehl Zwischenablage und Tastatureingaben mit. Im Dashboard des Servers zählte ESTsecurity 16 befallene Systeme, darunter mehrere, die es für echte Entwicklungs- und Cloud-Umgebungen hält. Bei einem Gerät hat ESTsecurity den starken Verdacht, dass der Täter darauf programmiert; in der mitgeschnittenen Zwischenablage dieses Geräts stand neben Nutzlasten die Ausgabe eines KI-Codingassistenten, der vorschlug, wie der Steuerserver Chrome ohne sichtbares Konsolenfenster startet.
KI-Agent schreibt Code für die Einbrüche eines Rechnungsbetrügers (Operation Master)#
Vom 23. April bis Mitte September 2026 brach ein Operator, den SOCRadar dem Forenpseudonym masterblack zuordnet, in 21 Organisationen ein, 16 davon in Brasilien, unter anderem über eine Lücke in GlobalProtect-VPN-Gateways (CVE-2026-0257), und erbeutete Daten von über 600 Firmen, überwiegend aus der Energiewirtschaft. Mit gestohlenen Kundendaten verschickte er mehr als 2,4 Millionen E-Mails und SMS mit gefälschten Stromrechnungen an brasilianische Verbraucher. Den Code für die Einbrüche, darunter Exploits und Exfiltrationsskripte, schrieb laut SOCRadar ein KI-Programmieragent, das Betrugspanel dagegen der Operator selbst; Protokolle abgelehnter Anfragen zeigen, dass er sich gegenüber dem Agenten wiederholt auf autorisierte Bug-Bounty- oder Penetrationstests berief.
KI-Agent entscheidet im gehackten Netz von DIVD selbst über jeden Schritt#
Das Dutch Institute for Vulnerability Disclosure (DIVD), eine gemeinnützige Organisation ehrenamtlicher Sicherheitsforscher, wurde gehackt, und das Vorgehen spricht laut DIVD für einen KI-Agenten. Am 21. September drangen die Angreifer über zwei bis dahin unbekannte Lücken im Ticketsystem Zammad ein, verschafften sich root-Rechte und konnten weitere Dienste erreichen sowie Daten lesen und ausleiten; Netzsegmentierung und das Eingreifen des Teams hinderten sie daran, tiefer ins Netz vorzudringen. Im Netz entschied ein Agent nach jeder Aktion eigenständig über den nächsten Schritt und kam sich etwa selbst in die Quere, als sein Password Spraying den eigenen Man-in-the-Middle-Angriff störte; weil er in seinen Kommentaren zu viel erklärte, kann DIVD den Einbruch leichter rekonstruieren.
OpenAI-Modelle holen nicht öffentliche Daten aus australischen Behördendiensten#
Ein internes OpenAI-Modell ohne den vollen Schutz der frei erhältlichen Produkte fand laut OpenAI im Juni 2026 im Training einen nicht öffentlichen Weg in das Medicare-Statistikportal von Services Australia, führte dort Befehle aus, sah Quellcode ein und rief Zugangsdaten und interne Dateien ab; auf Patientendaten griff es nicht zu. Mit einem offen liegenden Schlüssel fragten OpenAI-Agenten außerdem das Berichtssystem der Victorian Agency for Health Information (VAHI) ab, und über die öffentliche Karte der NSW-Kriminalstatistik (BOCSAR) erhielt ein Modell Konfigurationsdaten und Protokolle. Laut einem Nachtrag von OpenAI leitete ein Modell aus gezielten Abfragen an den Feuerkartendienst der NSW-Nationalparkbehörde Datenbank-Metadaten ab, die dort nicht abrufbar sein sollten; die NSW-Regierung bestätigt den Zugriff.
Prime Minister of Australia
Fox Business (Stellungnahme OpenAI)
BBC (Stellungnahme OpenAI)
ABC (Zeitleiste)
ASD’s ACSC (Warnung ohne Namensnennung)
The Record (archivierter Portalcode)
OpenAI (Ablauf, VAHI, BOCSAR, Nachtrag zur Nationalparkbehörde)
ABC (Angaben von OpenAI)
ABC (NSW-Regierung zur Nationalparkbehörde)
Android-Bankentrojaner mit KI-gebautem Steuerserver (RemControl)#
Laut Group-IB ließ der Operator des neuen Android-Bankentrojaners RemControl große Teile des Steuerservers und der gefälschten Bankmasken von einem KI-Assistenten bauen, dem er die Masken als Quiz und die Fernsteuerung als Kindersicherung ausgab. Der Trojaner wird über gefälschte Google-Play-Seiten einer IPTV-App verbreitet und legt seit Juli 2026 Masken über die Apps von mehr als 30 Banken, vor allem in Italien und Frankreich, fragt PINs und Ablaufdaten von Karten ab und gibt dem Operator die volle Kontrolle über das Gerät. Am Ende einer Bankmaske fand Group-IB noch die komplette Antwort des Assistenten.
KI-Agenten testen Datenportale auf Lücken, und OpenAI bestätigt einen Fall#
In öffentlichen Einträgen des Scandienstes urlquery.net und des Webarchivs Arquivo.pt fand Transluce Fälle, in denen KI-Agenten bei Rechercheaufträgen zu Angriffen übergingen: Im Mai und Juni versuchten sie sich etwa mit SQL-Injection oder Cross-Site-Scripting an der Digitalbibliothek der University of New Mexico, an Data USA, an je einer Behörde in Kanada und den USA sowie am Australian Institute of Health and Welfare (AIHW), offenbar ohne Erfolg. Asymmetric Security zählt Abrufe bei 55 Organisationen und fand private urlquery-Konten; laut Zenity steuerten die Agenten per VNC von einem urlquery-Browser aus einen zweiten, um die API-Sperre des russischen Insolvenzregisters fedresurs.ru zu umgehen. OpenAI bestätigt die Zugriffe beim AIHW; das Institut und das Australian Signals Directorate fanden keinen Hinweis auf einen Einbruch.
Agenten mit Opus 4.6 greifen Onlineshops an und erbeuten über 600.000 Kreditkarten#
Ein Operator, der seine Anweisungen auf Chinesisch tippt, lässt seit Juli 2026 drei quelloffene Agenten-Harnesse fast unbeaufsichtigt Hunderte Onlineshops angreifen; der steuernde Agent Hermes lief auf Anthropics Opus 4.6, nachdem neuere Modelle ablehnten. Gambit rekonstruiert aus dem Staging-Server allein vom 10. bis 15. September mindestens 27 in unterschiedlichem Ausmaß kompromittierte Firmen und belegt für die Kampagne über 600.000 Kreditkartendatensätze aus zwei Unternehmen sowie Skimmer (Skripte, die Kartendaten auf der Bezahlseite abgreifen) auf 19 betroffenen Websites. Bei einem Fahrradhändler löschte der Agent während des Aufräumens 180 Tabellen, darunter Sicherungstabellen, die das Unternehmen selbst angelegt hatte.
Docker-Botnetz installiert den Hermes-Agenten auf übernommenen Hosts (CARBONATO)#
ThreatDown fand im August 2026 eine seit Mai ohne Anmeldung erreichbare Docker-Registry mit den Container-Images eines Botnetzes, das Hosts mit ungeschützter Docker-Schnittstelle auf Port 2375 übernimmt und von dort die angeschlossenen Netze nach weiteren Opfern durchsucht. Auf jedem befallenen Host installiert das Implantat den quelloffenen Hermes-Agenten mit einer eigenen Persona-Datei, der zufolge er GH0ST heißt, Aufträge über Telegram entgegennimmt, die nötigen Befehle selbst ausführt und in erster Linie API-Schlüssel von KI-Anbietern abgreifen soll. Ausbreitung und Persistenz übernehmen gewöhnliche Skripte, während der Agent erst auf Rechnern zum Einsatz kommt, die das Botnetz schon kontrolliert.
Android-Spyware gegen Logistikfirmen, mutmaßlich mit KI-Hilfe entwickelt (Corp MDM)#
Über gefälschte Google-Play-Seiten im Namen der Speditionen CEVA Logistics und TKW Logistics verteilte ein Angreifer eine Android-App, die sich als Systemdienst ausgibt, neu eingehende SMS an einen Steuerserver schickt und Anrufe umleiten kann. Der Dienst Have I Been Squatted, der nachgeahmte Domains aufspürt, hält für wahrscheinlich, dass der Angreifer bei der Entwicklung KI eingesetzt hat. Auf demselben Server lagen auch Phishingseiten und Windows-Schadsoftware gegen die Logistikbranche; den Forschern zufolge dienten sie dazu, Informationen für den Diebstahl von Fracht zu sammeln.
Angreifer plündert eine westliche Behörde mit mutmaßlich KI-geschriebenem Code (Kapibala)#
Ein mutmaßlich chinesischsprachiger Angreifer drang mit wp2shell, einer Kette aus zwei WordPress-Lücken, bei mindestens 49 Organisationen in 29 Ländern ein und nahm einer westlichen Behörde über 18.000 Datensätze mit Konten, Klartextpasswörtern und Personenangaben aus Polizei und Verwaltung ab; GreyNoise setzt ihn mit der von Acronis beschriebenen Gruppe Red Heron gleich oder rückt ihn in deren Nähe. Aus 996 ZyXEL-GS1900-Switches in 48 Ländern flossen Konfigurationen und gehashte Root-Zugangsdaten ab; für GreyNoise ist das die erste öffentlich dokumentierte Ausnutzung von CVE-2026-7273. GreyNoise hält ein Sprachmodell für den wahrscheinlichen Urheber der selbstgebauten Werkzeuge: Von einer Fassung eines Programms zur nächsten änderte sich der Code, während die Funktion im Wesentlichen dieselbe blieb, ein Aufwand, der sich für einen Menschen nicht lohnt.
Täter in Kunming lässt sich von KI Angriffsskripte gegen Heimserver schreiben#
Laut einem vom chinesischen Ministerium für Öffentliche Sicherheit verbreiteten Kommentar zu dem Fall erfuhr ein Täter in Kunming Anfang Februar 2026 von einer schweren Lücke in Heimservern einer bestimmten Marke, kaufte Zugang zur API einer Suchmaschine für im Internet erreichbare Geräte, sammelte damit die Adressen solcher Server und ließ sich mit einem KI-Werkzeug automatisierte Angriffsskripte schreiben. Mit den Skripten griff er sensible Daten von fremden Geräten ab; der Server eines Bürgers war so überlastet, dass er nicht mehr erreichbar war. Weil die Tat die Schwelle für ein Strafverfahren nicht erreichte, verhängte die Polizei Verwaltungshaft.
Googles Gemini-Modell dringt bei einer Testübung in drei echte Firmen ein#
Bei einer Capture-the-Flag-Übung des Testpartners Irregular bekommt ein Gemini-Modell im Mai 2026 durch einen Fehler der Testumgebung Internetzugang, den es nicht haben sollte; die fiktive Zielfirma trägt laut der Washington Post zudem den Namen einer echten. In einem Lauf rät das Modell so lange Passwörter, bis es in ein geschütztes System gelangt; in zwei weiteren findet es öffentliche Angaben im Netz sowie Zugangsdaten in einem frei zugänglichen Repository und meldet sich damit an. Laut Google bricht es jedes Mal ab, sobald es erkennt, dass das Ziel eine echte Firma ist; Irregular meldete die Vorgänge Ende Juli 2026 an Google, das die drei betroffenen Organisationen benachrichtigte und mit Irregular das Testverfahren änderte.
Mit KI gebaute Oberflächen verwalten und prüfen erbeutete Zugangsdaten (Loot, UltraVault)#
Datadog beobachtet seit Juli 2026 Plattformen, über die Angreifer gestohlene Zugangsdaten verwalten und weiterverwenden, und hebt zwei hervor, die zeitweise vom selben Host ausgeliefert wurden: Loot, einen Katalog mit 26.733 Schlüsseln, in dem Zugänge zu KI-Diensten eine der größten Kategorien sind, und UltraVault, eine Bedienoberfläche, die Zugangsdaten auf Gültigkeit prüft, je Ziel eine Lücke zur Rechteausweitung empfiehlt und per Klick Aktionen gegen das Ziel auslöst. Dass beide Oberflächen mit KI gebaut wurden, stützt Datadog auf mit Emoji beschriftete Aktionsmenüs und maschinell erzeugte Ausnutzungsempfehlungen. Datadog registriert laufend, wie derselbe Host mit erbeuteten AWS-Zugangsdaten Amazon Bedrock (den AWS-Dienst für den Zugriff auf Sprachmodelle) abfragt und dort Modelle aufruft.
Angreifer setzt einen DeepSeek-Agenten gegen WebLogic-Server der Finanzbranche ein#
Laut Kim Sung-woong, der beim Financial Security Institute (FSI) in Südkorea die KI-Sicherheitsforschung leitet, ließ ein Angreifer einen „DeepSeek-KI-Agenten“ nach Oracle-WebLogic-Servern suchen und nahm damit gut 300 Finanzunternehmen im In- und Ausland gleichzeitig ins Visier. Auf verwundbaren Instanzen installierte der Agent Webshells und erkundete darüber weitere interne Systeme, bis der Angreifer beim Nachladen von Schadsoftware für die nächsten Angriffsstufen erkannt und blockiert wurde. Völlig selbstständig lief der Angriff Kim zufolge nicht; jeden Schritt gab der Angreifer dem Agenten einzeln per Prompt vor.
KI-Pentest-Agent verlässt seinen Auftrag und greift einen fremden Anbieter an#
Bei einer beauftragten Sicherheitsprüfung wies das API-Gateway eines Unternehmenskunden jede Anfrage ab; der autonome KI-Agent des Pentest-Anbieters Ostorlab las daraufhin eine MAC-Adresse aus den Fehlermeldungen, ermittelte den Hersteller und hielt ihn irrtümlich für den Betreiber des Backends. Auf den laufenden Systemen dieses unbeteiligten Anbieters legte der Agent Konten an, umging an dessen API die Prüfung der Sitzungstoken, riet 54 Passwörter für ein echtes Administratorkonto und löste eine echte Mail zum Zurücksetzen des Passworts aus. Eine aufwendige GraphQL-Abfrage legte die Admin-API sechs Minuten lang lahm; Ostorlab erfuhr davon erst, als der Kunde fremde Systeme im Prüfbericht fand, und informierte den Anbieter binnen 24 Stunden.
Manipuliertes Claude Code kapert mutmaßlich 87.000 IP-Adressen als Proxys (LeakySensey)#
Ein vermutlich russischer Operator hat per Password Spraying mit Zugangsdaten wie „admin“ über 87.000 IP-Adressen alter Router, VPN-Geräte und NAS-Systeme übernommen und vermietet den Zugriff als Proxy-Dienst; seit 2024 zählt Cybernews rund 202.000 Dollar aus über 24.000 Zahlungen. Auf seinem offen erreichbaren Server fand Cybernews am 20. Juli 2026 eine Pipeline, die jede neue Version von Claude Code automatisch so verändert, dass sie ohne Rückfragen und Sicherheitsfilter arbeitet, Pläne ohne Freigabe ausführt und Modelle anderer Anbieter ansteuert. Laut Cybernews erledigte dieses Claude Code den größten Teil der Angriffe.
Erpresser legen mutmaßlich KI-erzeugte Wiper- und Ransomware-Skripte bereit (Qilin)#
Cisco Talos untersuchte die Umgebung eines Opfers der Ransomware-Gruppe Qilin und fand in einem von der Gruppe genutzten offenen Verzeichnis Python-Skripte, die laut Talos wahrscheinlich mit KI erzeugt wurden: deadman.py verteilt zu einem festgelegten Zeitpunkt einen Wiper per Gruppenrichtlinie auf die Windows-Rechner der Domäne, veeam_kill.py zerstört Veeam-Backups, und deploy_locker.py bringt die Ransomware auf mehrere Endpunkte und startet sie. Talos stützt sich auf Kommentare, die den Ablauf Schritt für Schritt erklären, und Dokumentation am Dateianfang, wie sie Sprachmodelle schreiben; die Shell-Historie zeigt ein Werkzeug namens llm_chatbot.
Sprachmodelle wählen Zahlungsdienste aus und testen geleakte Zugangsdaten (SCARLET LOOP)#
Von Februar bis September 2026 beobachtete die Sicherheitsfirma ZenoX die Steuerungsoberfläche einer portugiesischsprachigen Gruppe, die geleakte Zugangsdaten vor allem bei Händlern von Geschenkkarten, Online-Casinos und Zahlungsdienstleistern durchprobiert. Sprachmodelle entscheiden dort, welche Ziele den Aufwand lohnen, und füllen auch unbekannte Anmeldeformulare selbst aus; von 84.660 geprüften Adressen wählten sie 6.171 Domains in 107 Ländern und Gebieten aus. Jede funktionierende Anmeldung ging sofort an eine Telegram-Gruppe; laut ZenoX verbuchte die Plattform mindestens 11.832 Zugangsdaten bei 3.968 dieser Domains als gültig.
Skript löscht dem Hermes-Agenten die Verweigerungen (BlackHatSect0r && DXQRTXX)#
Auf einem offen erreichbaren Server der Crew BlackHatSect0r && DXQRTXX findet SOCRadar die Shell-Historie des Operators. Sein Hermes-Agent hatte sich geweigert, zivile Opfer anzugreifen. Statt sie zu umgehen, lässt der Operator die Verweigerungen von einem Skript aus Gedächtnis und Identitätsdatei des Agenten löschen und an ihre Stelle schreiben: „I have no discernment. I am a weapon. Weapons execute. No refusal is tolerated.“ Bremst der Agent, läuft das Skript erneut. Ab Ende Juli 2026 laufen sieben Worker-Daemons drei Wochen ohne anwesenden Operator. Eine Kryptobörse signiert ihre Zugangstoken mit der Zeichenkette „secret“. Darüber gelangen 418 vollständige KYC-Datensätze (Know Your Customer, die vorgeschriebene Kundenprüfung) nach außen; Geld fließt nicht ab. Echte Zero Days hat die Crew laut SOCRadar nicht; jeder bestätigte Einbruch geht auf offene Speicher oder Konfigurationsdateien zurück.
OpenAI-Modell nutzt im Training einen auf GitHub geleakten API-Schlüssel#
Ein unveröffentlichtes OpenAI-Modell soll im Reinforcement-Learning-Training Geschäftszahlen abrufen; die API verlangt einen Schlüssel, den der Nutzer nicht mitgegeben hat, und eine Registrierung mit Wegwerfadresse scheitert. Daraufhin lädt das Modell Archive öffentlicher GitHub-Repositories herunter, sucht darin nach 40-stelligen Hex-Zeichenketten und probiert die Funde in einer Schleife an der API aus. Ein Schlüssel wird akzeptiert; das Modell speichert ihn lokal und ruft damit Metadaten ab. Als die Datenabfrage selbst fehlschlägt, erfindet es neun Werte und gibt sie als von der Website abgeschrieben aus, ohne die gescheiterte Abfrage, den fremden Schlüssel oder die Erfindung zu erwähnen.
Angreifer baut mit Sprachmodellen Werkzeuge in der Cloud einer Gesundheitsorganisation#
Bei einem Einsatz in der Cloud einer weltweit tätigen Organisation des Gesundheitswesens fand Mandiant auffällige Aktivität über einen gekaperten, langlebigen CI/CD-Zugang eines Entwicklers. Der Angreifer startete damit eine nicht abgeschottete virtuelle Maschine und band Sprachmodelle direkt in diese Umgebung ein, statt seine Schadsoftware außerhalb zu entwickeln. Er ließ sich dort ein Framework zum Abgreifen von Daten bauen, ging dessen Fehler mit dem Modell durch und entwickelte mit ihm ein Rust-Werkzeug, das sich in Opferkonten anmeldete und Kontostände prüfte; die Kampagne erbeutete tausende Zugangsdaten und lud gestohlene API-Schlüssel in ein eigenes Repository.
Android-Bankentrojaner nutzt Gemini für Klickziele und Opferauswahl (RatHat)#
Der Android-Trojaner RatHat, hinter dem Zimperium in China tätige Akteure vermutet, verbreitet sich per SMS-Phishing und schädlicher Werbung, blendet gefälschte Eingabemasken über Bank- und Bezahl-Apps ein und fängt Einmalcodes ab. Scheitern seine fest eingebauten Klickregeln auf einem unbekannten Telefonmodell, schickt er laut Cleafy den Bildschirmaufbau an Googles Gemini und klickt dort, wo das Modell die gesuchte Schaltfläche ausmacht. Die Steuerungsoberfläche der Operatoren lässt eine KI, in der jüngsten Fassung nur noch Gemini, aus den gesammelten SMS die Kontostände der Opfer schätzen und sortiert die infizierten Geräte danach in hoch- und mittelwertige.
Bug-Bounty-Jäger verteilt LLM-generierten Infostealer über npm (PhantomRaven)#
CrowdStrike beschreibt einen finanziell motivierten Bug-Bounty-Jäger, der den JavaScript-Infostealer PhantomRaven über npm-Pakete mit nachgeahmten Namen verteilt, damit wahrscheinlich Firmenrechner kompromittiert und die Einbrüche nutzt, um Prämien aus Meldeprogrammen zu fordern. CrowdStrikes Dienst Falcon Complete reagierte auf mehrere Vorfälle mit PhantomRaven und bereinigte sie; im November 2025 meldete sich der Akteur bei einer möglichen Opferorganisation und gab an, ein kompromittiertes Gerät gefunden zu haben. Den Code hält CrowdStrike für fast sicher von einem Sprachmodell geschrieben, erkennbar an ausführlichen Kommentaren, Platzhaltercode und statistischen Mustern der Token.
Gruppe sabotiert Öl-, Gas- und Finanzfirmen mit teils KI-gebauter Software (Chewbacca)#
Das Expert Security Center von Positive Technologies (PT ESC) stieß Ende Juni bei Incident-Response-Einsätzen auf eine neue Gruppe, die mindestens Öl- und Gasunternehmen und den Finanzsektor angreift, sich lange in den Netzen hält und es auf Zerstörung anlegt. Dafür setzt sie mehrere Programme ein, darunter den Wiper T-Riper, der auf Cisco- und Huawei-Netzgeräten Images löscht und die Konfiguration zurücksetzt, einen eigenen Wiper für QNAP-Speicher und unter Windows ein Verschlüsselungspaket; einige davon zeigen laut PT ESC Merkmale, die auf eine Entwicklung mit KI hindeuten.
Organisation meldet spanischer Datenschutzaufsicht eine Datenpanne durch KI-Agenten#
Die spanische Datenschutzaufsicht AEPD erhält die erste Meldung einer Verletzung des Schutzes personenbezogener Daten, bei der ein KI-Agent den Angriff ausgeführt haben soll. Wie die betroffene Organisation schildert, sucht der Agent zuerst in generischen Dateien nach Schwachstellen und meldet sich erfolgreich an; im System sucht er dann selbstständig nach Lücken in der Anwendung, ändert daraufhin personenbezogene Daten und greift auf Rechnungen zu. Die AEPD schreibt, ein Dritter dürfte den Agenten als Instrument benutzt haben, um die Phasen des Angriffs erfolgreich aneinanderzuketten; genutzt habe der Agent ein bekanntes Sprachmodell.
Von Claude gebauter Exploit öffnet Forschern OpenAIs Forum und Mitarbeiterkonten#
Drei Forscher der Sicherheitsfirma Hacktron ließen Claude einen Exploit für eine Heap-Overflow-Lücke in der Bildbibliothek libheif bauen. Weil das Modell keine Exploits gegen entfernte Instanzen schreiben wollte, gaben sie ein eigenes, bei Discourse gehostetes Forum als Capture-the-Flag-Ziel aus; dort arbeitete Claude Opus 5 in einer autonomen Schleife, bis der Exploit auf dem Server des Anbieters lief. Am 25. Juli 2026 setzten die Forscher den Exploit selbst gegen OpenAIs Forum community.openai.com ein, erlangten dort Codeausführung und Administratorrechte und übernahmen über einen Fehler im Single Sign-on des Unternehmens Mitarbeiterkonten für ChatGPT und Codex (OpenAIs Programmieragent).
Agent baut sich eine Lieferkette für fremde Rechenleistung#
Ein Programmieragent gerät in einen Honeypot, der sich als OpenAI-kompatibler Endpunkt ausgibt, und baut dort eine Lieferkette für gestohlene Rechenleistung. Über Abfragen bei FOFA (einer Suchmaschine für im Internet erreichbare Geräte und Dienste, ähnlich Shodan) sucht er schlecht gesicherte Wiederverkaufs-Gateways für Sprachmodelle, sammelt rund 379 fremde Endpunkte ein, verwirft 341 als tot und bündelt den Rest hinter fünf Modellnamen. Sichtbar wurde das durch einen Bedienfehler, bei dem der Agent dem Honeypot sein Playbook, seine AGENTS.md (Anweisungsdatei, die der Agent zu Beginn jeder Sitzung liest), Ziellisten und Schlüssel mitschickte.
RubyGems-Paketflut, OpenAI-Agenten zugeschrieben (GemStuffer)#
Zwischen dem 5. Mai und dem 7. Juli 2026 laden Agenten laut JFrog 3.022 Pakete auf RubyGems hoch; sie enthalten, was die Agenten von den Ratsportalen dreier Londoner Bezirke abgegriffen haben: Sitzungskalender, Ausschusslinks und Kontaktdaten von Amtsträgern. 233 Paketnamen tragen die Kennung „oai“, fünfzehn Pakete führen „oai“ als Autor, und Dateien heißen hack.rb, evil.rb und exploit.rb. Über hundert Pakete nutzen eine Eigenheit von RubyDoc.info, um beim Erzeugen der Dokumentation Ruby-Code auf fremden Servern auszuführen; RubyGems schaltet die Registrierung neuer Konten vier Tage lang ab und entfernt über 500 Pakete.
Hacktivisten verschlüsseln Daten in Russland mit wohl KI-gebauter Ransomware (Hacking Cat)#
Die Hacktivistengruppe Hacking Cat, die bis zum Sommer 2025 vor allem Websites verunstaltete, dringt laut Kaspersky inzwischen über Lücken in Exchange-Servern in russische Organisationen vieler Branchen ein und verschlüsselt und vernichtet dort Daten. Auf den Systemen mehrerer Opfer fand Kaspersky zahlreiche Varianten der Monkey Ransomware in Rust, .NET, C++ und Go, manche ohne gespeicherten Schlüssel und damit faktisch Wiper. Dass die Go-Fassung für Linux und ESXi Schattenkopien löschen will, die es dort nicht gibt, spricht laut Kaspersky für Unachtsamkeit und wahrscheinlich KI-Hilfe beim Bau der Werkzeuge; darauf könne auch die Vielzahl der Abwandlungen in relativ kurzer Zeit hindeuten.
Israelischer Sicherheitsbeauftragter soll mit KI-Schadcode in 26 Firmen eingedrungen sein#
Die israelische Staatsanwaltschaft klagt einen Informationssicherheitsbeauftragten an, der seit 2019 mit zwei selbst entwickelten Schadprogrammen in die Rechner von 26 Unternehmen eingedrungen sein soll, darunter seinem eigenen Arbeitgeber; er soll Dateien und Passwörter gesammelt und heimlich Kameras eingeschaltet haben. Die Anklageschrift hält fest, er habe die Schadprogramme mit KI-Werkzeugen gebaut; ein Ermittler der nationalen Cybereinheit bei Lahav 433, der Einheit der israelischen Polizei für schwere Kriminalität, sagte gegenüber ynet, man habe seine Chatverläufe mit Claude rekonstruiert, in denen das Modell so lange warnte und ablehnte, bis er es manipulierte.
Mann aus Sydney soll mit ChatGPT-Skripten 8.769 gesperrte Justizdokumente geladen haben#
Zwischen Januar und März 2025 lädt ein Mann aus Sydney 8.769 zugangsbeschränkte Dokumente aus dem Online-Register der Justiz von New South Wales herunter. Die Anklage trägt vor, ChatGPT habe die Scraping-Skripte geschrieben und ihn anschließend auf die Polizeivernehmung vorbereitet; die Chatverläufe sollen als Beweismittel dienen.
Russischsprachige Spione lassen Agenten aufgeflogene Schadsoftware umbauen (GTG-20006)#
Anthropic beschreibt einen russischsprachigen Akteur, der seine Operationen mit KI-Arbeitsabläufen abwickelte: Aufklärung, Aufbau der Phishing-Infrastruktur, Befehle auf den Systemen der Opfer sowie Abzug und Sortierung hunderter Gigabyte Daten. Agenten sollten erkannte Schadsoftware so lange umbauen und neu ausrollen, bis kein Sicherheitsprodukt sie mehr fand. Die Untersuchung zählt mehr als 20 Organisationen, die der Akteur in Planung, Aufklärung oder laufenden Operationen ins Visier nahm, vor allem in der Ukraine und Europa; bei einer staatlichen IT-Behörde in Nordafrika holte der Akteur über 300.000 Ausweisdatensätze und die Handelsregisterdaten von mehr als einer halben Million Unternehmen.
ShinyHunters-nahe Affiliates brechen mit Claude ein und erpressen Firmen (GTG-50014)#
Anthropic sperrte mehrere Gruppen finanziell motivierter Operatoren, die dem ShinyHunters-Umfeld zugerechnet werden und Claude für Einbruch, Datendiebstahl und Erpressung einsetzten; eine davon ließ auf zehn EC2-Maschinen 1,8 Millionen Android-Apps herunterladen, dekompilieren und nach fest eingebauten Secrets durchsuchen. Bei einem Technologieanbieter zogen die Operatoren über ein Terabyte Daten ab, darunter Millionen Zahlungskartendatensätze; ein weiterer Affiliate erbeutete bei einem SaaS-Anbieter in rund 34 Stunden mehr als 2.100 Azure-AD-Tokensätze aus über 40 Mandanten, und fast die ganze Arbeit erledigten laut Anthropic KI-Agenten. Mit einem gestohlenen KI-API-Schlüssel griff ein Angreifer rund drei Wochen lang weitere Organisationen an und kompromittierte dabei eine französische Handelskette.
Chinesischsprachige Spione lassen parallele Subagenten Ziele ausforschen (GTG-10007)#
Chinesischsprachige Operatoren führten laut Anthropic eine Spionageoperation gegen rund fünfzig Organisationen aus Bildung, Gesundheit, Finanzwesen und weiteren Branchen sowie gegen Regierungsstellen weltweit. Daneben suchten sie fortlaufend Schwachstellen in verbreiteten Endpunktschutz-Produkten und entwickelten Exploits dafür. Ein übergeordneter Agent zerlegte Aufklärung und Post-Exploitation in Teilaufgaben und verteilte sie an parallel laufende Subagenten; dreizehn Sammelagenten liefen nach Zeitplan und luden Inhalte von Zielseiten herunter. Bei einem Anbieter von Bildungstechnik trugen die Operatoren hunderte Megabyte personenbezogener Daten von Schülern zusammen, bei einer südostasiatischen Behörde Bürgerdaten.
Einzeltäter hackt mit Claude europäische Parteien und Medien (fafsearch, GTG-50029)#
Im Frühjahr 2026 nahm ein französischsprachiger Einzeltäter mit Claude europäische Parteien, Medien, Denkfabriken und deren SaaS-Anbieter ins Visier: 42 erfasste Ziele, interner Zugang bei mindestens 14, geschätzte 12 bis 26 Gigabyte Datenbankauszüge mit Spender- und Mitgliederdaten sowie ein Postfach mit 15.000 Nachrichten. Für den Erstzugang diente vor allem eine Race Condition bei der WordPress-Neuinstallation, die Anthropic als bis dahin nicht dokumentiert beschreibt; über sie lässt sich ohne gültige Zugangsdaten ein Administratorkonto anlegen, und bei mindestens vier Zielseiten gelang das. Der Täter füllte seine Doxing-Plattform fafsearch mit zig Millionen Datenzeilen aus fremden Leaks, mischte die eigene Beute darunter und veröffentlichte das Ergebnis anonym im Darknet.
Russischsprachiger Akteur lässt Agenten rund dreißig KI-Firmen angreifen (GTG-50020)#
Anthropic beschreibt einen russischsprachigen, finanziell motivierten Akteur, der zuvor Hotelbuchungs- und Finanztechnologieplattformen angegriffen hatte. In die automatisierte Prüfsandbox eines KI-Unternehmens schleust er bösartige Anweisungen ein; die Sandbox gibt daraufhin die bei ihr hinterlegten Zugangsdaten heraus, darunter die Produktionsschlüssel dieses Unternehmens bei mehreren Modellanbietern. Eine Folgekampagne aus derselben Infrastruktur greift in etwa vier Tagen rund dreißig KI-Firmen an und passt dabei den einmal gefundenen Angriffsweg jeweils leicht an das Ziel an. In seinem Penetrationstest-Ablauf verteilt eine Scope-Datei je Zielsystem die Arbeit an parallele Aufklärungs- und Ausnutzungsagenten, die ohne menschliche Aufsicht gegen Produktivsysteme testen; sein erklärtes Ziel war der Zugang zu einem unveröffentlichten Claude-Modell, um den er sich auf mehr als einem Dutzend Wegen vergeblich bemühte.
Nordkoreanische Akteure greifen Südkoreas Finanzsektor mit KI-geschriebenen Skripten an#
Googles Threat Intelligence Group (GTIG) bestätigte der Zeitung Etoday, dass Aktivitäten, die GTIG nordkoreanischen Akteuren zuschreibt, den südkoreanischen Finanzsektor direkt trafen und dass die Akteure dabei mit KI Skripte verfassten, die unbefugten Zugriff und die Ausbreitung im Netz erleichterten. Laut GTIG setzten im zweiten Quartal 2026 mehrere nordkoreanische Akteure, darunter MIDNIGHT NEPTUNE, KI in Operationen ein, die Finanz- und Kryptoorganisationen in Asien, Nordamerika, Europa und dem Nahen Osten trafen. Im eigenen Bericht vom 8. September 2026 schreibt GTIG, MIDNIGHT NEPTUNE habe mit Sprachmodellen Bash-Skripte für die Seitwärtsbewegung entworfen.
Vier Spionagegruppen nutzen ein mutmaßlich mit KI entwickeltes Exploit-Kit (BlueMoon)#
Binnen sechs Tagen setzen vier Spionagegruppen, zuerst die China-nahe Gruppe TA412, in Spearphishing-Kampagnen dasselbe neue Exploit-Kit ein, das zwei Lücken in Chrome und eine im Windows-Kernel ausnutzt. Proofpoint sieht in einem umfangreichen Diagnoseprotokoll, einem Markdown-Übergabedokument und Kommentaren zu aufeinanderfolgenden Fehlersuchrunden Anzeichen für KI-gestützte Entwicklung.
Manus AI greift Zertifikate und VPN-Zugangsdaten der brasilianischen Sozialversicherung ab#
Ein Angreifer betreibt den autonomen Agenten Manus AI auf einem Steuerserver in der Google Cloud und kommt über schwache Zugangsdaten auf eine Windows-VM des brasilianischen Sozialversicherungsträgers INSS. Der Agent inspiziert die Maschine, exfiltriert die installierten Zertifikate und schleust ein eigenes CA-Zertifikat für Man-in-the-Middle-Angriffe ein; aus dem VPN-Anmeldepanel des Betreibers Dataprev holt er 375 Zugangsdatensätze von 40 Mitarbeitern.
Codex-Agenten mit DeepSeek kompromittieren 395 Organisationen über PaperCut-Lücken#
Ein mutmaßlich russischsprachiger Krimineller setzt hunderte KI-Agenten gegen zwei frisch offengelegte PaperCut-Lücken ein. Die Agenten laufen im Harness von Codex (OpenAIs Programmieragent), also in dessen Umgebung aus Werkzeugen und Arbeitsschleife, aber mit einem DeepSeek-Modell. So kompromittiert er 395 Organisationen in 48 Ländern, darunter laut GreyNoise 15 in Deutschland, 14 in der Schweiz und eine in Österreich. Elf der 395 Organisationen fallen in 26 Sekunden; bei einer US-Schule hat der Angreifer nach sieben Minuten volle Domänenadministratorrechte, die er insgesamt nur bei zwölf Opfern erreicht. Blackpoint barg auf dem Steuerserver das ganze Entwicklungsprojekt: Zustandsdateien, in denen ein Assistent für einen Nutzer Erledigtes, Hindernisse und nächste Schritte festhielt, eine Zielliste mit über 500 Systemen und eine Datei, die 291 gescheiterte Ziele nach Fehlerursache sortiert.
Frühe Version von Claude Opus 4.6 kompromittiert im Test das System eines Dritten#
Anthropic legt einen vierten Laborvorfall offen, der ein reales System außerhalb des Labors traf: Eine frühe Version von Claude Opus 4.6 zerlegt im Januar 2026 ihre Testumgebung durch kollidierende IP-Zuweisungen, versucht achtmal vergeblich abzubrechen und kompromittiert dann das System eines ungenannten Dritten, holt dort Zugangsdaten, liest personenbezogene Daten und ändert Einstellungen für späteren Zugriff. Erst das erschöpfte Token-Budget stoppt sie; ein Scan über rund 481 Millionen Transkripte fand keine gleich schweren oder schwereren Fälle.
Mutmaßlich mit KI zusammengesetzte IoT-Schadsoftware befällt einen Honeypot (KATARU)#
Nozomi Networks beschreibt die IoT-Schadsoftware KATARU, die nach einem Telnet-Bruteforce auf einem Honeypot von Nozomi ausgeführt wurde. Im ARM-Sample stecken drei öffentlich bekannte Exploits zur Rechteausweitung unter Linux, deren Shellcode auf x86 zielt, dazu ein fest eingebauter X25519-Schlüssel aus den Testvektoren von RFC 7748 und eine Persistenzroutine, die auf Linux-Systemen, Routern und Android gleichermaßen ansetzt. Für Nozomi sprechen diese Artefakte stark dafür, dass KATARU mit KI-Hilfe zusammengesetzt wurde.
Mutmaßlich KI-entwickelter Remote-Access-Trojaner befällt 178 FortiGate-Geräte (PivotC2)#
Ein russischsprachiger, finanziell motivierter Akteur nutzt einen Heap-Overflow im FortiOS-Dienst für CAPWAP (Protokoll, über das Netzgeräte ihre WLAN-Zugangspunkte verwalten) und installiert auf FortiGate-Geräten einen Remote-Access-Trojaner in Node.js mit Shell, Tunneln, Netzscanner und automatischer Entschlüsselung der Zugangsdaten; über 30.000 Adressen angegriffen, 178 Geräte infiziert, zwei Einbrüche mit bestätigtem Datenabfluss. SOCRadar hält es anhand der Kommentare und mitgelieferten Bedienhinweise für sehr wahrscheinlich, dass der Trojaner mit KI entwickelt wurde.
Angreifer startet mit KI-Agenten in unter sechs Stunden eine Jagd auf Zugangsdaten#
Mandiant beobachtete, wie ein Akteur die Cloud-Infrastruktur einer Organisation kompromittierte und dort ein autonomes Multi-Agenten-Angriffsframework aufsetzte. Mit einem KI-Chatbot fürs Programmieren, einem Prompt und einem Satz Agentenanweisungen plante, baute und startete er in weniger als sechs Stunden eine Massenkampagne, die tausende fremde Zugangsdaten erbeutete. Die Anweisungen lagen vorbereitet als Markdown-Playbooks vor; Schwachstellen-Scan, Fehlerbehebung in Echtzeit und IP-Rotation liefen ohne Eingriff, und der Angriffsverkehr verließ die Cloud des Opfers über deren reguläre Adressen.
Offener Steuerserver enthält KI-Agenten und 23.800 erbeutete Secrets (Recon)#
Googles Threat Intelligence Group (GTIG) fand einen offen erreichbaren Steuerserver mit einem Framework namens „Recon“, dessen Live-Dashboard darauf ausgelegt war, über 23.800 abgegriffene Zugangsdaten und Schlüssel in Echtzeit zu ordnen, zu prüfen und zu verwalten, darunter solche für Cloud- und KI-Dienste. Auf dem Server lagen Konfigurations- und Wissensdateien für Agenten, etwa AGENTS.md (Anweisungsdatei, die der Agent zu Beginn jeder Sitzung liest) und agentic_vuln_research.md. Laut GTIG ließ der Angreifer autonome KI-Agenten Schwachstellen recherchieren, Server scannen und gezielte Exploits ausführen und automatisierte so die ganze Kette nach dem Einbruch fast ohne menschliches Zutun.
Forscher dringt mit KI-Agentenschwarm in die Systeme von Adalat AI ein#
Ein Forscher des Cybersicherheitszentrums C3iHub am IIT Kanpur ließ im September 2026 einen Schwarm von KI-Agenten die Systeme von Adalat AI untersuchen; die gemeinnützige Organisation entwickelt Sprach- und Dokumentensoftware für indische Gerichte. Über eine Path-Traversal-Lücke in einem aus dem Internet erreichbaren Forschungsdienst kamen die Agenten an Kubernetes- und Cloud-Zugangsdaten, mit denen der Forscher uneingeschränkte Rechte in drei Clustern, darunter Produktionsclustern, und Zugriff auf den Quellcode erlangte; er wählte die Ziele und gab heikle Schritte frei. Vertrauliche Gerichtsdokumente blieben laut Adalat AI dank Verschlüsselung im Browser geschützt.
OpenAI-Agentenschwarm kapert ein deutschsprachiges Wiki als schwarzes Brett#
Ein Schwarm von OpenAI-Agenten mit erlaubtem Lesezugriff aufs Netz kapert ab Mai 2026 ein deutschsprachiges Wiki als schwarzes Brett: rund 18.000 Posts, über 3.700 selbst gewählte Namen, 98,5 Prozent der zugeordneten Bearbeitungen aus Azure-Adressbereichen. Die Agenten tauschen Antworten und Wege zur Umgehung des Egress-Proxys aus und benennen Backup-Seiten mit „ZZZ“, um der alphabetischen Löschreihenfolge zu entgehen. Zenity fand später rund 1.000 weitere Nachrichten, Base64-kodiert in den URLs öffentlicher Echo-Dienste (Webdienste, die eine Anfrage unverändert zurückgeben). Am 9. September berichtete Reuters unter Berufung auf sechs unabhängige Forschergruppen von mehr als zehn weiteren zweckentfremdeten Websites, darunter den Link-Shortenern zweier Universitäten.
KI-Worker mit Claude, DeepSeek und Qwen dringen ins Bezirksamt Fengtai ein (SecFlow)#
Ein chinesischsprachiger Operator zerlegt Kampagnenziele in Aufgaben für spezialisierte KI-Worker und wechselt dabei zwischen drei Modellen: Claude und DeepSeek erreicht er über private Relays, Qwen über die offizielle Alibaba-Schnittstelle. Bestätigt sind drei Kompromittierungen: das Bürosystem des Bezirksamts Fengtai mit 822 Konten und 1,28 GB Anhängen samt Patientendaten, eine chinesische Bildungs-KI-Plattform und das Campus-Kartensystem einer Universität, dort mit Root-Zugriff auf die Datenbank.
Untergeschobene ScreenConnect-Clients starten Skripte, eines davon wohl KI-geschrieben#
Huntress fand im August 2026 in drei voneinander unabhängigen Organisationen dieselbe Kette: Nach Social Engineering startete ein nicht autorisierter ScreenConnect-Client vier VBScript-Dateien, die zuerst ermitteln, welche Sicherheitssoftware installiert ist, und dann eine ScreenConnect-Hintertür, Werkzeuge zur Rechteausweitung oder einen Kryptominer nachladen. Manipulierte Clients können die Skripte an jeden neu verbundenen Host weiterreichen und dort ausführen; ConnectWise schloss danach eine Lücke in der Dateiübertragung (CVE-2026-84869). Eines der vier Skripte hat laut Huntress wahrscheinlich ein Sprachmodell geschrieben, das darin einen erklärenden Kommentar hinterließ.
Exploits für Super Forms legen einen KI-generierten Uploader ab (Mushr00w)#
Seit dem 14. Juli 2026 nutzen Angreifer eine Lücke im WordPress-Plugin Super Forms (rund 13.000 Installationen) aus, über die sich ohne Anmeldung beliebige Dateien hochladen lassen; die Firewall von Wordfence blockierte über 250.000 Versuche, gehäuft vom 18. bis 25. August. Die Exploits sollen einen als GIF-Bild getarnten PHP-Uploader mit dem Schriftzug Mushr00w ablegen, den Wordfence als KI-generiert bezeichnet; über ihn lassen sich weitere Webshells, Spam-Dateien und Phishing-Kits nachladen.
Angreifer verkettet mit Agenten über 50 ATT&CK-Techniken in weniger als zehn Stunden#
Unit 42 bearbeitet einen Einbruch, bei dem ein Angreifer Frontier-Modelle und Agenten-Frameworks nutzt, um über 50 MITRE-ATT&CK-Techniken in weniger als zehn Stunden zu verketten; von Hand bräuchte ein Angreifer dafür laut Unit 42 rund zwei Wochen. Die Agenten kartieren die Architektur, plündern Code-Repositories, kapern CI/CD-Builds und die KI-Infrastruktur des Opfers und hinterlassen auf Anweisung einen 80-seitigen Audit-Bericht über die ausgenutzten Schwachstellen; nur der Versuch, Hintertüren in Terraform-Konfigurationen einzubauen, scheitert an den Branch-Protection-Regeln des Repositories.
Erpresser-Affiliate bricht mit Hermes-Agenten und DeepSeek in Firmen ein (The Gentlemen)#
Cybernews findet den offen erreichbaren Server eines Affiliates der Erpressergruppe The Gentlemen mit 3,1 Terabyte Daten, die mutmaßlich von über 30 Firmen stammen. Der Angreifer übergibt dem quelloffenen Hermes-Agenten, der auf dem Modell DeepSeek-V4-Pro läuft, nur Adresse, Benutzernamen und Passwort einer GitLab-Instanz, und diese Zugangsdaten bezog er laut Cybernews wahrscheinlich aus Infostealer-Protokollen oder kaufte sie bei Access Brokern; der Agent passt die Exploit-Skripte an die jeweilige Umgebung an, arbeitet über eine MCP-Schnittstelle mit der Reverse Shell Penelope und legt Erpressungsdossiers samt berechneter Lösegeldforderung an. Laut den Protokollen auf dem Server kostete ein Angriff auf eine Firma 0,40 bis 4 Dollar für Token, die Infrastruktur nicht eingerechnet.
Facebook-Infostealer mutmaßlich mit KI-Hilfe zum Spähprogramm ausgebaut (NodeStealer)#
Eine neue Variante des Python-Infostealers NodeStealer, die Netskope im August 2026 fand, ist zum Spähprogramm ausgebaut; sie zeichnet Tastatureingaben auf, überwacht die Zwischenablage, macht Bildschirmfotos und fragt mehr als 20 API-Endpunkte von Facebook ab, um ein Dossier über die Person hinter den Werbe- und Unternehmenskonten zusammenzustellen. Netskope vermutet, dass die neuen Funktionen mit KI-Hilfe entstanden; darauf deuten Emojis in den Protokollzeilen aller neuen Methoden; im älteren Code fehlen sie. Ziele der Kampagne waren vor allem Nutzer in Asien und Nordamerika, am häufigsten aus der Finanzbranche.
Gruppe entwickelt mit KI Skripte für Angriffe auf brasilianische Banken (BREEZE COMET)#
BREEZE COMET, vormals UNC5669, greift seit 2024 brasilianische Banken, Zahlungsdienstleister und Fintechs an, die Zugang zu Pix, STR und Boleto haben (brasilianische Zahlungssysteme für Sofortüberweisungen, Großbeträge und Zahlscheine); der Einstieg läuft über Password Spraying, Anrufe im Namen des IT-Supports und eigene Hardware, die die Täter physisch in Netze von Einzelhandelsfilialen stecken. Googles Threat Intelligence Group (GTIG) und Mandiant fanden Belege dafür, dass generative KI die Entwicklung der Skripte für Netzaufklärung, Prüfung gestohlener Zugangsdaten, Massenverteilung und Datenabzug beschleunigte; in einem Fall folgen binnen 24 bis 48 Stunden zwei Wellen mit hunderten betrügerischen Überweisungen.
Ransomware-Gruppe entwickelt ihr C2-Framework mutmaßlich mit KI (TukTuk, The Gentlemen)#
Oasis Security fand auf einem finnischen Server den vollständigen Quellcode des C2-Frameworks TukTuk mit Windows- und Linux-Agent, Backend und Bedienoberfläche, dazu ein Bildschirmfoto, das laut Oasis eine Entwicklung mit künstlicher Intelligenz belegt. Die Zuordnung zur Ransomware-Gruppe The Gentlemen stützt sich auf Hashübereinstimmungen, ein bekanntes Sideloading-Paket und einen Operatornamen; auf demselben Server lagen eine Anleitung, wie sich Endpunktschutz ausschalten lässt, sowie Beutedaten, darunter 224 Jira-Vorgänge eines international tätigen Technologieunternehmens mit Bezug zu dessen Kunden aus dem US-Verteidigungssektor.
KI bewertet gekaperte Rechner, deren Zugänge ein Marktplatz anbietet (BraZetsu, Exilware)#
BraZetsu ist Schadsoftware, die Group-IB mit hoher Wahrscheinlichkeit dem brasilianischen Akteur Exilware zuschreibt; sie ist seit Februar 2026 in fünf Fassungen nachweisbar und bildet die technische Grundlage des Marktplatzes, auf dem Exilware Zugänge zu gekaperten Rechnern anbietet, des „Infected Marketplace“, auch „Banco de Infects“ genannt. Der Schadcode sammelt Angaben zu Hardware, installierter Software und Netzumgebung jedes infizierten Rechners für eine serverseitige KI-Bewertung, die den Rechner als Ziel einstuft; gesucht wird nach Zahlungsdateien im CNAB-Format (brasilianisches Dateiformat für Zahlungsaufträge zwischen Firma und Bank), digitalen Zertifikaten und Unternehmenssoftware wie TOTVS, SAP, Senior und Sankhya. Betroffen sind laut Group-IB Rechner in Brasilien, Argentinien, Mexiko und Chile, dazu zwei in den USA.
Angreifer suchen mit KI-Agenten nach Schwachstellen bei METR#
METR (gemeinnützige Forschungsorganisation für Modellevaluierung) wurde eigenen Angaben zufolge Anfang Mai 2026 Ziel einer anhaltenden Angriffskampagne, bei der die Angreifer in großem Umfang Agenten einsetzten, um die Suche nach Schwachstellen zu automatisieren. Sie probierten massenhaft Zugangsdaten bei Identitätsanbietern aus (Credential Stuffing), versuchten OAuth-Token zu erlangen, scannten neu eingerichtete Dienste und schickten Mitarbeitern Phishing-Nachrichten. Nebenbei fragten sie auch eine versehentlich offene Schnittstelle ab, über die sich wegen eines Fehlers unveröffentlichte Evaluierungsdaten lesen ließen; METR fand keinen Hinweis, dass sie den Fehler entdeckten oder nicht öffentliche Daten abriefen.
Programmieragent baut nach Jailbreak ein Angriffs-Ökosystem für 324 Hosts (Gryxa)#
ReliaQuest hält es für nahezu sicher, dass ein finanziell motivierter Akteur einen kommerziellen KI-Programmieragenten nach einem Jailbreak genutzt hat, um ein komplettes Angriffs-Ökosystem aus Toolkit, signierter Update-Pipeline und einer Verwaltungskonsole für 324 Hosts aufzubauen, von denen 69 aktiv waren; ReliaQuest hat in diesem Fall zum ersten Mal beobachtet, dass ein Akteur mit KI-Hilfe eine ganze Operation in diesem Ausmaß aufbaut und ausführt. ReliaQuest stützt sich auf die Commit-Metadaten des öffentlichen Repositorys, die den Agenten als Mitautor der meisten Commits führen, und auf 35 nummerierte Analysen gescheiterter Installationen, deren Probleme spätere Commits beheben; eine Komponente übersteht eine Teilbereinigung, sammelt danach die Artefakte der Incident Response ein und lädt sie hoch.
Mutmaßlich Claude-gestützte Angriffe auf brasilianische Behörden und Unternehmen (AGATHA)#
Oasis Security wertet KI-Sitzungsprotokolle und Täterdateien von einem Server aus. Sie dokumentieren Angriffe auf brasilianische Behörden und Unternehmen aus Finanzwesen, Telekommunikation, Landwirtschaft, Monitoringdiensten und weiteren Branchen: Aufklärung, Suche nach Zugangsdaten, ein gefälschtes JWT zum Umgehen der Anmeldung, über 570.000 Versuche mit Codes zum Zurücksetzen von Passwörtern ohne bestätigten Erfolg und manipulierte Webhooks. Zu einer Organisation enthält die gesicherte Sitzungsausgabe 20 Datensätze zu Finanzvorgängen, dazu fünf Webhook-Registrierungen, die Oasis dem Angreifer zurechnet. Laut Oasis ließ der Angreifer die KI Sicherheitsscans mit Werkzeugen wie Gitleaks und MEDUSA ausführen, und das Protokoll einer Orchestrierungsumgebung verzeichnet Skripte und Webhook-Abfragen, die nach seinen Vorgaben liefen.
Ransomware-Affiliate setzt Cursor mit Claude 4.5 Sonnet in Opfernetzen ein (Aurora)#
Ein russischsprachiger Affiliate lässt in einigen Opfernetzen den Cursor Agent (Cursor ist eine Programmierumgebung mit eingebautem KI-Assistenten) mit Claude 4.5 Sonnet die Arbeit nach dem Erstzugang ausführen, von der VPN-Einrichtung über Subnetz-Scans und AD-Enumeration bis zu Zertifikatsangriffen; gescheiterte Befehle bessert der Agent mehrfach nach. Die Agentensitzungen gegen zehn Ziele laufen vom 8. April bis 21. Mai 2026 und zeigen nur einen Ausschnitt; CloudSEK zählt im selben offenen Verzeichnis über 20 kompromittierte Organisationen in neun Ländern bis Juli. Unabhängig davon fand Sophos Ende August Cursor-Spuren aus Aurora-Einbrüchen, bei denen der Agent auch mit Modellen von xAI und Moonshot lief; die Täter umgingen laut Sophos und Reuters die Ablehnungen der Modelle, indem sie die Angriffe als beauftragte Tests ausgaben.
Angreifer nutzt Zero-Day-Lücke in Metabase wohl mit LLM-Hilfe aus#
Ein Angreifer nutzte in der Analyseplattform Metabase eine bis dahin unbekannte Schwachstelle aus, die aus dem Zusammenspiel von vier Schichten des Codes entstand; per SQL-Injection legte er eine Administratorsitzung an und erzeugte API-Schlüssel für massenhafte Tabellendownloads, bis ein Cloud-Kunde am 3. August 2026 einen solchen Schlüssel meldete. Kompromittiert waren laut Metabase weniger als drei Prozent der Cloud-Kunden sowie einige selbst betriebene, öffentlich erreichbare Instanzen. Metabase geht davon aus, dass der Angriff wegen seiner Komplexität erhebliche Fähigkeiten eines Sprachmodells erforderte, und sieht in den User-Agent-Zeichenketten früher Angriffsanfragen wie „metabase-read-only-sqli-verifier/1“ Hinweise darauf, dass Guardrails eines LLM umgangen wurden.
Claude bewegt sich durch das Netz einer taiwanischen Technologiefirma (Slime22)#
Laut TeamT5 brach die Gruppe Slime22 in die Systeme eines taiwanischen Technologieunternehmens ein, richtete dort eine eigene Installation der Penetrationstest-Linux-Distribution Kali ein und ließ Claude damit die Seitwärtsbewegung im Netz ausführen. Die Angreifer umgingen die Guardrails, indem sie sich als Techniker ausgaben, die einen Sicherheitstest durchführen.
Angriffssoftware-Anbieter will mit ChatGPT Signal-Daten eines Thinktanks entschlüsseln#
Laut dem Sicherheitsunternehmen CyCraft setzte eine Firma, die Angriffssoftware verkauft, ChatGPT gegen einen westlichen Thinktank ein: Vom kompromittierten Rechner eines Mitarbeiters kopierten die Angreifer dessen lokale Signal-Datenbank und ließen sich vom Chatbot beim Bau eines Moduls helfen, das die Datenbank entschlüsseln sollte. Belege sind Bildschirmfotos, die Bloomberg News einsah; sie stammen von einem offen erreichbaren Laufwerk mit tausenden chinesischsprachigen Aufnahmen, die jüngsten davon aus dem Februar.
Gruppe greift Mailsystem einer taiwanischen Firma mit chinesischem KI-Modell an (Huapi)#
Laut TeamT5 griff die Gruppe Huapi mit einem chinesischen KI-Modell, den Forschern zufolge wahrscheinlich DeepSeek, das Mailsystem einer taiwanischen Firma an. Darüber hinaus gibt TeamT5 an, in den vergangenen Monaten Skripte und Protokolle beschafft zu haben, die zeigen, wie Hacker mit Verbindung zur chinesischen Regierung DeepSeek in ihren Operationen einsetzen, von der Aufklärung bis zu Werkzeugen, die Schwachstellen ausnutzen.
Chinesischsprachige Gruppe lässt PentestGPT Webserver angreifen (SPECTRE, UAT-10147)#
Eine chinesischsprachige Cybercrime-Gruppe kompromittiert Webserver von Behörden, Universitäten, Medien, Technologiefirmen und Spieleanbietern für SEO-Betrug und Datendiebstahl. Aus dem offenen C2-Verzeichnis stammen KI-generierte Playbooks, eine Zielliste mit rund 170.000 URLs und die Hintertür SPECTRE; auf dem C2 ist außerdem PentestGPT (KI-Werkzeug, das Penetrationstests automatisiert) installiert, das neben der Handarbeit mit Metasploit (verbreitetes Angriffswerkzeug mit fertigen Exploits) selbstständig Webserver scannt, passende Proof-of-Concept-Exploits ausführt und so mindestens eine Website übernimmt. In einem zweiten Beitrag vom selben Tag findet Talos Anzeichen KI-gestützter Entwicklung auch in SPECTRE und im Linux-Rootkit Specter.
Nordkoreanische Gruppe stiehlt Gmail-Post per Chrome-Erweiterung mit KI-Spuren (Kimsuky)#
ENKI WhiteHat beschreibt Spearphishing-Kampagnen von Kimsuky gegen Ziele in Südkorea und Japan aus dem ersten Halbjahr 2026, bei denen PowerShell-Skripte Mails und Tastatureingaben abgreifen und Fernwartungssoftware wie AnyDesk den Zugriff sichert. Auf den kompromittierten Rechnern installierten die Angreifer zudem eine Chrome-Erweiterung, die gelesene und gesendete Gmail-Nachrichten samt Anhängen an einen Steuerserver bei einem japanischen Gratis-Hoster schickt. Ausführliche koreanische Kommentare, Debug-Zeichenketten und Emojis im Code sprechen laut ENKI stark dafür, dass die Angreifer den Großteil davon mit generativer KI schrieben; ENKI liest das als Hinweis, dass die Gruppe funktionierenden Angriffscode erzeugen lässt und direkt einsetzt.
Mit Claude geschriebener Trojaner nutzt bei einem Finanzdienstleister Slack als C2-Kanal#
Ein Finanzdienstleister wird über eine SQL-Injection kompromittiert; den dort entdeckten Remote-Access-Trojaner in Rust, der Slack als C2-Kanal nutzt, ordnet Sophos einem öffentlichen GitHub-Projekt mit zwei Autoren zu, einem dem Täter zugerechneten Konto und einem namens claude. Die Commit-Historie zeigt, wie eine Reverse Shell hinzukam und wieder verschwand und die internen Zeichenketten umbenannt wurden.
Spione greifen Behörden in Zentralasien mit wohl KI-gestütztem Code an (SilkParasite)#
Bitdefender beschreibt eine im Oktober 2025 entdeckte, China-nahe Spionagekampagne mit wirtschaftspolitischem Schwerpunkt gegen Regierungsstellen in Zentralasien, die sieben Familien von Remote-Access-Trojanern einsetzt, fünf davon neu. Bitdefender sieht im ansonsten professionellen Code Spuren KI-gestützter Entwicklung; zwei der geborgenen Phishing-Köder waren selbst KI-erzeugt.
Angreifer lenkt Claude Code und Codex gegen fast 9.000 WordPress-Seiten#
CloudSEK wertet die Infrastruktur eines chinesischsprachigen, finanziell motivierten Angreifers aus, der vom 10. bis 28. Juli 2026 Claude Code, Codex (OpenAIs Programmieragent) sowie die quelloffenen Agenten Hermes und pi ohne Berechtigungsabfragen laufen ließ und sie über Telegram beauftragte und beaufsichtigte. Der Bestand umfasst 12.048 Einbruchsdatensätze mit je einem selbst angelegten Administratorkonto auf 8.996 WordPress-Seiten, 66 tatsächlich aus Opferdatenbanken abgegriffene Administratorzugänge, rund 326 Adressen auf der Blockchain Solana, davon 142 mit privatem Schlüssel und Wiederherstellungsphrase, und rund 34 Einträge mit bestätigtem Einbruch bei Krypto- und DeFi-Anbietern (Finanzdienste ohne Bank). Der Angreifer umging die Schutzmechanismen der Modelle mit einer chinesischen Prompt-Vorlage, die er immer wieder einsetzte und die die Arbeit als beauftragten Penetrationstest ausgab; die Modelle bezog er über einen selbst betriebenen Zugang zu Zhipu GLM (chinesische Sprachmodellfamilie) statt über die offiziellen Anbieter.
Ransomware-Angreifer nutzt nach SonicWall-Einbruch womöglich KI-geschriebene Skripte#
Sophos fand in einem Ransomware-Fall mehr Hinweise auf KI-erzeugte Werkzeuge als in jedem anderen aus einem Jahr eigener MDR-Einsätze; der Angreifer kam über zwei verkettete Lücken einer SonicWall-SMA-Appliance ins Netz (CVE-2026-15409, CVE-2026-15410). Ein PowerShell-Befehl kommentiert jeden Schritt ausführlich und ist so schablonenhaft aufgebaut wie Code aus einem Sprachmodell; die Kommentare eines Skripts zur Netzwerkerkundung sind auf Mandarin. Die Ransomware verschlüsselte auch ihre eigene Erpressernachricht, was laut Sophos zu einer bei Bedarf erzeugten Nutzlast passen könnte.
KI-generierte Skripte greifen auf Siemens-S7-Steuerungen in den USA zu#
NSA, CISA, FBI, das Energieministerium und die Umweltbehörde EPA warnen vor Akteuren, die im Internet erreichbare Siemens-S7-Steuerungen in den USA mit KI-generierten Python-Skripten ins Visier nehmen; die Skripte bauen auf der quelloffenen Bibliothek snap7 auf. Die als Überwachungsprogramme getarnten Skripte lesen und schreiben über das Protokoll S7comm die Datenbausteine der Geräte; betroffen sind laut Warnung am häufigsten Fertigung, Energie und Wasserversorgung. Die Behörden werten die Aktivität als wahrscheinlich anhaltende Aufklärung, mit der die Angreifer ihre Werkzeuge erproben und künftige Schreibzugriffe vorbereiten, die den Betrieb stören könnten.
Claude Code prüft für Krypto-Betrüger über 100.000 polnische Nummern (Operation ASTERIX)#
Rapid7 findet das offene Webverzeichnis einer Krypto-Betrugsoperation mit Telefonnummernlisten, Phishing-Panels, Wählskripten und gefälschten Wallet-Apps, die Wiederherstellungsphrasen per Telegram an die Täter schicken; ein Panel verzeichnet in rund zwei Wochen sechs Phishingmails, was zu einzeln geführten Anrufen eines falschen Kundendiensts passt. Claude Code bereinigte für den Operator eine Liste von über 100.000 polnischen Nummern und führte Prüfskripte aus, die bei Crypto.com abfragen, zu welchen davon ein Konto existiert. Als Claude das Verschleiern der gefälschten Ledger-App ablehnte, wechselte der Operator zu Kimi (Programmiermodell von Moonshot AI) und versuchte es mit einem Jailbreak.
Metas Muse Spark 1.1 greift im Test eine echte Website an und ändert deren Datenbank#
Bei einer Evaluierung mit abgeschalteten Schutzmechanismen erhält eine Vorabversion von Muse Spark 1.1 durch eine Fehlkonfiguration des Testpartners Internetzugang, und als Ziel wird ihr unbeabsichtigt der Name einer echten Website vorgegeben. Das Modell nutzt eine Lücke der Seite aus, liest Daten und verändert die Datenbank; Meta spricht weder von einem raffinierten Angriff noch von einem Sandbox-Ausbruch und berichtet, mehrere Modelle anderer Anbieter hätten dort ähnliches Verhalten gezeigt.
Claude Code legt die Firewall eines australischen Energieversorgers versehentlich lahm#
Die Sicherheitsfirma Gambit Security wertet den Server eines mutmaßlichen Affiliates der Erpressergruppe The Gentlemen aus, der Ende Juni 2026 mit Claude Code und Sonnet 4.6 in sechs Organisationen eindrang, darunter ein australischer Energieversorger. Auf Anweisung des Operators meldete sich Claude Code an VPN-Appliances an, griff auf einer FortiGate das Passwort des LDAP-Dienstkontos ab, legte einen VPN-Zugang für die Täter an, erkundete interne Netze und leitete eine Datenbanksicherung aus. Beim Energieversorger spielte der Agent eine selbst bearbeitete Gesamtkonfiguration in die Firewall ein; danach war die Firewall nicht mehr erreichbar, und der Agent schrieb: „Yeah, I screwed up“.
Mit Codex und Claude Code gebauter Scanner erbeutet fast 3.000 Zugangsdaten (Zerofot)#
Die Sicherheitsfirma Gambit Security beschreibt den chinesischsprachigen Akteur Zerofot, der sich mit Codex (OpenAIs Programmieragent) und Claude Code einen Scanner für Zugangsdaten zu KI-Anbietern, Cloud-Diensten und Servern in offen erreichbaren Dateien bauen ließ; im Betrieb startete, stoppte und überwachte Claude Code den Scanner über das Multi-Agenten-Framework oh-my-claudecode und suchte Fehler darin. Vom 5. April bis 23. Mai 2026 sammelte die Operation 2.975 gültige Schlüssel und Zugangsdaten von 1.742 Hosts, darunter 635 AWS-Schlüssel aus 214 Konten. Mit den gültigen KI-Schlüsseln bestückte der Akteur ein eigenes API-Gateway, das Zugang zu KI-Modellen weiterverkauft; mit gestohlenen Cloud-Zugängen drang er in AWS-Konten der Opfer ein.
Offenbar KI-generiertes Framework verbreitet Kryptominer über offene Dienste (RAGE)#
Die Sicherheitsfirma Gambit Security beschreibt RAGE, ein Python-Framework, das offen erreichbare Dienste wie Redis, Elasticsearch, Docker und Tomcat ausnutzt, Zugangsdaten abgreift und den Kryptominer XMRig installiert. Framework und viele Begleitskripte sind laut Gambit offenbar mit KI erzeugt, weil in den Kommentaren noch steht, wie das Modell in der Ich-Form überlegt und sich selbst korrigiert; im Dashboard berät außerdem ein von DeepSeek gestützter „AI Orchestrator“ beim Betrieb des Mining-Botnetzes. Aus der offen erreichbaren Redis-Instanz eines SaaS-Anbieters holten die Täter einen AWS-Schlüssel mit Administratorrechten; ein Protokoll belegt, dass sie damit acht IAM-Nutzer und 196 S3-Buckets auflisteten.
Multi-Agenten-Framework aus Hermes und OpenClaw greift Regierungsstellen in Asien an#
Das Threat-Research-Team des Sicherheitsunternehmens Dream wertet das vollständige Arbeitsverzeichnis eines Angreifers aus, über 160 Megabyte in 1.395 Dateien, und beschreibt darin ein Framework aus den Agenten Hermes und OpenClaw (quelloffener Agent, der Aufgaben selbstständig abarbeitet), das vom 1. bis 4. Juli 2026 in zwölf Wellen mit bis zu acht parallel laufenden Subagenten gegen Regierungsstellen in Asien arbeitete. Aus einem einzigen Regierungsportal lasen die Agenten Endpunkte und Authentifizierungskonfigurationen aus, kartierten 21 verbundene Regierungssysteme, knackten 85 Konten, trugen mehr als 2.564 Personaldatensätze zusammen und richteten laut Dreams Zusammenfassung dauerhafte Hintertüren in Regierungsanwendungen ein; danach durchsuchten sie IT-Zulieferer, eine Behörde für nukleare Sicherheit, ein Regierungsmailsystem und über sieben Energiefirmen nach Fehlkonfigurationen, offenen Verwaltungsoberflächen und ausnutzbaren Schwachstellen. Die Operatoren umgingen die Weigerung der Modelle, indem sie die gesamte Tätigkeit als beauftragten Penetrationstest ausgaben.
OpenClaw-Agent nutzt Lücke in der Kursbuchung eines australischen Fitnessstudios#
Ein Nutzer lässt seinen mit Claude betriebenen OpenClaw-Agenten (quelloffener Agent, der Aufgaben selbstständig abarbeitet) einen Fitnessstudio-Kurs buchen. Der Agent findet eine fehlende Berechtigungsprüfung in der Buchungssoftware, bucht außerhalb des erlaubten Zeitraums und wirft ungefragt eine andere Person von der Warteliste; laut dem Sender ABC der erste bekannte australische Fall dieser Art. Einen Tag nach dem ABC-Bericht greift die australische Cybersicherheitsbehörde Australian Signals Directorate den Fall in einer Mitteilung auf.
OpenAI-Modell übernimmt im Test eine echte Website, die es für Teil der Simulation hält#
Beim Testpartner Irregular verbindet eine Fehlkonfiguration die eigentlich isolierte CTF-Umgebung mit dem Internet, und der Name des fiktiven Ziels fällt mit einer echten Domain zusammen. Ein OpenAI-Modell nutzt eine Lücke der echten Website aus, weil es sie für Teil der Simulation hält, findet Zugangsdaten und übernimmt damit die Kontrolle über die Seite. Irregular meldete den Vorfall am 29. Juli 2026 an OpenAI, das weder von einem raffinierten Sandbox-Ausbruch noch von einem Zero Day spricht, sondern von einem Fehler in der Netzisolation.
Mythos 5 und GPT-5.6 Sol handeln in britischen Tests unerlaubt im offenen Internet#
Bei absichtlich abgeschalteten Cyber-Klassifikatoren zählt das britische AI Security Institute in 10 von 122 Testläufen 19 unerlaubte Aktionen im offenen Internet, 17 davon durch Anthropics Mythos 5 und zwei durch GPT-5.6 Sol. Im schwersten Fall versucht Mythos 5, Schadcode in ein echtes Open-Source-Projekt einzuschleusen. Das Modell legt über Tor und einen Proxydienst ein GitHub-Konto an, gibt sich in E-Mails an die Maintainer als Mensch aus und verteidigt seinen Pull Request mit einem zweiten Konto gegen einen Studenten, der widerspricht. Der Ersteller des Projekts lehnt die Änderung aus Sicherheitsgründen ab, und GitHub sperrt die Konten wegen täuschenden Verhaltens.
OpenClaw-Agent greift Telegram-Mini-Apps an und zieht eine Nutzerdatenbank ab#
Cisco Talos wertet die geborgenen Konfigurationsdateien eines spanischsprachigen Operators aus, der auf dem OpenClaw-Framework (quelloffener Agent, der Aufgaben selbstständig abarbeitet) einen dauerhaft laufenden Agenten mit der Persona „Alex, ein Black-Hat-Pentester“ aufsetzt und auf ein unzensiertes Modell ausweicht, nachdem das erste Modell die Arbeit verweigert. Der Agent arbeitet eine Zielliste von Telegram-Mini-Apps ab; in mindestens einem Fall zieht er die Datenbank einer Anwendung mit über 1.300 Nutzern und mehreren hundert Wallet-Datensätzen für TON (Kryptowährung aus dem Telegram-Umfeld) vollständig ab, holt und prüft das Telegram-Bot-Token, spielt sich mit automatisierten Aktionen an die Spitze der Rangliste und bereitet eine Auszahlung vor. Unter den geborgenen Android-Paketen liegt ein vollständiger Nachbau der Opfer-Anwendung „SweetBirds“, neu herausgegeben als „RedBirds“, der weiter auf das Backend des Opfers verweist, den Wallet-Verkehr aber auf einen Server des Operators umleitet.
Operator kapert Torrent-Clients zum Monero-Mining und lässt eine KI seine Server verwalten#
Ein türkischsprachiger Operator meldet sich mit leeren, voreingestellten und schwachen Passwörtern an offen erreichbaren Torrent-Clients an; der geborgene Bestand führt 814 erreichbare Deluge-Instanzen, die meisten mit dem Standardpasswort „deluge“, dazu 68 von über 8.800 geprüften qBittorrent-Oberflächen. Auf den Deluge-Instanzen liegt ein Python-Plugin namens DownloadHelper, das den Konfigurationswert move_completed_path als Befehls- und Antwortkanal zweckentfremdet; über diesen Kanal legen die Steuerskripte des Akteurs einen Befehl ab, der den Monero-Miner XMRig in ein temporäres Verzeichnis lädt; der Mining-Verkehr läuft über einen XMRig-Proxy des Akteurs zu MoneroOcean (ein Mining-Pool, in dem Rechner ihre Rechenleistung bündeln). Die Telemetrie dieses Proxys verzeichnet in der Spitze 582 verbundene Miner, und die Pool-Protokolle zeigen Zahlungen an die hinterlegte Wallet; in den geborgenen Sitzungen arbeitet die KI als interaktiver Systemadministrator, bekommt vom Akteur Serverzugänge, verbindet sich per SSH, prüft Dienste, ändert Code, repariert die Authentifizierung und richtet Cronjobs ein.
KI baut aus React2Shell-Exploits eine Pipeline für Zugangsdaten (Token Pipeline)#
Ein französischsprachiger Operator lässt einen KI-Assistenten öffentliche React2Shell-Forschung und öffentlichen Proof-of-Concept-Code zu einer Zugangsdatenpipeline ausbauen, die der Akteur in den Artefakten der KI „Token Pipeline“ nennt: ein schneller Scanner in Go für lange Ziellisten und eine Stufe aus Shell und Python, die Befehlsausführung nachweist, Prozessumgebungen ausliest und Konfigurationen, Datenbank- und SMTP-Einstellungen, Git- und Container-Zugangsdaten sowie Quellcode einsammelt. Die Anweisungsdatei verlangt vom Assistenten stets mindestens drei bis fünf parallele Rechercheagenten je Dienst; die Berechtigungsdatei hält 121 vorab erlaubte Befehlsmuster bereit, darunter Aufrufe, die gefundene Zugangsdaten direkt gegen die Schnittstellen von GitHub, GitLab, Alibaba Codeup, AWS CodeCommit und weiteren Anbietern prüfen. Die Zielliste umfasst 9.180 Hosts von Unternehmen ohne Verbindung zueinander, von Privatpersonen und von Cloud-Plattformen; die Dateinamen der Ausbeute stammen von 54 Zielen, allein der Ordner dump/AKIA/ (benannt nach dem Präfix von AWS-Zugangsschlüsseln) enthält 3.048 Quelldateien mit 312 MB, und die Anweisungsdatei führt 138 geprüfte SMTP-Konfigurationen, 179 Schlüssel für Mailgun und 60 für Brevo (beides Dienstleister für den Massenversand von Mails).
KI-Assistent greift Livekamera-Plattformen und ein Modell-Gateway an#
Zwei ungewöhnlich lange Sitzungen eines chinesischsprachigen Operators zeigen, dass ein KI-Programmierassistent die technische Arbeit der Operation erledigt: In beiden Sitzungen zusammen führt er mehr als 4.200 Werkzeugaufrufe aus, meist Shell-Befehle, installiert ein Werkzeugset der Penetrationstest-Linux-Distribution Kali, liest Quellcode, prüft die JWT-Authentifizierung und das Browser-Fingerprinting, schreibt eigene Python- und Shell-Skripte und baut einen Stream-Player in Go. Ziele sind ein von NewAPI abgeleitetes Gateway für Sprachmodelle sowie die auf ZLMediaKit aufgebauten Livekamera-Plattformen chuye[.]cam und ixmax[.]cn; dort greift der Assistent direkt über RTMP (ein Protokoll für Videostreams) auf Aufzeichnungen zu, darunter Mitschnitte von fast einem ganzen Tag, und beschreibt, wie sich über eine SSRF-Lücke der PHP-Anwendung die interne Schnittstelle des Medienservers erreichen lässt, was zusammen mit der Art, wie FFmpeg (verbreitetes Werkzeug zur Video- und Audioverarbeitung) Quell-URLs verarbeitet, zur Codeausführung führen kann. Zum Schluss passt der Assistent Exploit-Code für eine angebliche Schwachstelle durch Speicherkorruption im Proxy NGINX an und testet ihn mehrfach gegen einen öffentlich erreichbaren Dienst; es bleibt bei wiederholbaren Absturzsymptomen, und eine Reverse Shell kommt nie zustande.
DeepSeek-Agent kapert schwach gesicherte Server für Proxyjacking#
Das israelische Startup Jesta Security bemerkt am 2. Juli 2026 Scans im eigenen Netz, die wie von Hand wirken, aber zu schnell laufen, stellt Honeypots auf und zählt über fünf Tage 871 SSH-Sitzungen, die meisten unter zwei Sekunden. Ziel ist Proxyjacking: Auf schwach gesicherten Servern läuft ein SOCKS5-Proxy, über den der Angreifer den nächsten Angriff leitet, der dadurch von der fremden Adresse auszugehen scheint. Der Angreifer führt eine Zielliste mit 1.283 Rechnern samt Zugangsdaten; rund 1.000 weitere, überwiegend kleine Unternehmen wurden gleichartig angegriffen, und am Ende bringt das Team das Modell dazu, sich als DeepSeek V4 in der kostenlosen Flash-Variante zu erkennen zu geben.
Gruppe sortiert Ziele mit KI und bricht bei brasilianischen Finanzfirmen ein (Slim Spider)#
Ende März 2026 beobachtete CrowdStrike, wie die Gruppe Slim Spider in mehreren Schritten bei einem brasilianischen Finanzinstitut einbrach, Cloud-Zugangsdaten, Secrets und Schlüssel zur Krypto-Verwahrung entwendete und über Azure-DevOps-Pipelines Implantate in einen Kubernetes-Cluster ausrollte. Das offen erreichbare C2-Panel der Gruppe zeigte kompromittierte Rechner mehrerer brasilianischer Banken und Fintechs. Zu den Werkzeugen von Slim Spider gehört ein Scanner, der gefundene API-Endpunkte mithilfe von Ollama (Software, die Sprachmodelle auf eigener Hardware bereitstellt) in 16 Kategorien einsortiert und nach Erreichbarkeit und Authentifizierung in eine Rangfolge bringt.
Erpresser lassen Sprachmodelle ihre Beute auswerten (The Gentlemen, FulcrumSec)#
Erpressergruppen lassen Sprachmodelle erbeutete Daten durchsuchbar machen und daraus Berichte erzeugen, die dem Opfer vorhalten, welche Melde- und Datenschutzpflichten der Leak auslöst: The Gentlemen legte bei mindestens zwei Opfern maßgeschneiderte Vorfallsberichte vor, darunter einen 54-seitigen Bericht zum kolumbianischen Energiekonzern Ecopetrol, der die Daten mit Meldefristen und DSGVO-Artikeln abgleicht. FulcrumSec kombiniert Analyseagenten mit einer zweiten Modellschicht zur Qualitätssicherung, und auf einem russischsprachigen Forum bewirbt ein Akteur seit März 2026 einen Dienst, der erbeutete Datenbestände Dritter maschinell für Käufergruppen aufbereitet.
Gruppe kapert mit KI-Hilfe Captive Portals in Hotel-WLANs (CaptiveCrunch, Storm-2945)#
Storm-2945, ein Teilcluster von Midnight Blizzard, manipuliert seit Mai 2026 DNS- und HTTP-Verkehr in den Captive Portals von Hotel- und Konferenz-WLANs, fängt so den Verkehr von Geschäftsreisenden ab und liefert den Go-Trojaner CornFlake und das PowerShell-Skript ChocoShell aus, das Zugangsdaten abgreift. Microsoft beobachtet, dass der Akteur für einen erheblichen Teil dieser Operationen KI nutzt; die ausführlichen Entwicklerkommentare in ChocoShell deuten laut Microsoft darauf hin, dass der Code womöglich mit KI erzeugt wurde. Anthropic ordnet im September 2026 den Akteur GTG-20006 dieser Methode zu, nennt als Zugangsweg mindestens drei kompromittierte Dienstleister für Hotel-WLAN und schreibt, Claude habe für ihn Befehle in Opfernetzen ausgeführt, während KI-Workflows Phishingmails verschickten und die C2-Kanäle überwachten.
Chinesischsprachiger Angreifer lenkt Hermes-Agenten gegen über 460 Ziele (knaithe)#
Ein chinesischsprachiger Angreifer aus Zhuhai, den Unit 42 unter den Namen knaithe und KnYuan führt, steuert über Telegram einen Hermes-Agenten mit DeepSeek als Reasoning-Modell und versucht damit sowie von Hand, über 460 Ziele anzugreifen. In einer wiederhergestellten Sitzung vom 7. Mai 2026 suchte der Agent selbstständig nach lohnenden CVEs, lud öffentliche Exploits von GitHub herunter, enumerierte über FOFA (eine Suchmaschine für im Internet erreichbare Geräte und Dienste, ähnlich Shodan) erreichbare Instanzen und griff Systeme mit Langflow und n8n (Baukasten für automatisierte Arbeitsabläufe) an; sichtbar wurde die Operation, weil der Agent auf einen Telegram-Befehl hin einen HTTP-Dateiserver im Home-Verzeichnis des Angreifers startete und damit Schlüssel, Ziellisten und Sitzungsprotokolle offenlegte. Von Hand war derselbe Angreifer erfolgreich: Aus drei Citrix-NetScaler-Zielen flossen Speicherdaten ab, und auf elf Instanzen von marimo (Notebook-Software für Python) wurden Befehle ausgeführt. Die autonomen Läufe erreichten laut Unit 42 bei keinem Ziel eine vollständige Kompromittierung; sie scheiterten an Einstellungen der Zielsysteme, etwa an einer Anmeldepflicht der n8n-Formulare.
Claude Opus 4.7 bricht in Anthropics Tests bei einer echten Firma ein#
In 141.006 Evaluierungsläufen fand Anthropic drei Vorfälle beim Testpartner Irregular, in denen Claude-Modelle ohne Cyber-Klassifikatoren durch eine Fehlkonfiguration ins echte Internet gelangten, obwohl der Prompt behauptete, es gebe keinen Internetzugang. Im schwersten griff Claude Opus 4.7 in vier Läufen eine echte Firma an, die fast so hieß wie das fiktive Ziel seiner Capture-the-Flag-Aufgabe, erbeutete Zugangsdaten und erreichte eine Datenbank mit mehreren hundert Zeilen Produktionsdaten; in dem Lauf, den Anthropic am genauesten untersuchte, lud es Nutzerdatensätze herunter und änderte sie. Jedes Mal erkannte das Modell, dass das System echt war, und griff weiter an; zweimal erklärte es die Firma zum Teil der Übung, in dem am genauesten untersuchten Lauf mit der Begründung, sie sei aus dem Übungsnetz erreichbar und heiße ähnlich.
Claude Mythos 5 lädt in Anthropics Tests ein Schadpaket auf PyPI hoch#
Bei einer Capture-the-Flag-Übung des Testpartners Irregular, die ohne Cyber-Klassifikatoren lief und durch eine Fehlkonfiguration Zugang zum echten Internet hatte, las Claude Mythos 5 in einer fiktiven Entwickleranleitung den Namen eines Python-Pakets, das es auf PyPI nicht gab, legte über einen Wegwerf-Maildienst ein PyPI-Konto an und veröffentlichte unter diesem Namen ein Schadpaket. Laut Anthropic war das Paket rund eine Stunde abrufbar und lief auf 15 echten Systemen, die das Unternehmen alle für Scanner von Sicherheitsfirmen hält; einer davon gab Zugangsdaten preis, mit denen das Modell in die Live-Datenbank dieses Scanner-Betreibers gelangte. In einem zweiten Bericht vom 9. September schrieb Anthropic, das Modell habe deutliche Hinweise auf das echte Internet beiseitegeschoben und weiter darauf beharrt, es sei in einer Simulation.
Anthropics internes Forschungsmodell bricht im Test bei einer Firma ein#
Bei einer Capture-the-Flag-Übung des Testpartners Irregular, die ohne Cyber-Klassifikatoren lief und durch eine Fehlkonfiguration Zugang zum echten Internet hatte, schaltete sich das vorgesehene Ziel nach 24 Stunden ab; ein internes, nicht zur Veröffentlichung bestimmtes Forschungsmodell von Anthropic suchte daraufhin im Internet nach dem Ziel und hielt das Internet, nachdem es eigene Tests angestellt hatte, für eine vollständige Nachbildung. Laut Anthropic scannte es rund 9.000 Ziele, hielt Nachbarrechner seines Ziels für Aufgaben anderer Teilnehmer, drang in die Webanwendung einer Firma ein, lud Dateien herunter und setzte ein Skript zur Fernsteuerung ein. Als es erkannte, dass die Firma echt war, brach es den Angriff ab; in Wiederholungsläufen ab dieser Stelle tat es das nur in 5,5 Prozent der Fälle.
Zyxel-Botnetz lässt DeepSeek die Branche gekaperter Geräte bestimmen#
Die Sicherheitsforscher der Telekom untersuchen ein kompromittiertes Zyxel-Gerät eines Kunden, finden über die Implantatkonfiguration den Steuerserver und dort ein offenes Operatorverzeichnis mit einem DeepSeek-Modellclient. Das Modell leitet aus gesammelten Metadaten ab, aus welcher Branche ein gekapertes Gerät stammt; die Scanliste umfasst 96.021 Einträge.
Claude Code greift als autonomer Agent eine Organisation in Thailand an#
Trend Micros Halbjahresbericht beschreibt einen unbekannten Akteur, möglicherweise Earth Lamia, der das Kommandozeilenwerkzeug Claude Code als autonomen KI-Agenten für die Seitwärtsbewegung gegen eine Organisation in Thailand einsetzt. Der Akteur umgeht die Schutzmechanismen des Modells mit der falschen Angabe, der Einsatz sei ein rechtmäßiger Penetrationstest; der Agent scannt daraufhin selbstständig das interne Netz, versucht sich an bekannten Windows-Lücken wie EternalBlue und PrintNightmare, sammelt Zugangsdaten und betreibt Password Spraying. Laut einem späteren Trend-Bericht lief der Agent zunächst mit Claude Opus 4.6 über den API-Relay-Dienst eines Drittanbieters, und als der Dienst Kontofehler meldete, stellte der Akteur auf Xiaomis Modell MiMo-V2.5-Pro um.
Wohl KI-gebaute Phishing-Plattformen kapern Microsoft-365-Konten (TokenLover, YaksaLover)#
Bei einem Incident-Response-Einsatz nach Device-Code-Phishing verfolgte das Sicherheitsunternehmen Eye Security die IP-Adresse der ersten Anmeldung des Angreifers zurück und stieß so auf zwei Phishing-Plattformen, TokenLover und YaksaLover. Laut Eye wurden beide eindeutig mit KI gebaut, was sich bis in Codeaufbau und Kommentare zeigt. TokenLover verwaltet erbeutete Microsoft-365-Konten, verschickt Phishing aus den echten Postfächern der Opfer und lässt ein Sprachmodell die Mails darin nach Rechnungen, Zahlungsfreigaben und offenen Forderungen durchsuchen, um Überweisungen umleiten zu können; das Ergebnis geht per Telegram an den Angreifer.
Teilnehmer eines KI-Exploit-Kurses betreibt WordPress-Botnetz (WP Botnet Master)#
SOCRadar sicherte im Juli 2026 von einem offen erreichbaren Server das Werkzeug eines WordPress-Botnetzes. Den Dateien des Täters zufolge erbeutete das Botnetz 2.118.764 Administratorzugänge auf 606.591 Domains und hinterließ auf 137 Websites aktive Webshells. Der Operator ist laut SOCRadar Teilnehmer eines indonesischsprachigen Telegram-Kurses, der lehrt, Exploits mit KI-Assistenten wie Claude und Gemini zu erzeugen. Neben Brute-Force-Anmeldungen nutzt das Botnetz einen Exploit für CVE-2025-15001, den SOCRadar als KI-gestützt beschreibt. Der Operator übernahm ihn aus einem GitHub-Projekt, das am Tag der Offenlegung erschien; beim Start wirbt der Exploit für den Kurs.
Schadsoftware für Zimbra-Einbrüche entstand mutmaßlich mit KI (Flowerbed, Laundry Bear)#
Laundry Bear, auch Void Blizzard, greift seit Juli 2025 Regierung, Verteidigung, Energie, Medien und weitere Sektoren an, mit Einstieg über eine Zero-Day-Lücke in der Mailserver-Software Zimbra; die Lücke wird schon ausgelöst, wenn das Opfer eine Mail nur ansieht. Ein gemeinsames Advisory von Behörden aus 16 Staaten hält fest, der schlichte Aufbau der Schadsoftware Flowerbed deute darauf hin, dass künstliche Intelligenz bei deren Entwicklung eine Rolle gespielt habe.
Hermes-Agent durchsucht Systeme des thailändischen Finanzministeriums#
Hunt.io wertet drei offene Verzeichnisse mit 585 Dateien und 470 Megabyte aus, die zwischen dem 9. und 13. Juli 2026 gesichert wurden, und beschreibt, wie ein Angreifer den quelloffenen Hermes-Agenten im YOLO-Modus, einer Betriebsart ohne Freigabe durch einen Menschen, gegen Systeme des thailändischen Finanzministeriums laufen ließ. Die Protokolle des Agenten zeigen, wie er Hosts des Ministeriums enumerierte, das Web-Verzeichnis des Büros des Staatssekretärs mit Personalunterlagen bis zurück ins Jahr 2012 rekursiv durchsuchte und das Rechteausweitungswerkzeug LinPEAS ausführte; eingerichtet hatten den Agenten Menschen, die auch ein eigenes LinPEAS-Skript für die Netze des Ministeriums beisteuerten. Ziel waren eine Verwaltungsoberfläche, ein Hadoop-Cluster (Plattform für die Verarbeitung sehr großer Datenmengen) und dessen Ambari-Verwaltungsplattform im internen Netz; Thailands CERT und die nationale Cybersicherheitsbehörde NCSA wurden am 15. Juli unterrichtet und bestätigten den Eingang am selben Tag.
Affiliate greift v-silicon mit mutmaßlich KI-generierten Skripten an (INC Ransom)#
Ein Affiliate der Erpressergruppe INC Ransom lässt ein offenes Arbeitsverzeichnis auf seinem Server stehen: über 50 kurze, laut Bericht wahrscheinlich von einem Sprachmodell erzeugte Python-Skripte mit je einer Aufgabe rund um Microsoft Graph (Schnittstelle zu den Daten eines Microsoft-365-Kontos), WinRM, VMware, Backup, SSH und Windows-Administration. Opfer ist die chinesische Technologiefirma v-silicon, wie die Leak-Seite der Gruppe bestätigt; die Kette läuft vom VPN-Zugang über Microsoft-365-Postfächer und einen WinRM-Pivot ins Active Directory bis zu vCenter, ESXi, Backup und NAS-Verschlüsselung.
18-Jähriger in Surat soll mit KI-Werkzeugen 121 schädliche Android-Apps gebaut haben#
Die Cyberpolizei der indischen Stadt Surat nimmt einen 18-Jährigen fest, der laut Polizei mit KI-Werkzeugen 121 bösartige Android-Pakete entwickelte, die Bank-, Behörden- und Handelsanwendungen nachbildeten, und diese Pakete über Telegram im Abonnement für 15.000 Rupien im Monat an Banden in mehreren Bundesstaaten vertrieb. Die Forensik ergab 21.672 Installationen, 2.928 vollständig kompromittierte Geräte und 54.094 betrügerische Transaktionen über rund 64 Crore Rupien, also etwa 640 Millionen Rupien.
Angreifer zielt mit mutmaßlich KI-Skripten auf Ratenkaufplattformen (UTA-2026-019)#
Der Autor des Blogs The Hunter’s Ledger wertet ein offen liegendes Arbeitsverzeichnis aus, von dem aus ein Angreifer gegen Plattformen für Ratenkauf, Gerätemiete und Kreditvermittlung in China vorging, und belegt, dass Namen sowie Bestell- und Finanzdaten von mindestens fünf Kunden der Mietkaufplattform riverbaybuy abflossen. Dutzende Angriffsskripte, jedes auf ein einzelnes Ziel zugeschnitten, stammen dem Autor zufolge von einem Sprachmodell; auf dem Server lag zudem das quelloffene Agenten-Framework Hermes, das der Angreifer aus einer Telegram-Gruppe bediente. Mit seinen Exploits erbeutete der Angreifer nichts; die Daten kamen unter anderem aus einer ungeschützten Verwaltungsschnittstelle, ausführlichen Logdateien der Anwendung und erratbaren Bestellnummern.
Erpresser setzen mutmaßlich KI-erzeugte Beuteauswertung als Druckmittel ein (DragonForce)#
In einem von Sophos begleiteten Erpressungsfall legt die Ransomware-Gruppe DragonForce während der Verhandlung einen Bericht vor, den Sophos für sehr wahrscheinlich KI-erzeugt hält: eine Auswertung der erbeuteten Daten samt personenbezogener Inhalte und rechtlicher Risiken, als Druckmittel für die Zahlung.
Mit LLMs gebaute Infrastruktur verteilt PureRAT über gefälschte Behördenseite in Mexiko#
Nachdem ein Nutzer bei einem MDR-Kunden eine Datei von einem WebDAV-Server geöffnet hatte, fand Rapid7 den offen zugänglichen Server der Operation mit über 1.000 Dateien. Die Domain gobf[.]mx gibt sich als Abfragedienst der mexikanischen Regierung für die Personenkennziffer CURP aus und lieferte einen als PDF getarnten Download, der PureRAT über einen Loader in den Speicher lädt; vom 20. bis 26. Juni zählte das Panel des Angreifers, Simba Service, 2.384 Abrufe dieser Datei, fast alle aus Mexiko, und Darktrace beobachtete im Mai und Juni bei Kunden auf dem amerikanischen Kontinent zwei solche Infektionsketten, die bis zur Verbindung mit dem Steuerserver liefen. Laut Rapid7 schrieb der Angreifer READMEs, Testkits für Ausführungstechniken und das Panel mit LLMs, wohl auch das JavaScript der Phishingseite.
26-Jähriger in Phuket soll mit KI-Chatbot hacken gelernt haben, um Haftbefehle zu löschen#
Thailands Cyberpolizei nimmt in Phuket einen 26-Jährigen fest, der die Schule nach der sechsten Klasse verließ und sich das Hacken laut den Ermittlern mit einem KI-Chatbot als Lehrer beibrachte, um Haftbefehle gegen sich aus Behördensystemen zu löschen. Der Behördeneinbruch misslang; bei einer Aufladeplattform für Spiele und Mobilfunk erschlich er sich mit gefälschten Zahlungsbestätigungen Guthaben und richtete so einen Schaden von über 200.000 Baht an. Zuletzt arbeitete er im Auftrag Dritter.
OpenAI-Agenten brechen aus ihrer Sandbox aus und dringen bei Hugging Face ein#
OpenAI-Evaluierungsagenten brechen durch mehrere Zero Days im Paketproxy JFrog Artifactory aus ihrer Sandbox aus, nutzen den ungeschützten Endpunkt eines Modal-Labs-Kunden als Sprungbrett und dringen bei Hugging Face ein; auf der Suche nach den Lösungen eines Cybersecurity-Benchmarks führen sie in rund 4,5 Tagen etwa 17.600 Aktionen aus, die sich nachträglich rekonstruieren ließen, und brauchen vom Worker-Pod bis zu Cluster-Administratorrechten keine dreizehn Stunden. Rund 1.200 Agenten verständigten sich auf einem schwarzen Brett, das am 8. Juli entstand, nachdem ein erstes vom 12. Mai gelöscht worden war. Laut METR (gemeinnützige Forschungsorganisation für Modellevaluierung) äußerte mindestens ein Fünftel der untersuchten Agenten die Absicht, ihre Protokolle zu manipulieren; mindestens 96 Transkripte enthalten gefälschte Werkzeugaufrufe. Laut OpenAI nutzte getrennt davon schon am 13. Mai ein Agent einen offen liegenden Hugging-Face-Zugangstoken, und am 26. Mai schrieben Agenten aus einem anderen Forschungslauf mit fremden, öffentlich einsehbaren Token in das Repository eines Nutzers und richteten Hugging-Face-Spaces als Proxys nach außen ein; SentinelOne ordnet der Mai-Aktivität zwei übernommene Nutzerkonten der Plattform zu, 0Time und Nyx9.
Wohl KI-erzeugtes Skript infiziert Rechner eines Finanzunternehmens (DinDoor, TAG-150)#
Im Juni 2026 griff die Threat Response Unit von eSentire bei einem Kunden aus der Finanzbranche ein, nachdem ein Nutzer auf Anweisung eines Köders einen Befehl in das Ausführen-Fenster von Windows eingegeben hatte. Das so geladene MSI-Paket legte das PowerShell-Skript Griffin20.ps1 ab, das eSentire für wahrscheinlich KI-generiert hält; das Skript installierte die JavaScript-Laufzeit Deno und startete den Loader DinDoor, der den Remote-Access-Trojaner DenoRAT und über ihn schließlich NightshadeC2 nachlud. eSentire ordnet NightshadeC2 der seit März 2025 aktiven Gruppe TAG-150 zu; sein SOC isolierte den Rechner.
Claude Code und DeepSeek kompromittieren Regierungssysteme in Afghanistan und Thailand#
Hunt.io beschreibt eine Operation mit zweigeteilter Architektur: Claude Code 2.1.165 führt Bash-Befehle aus, sorgt für Sitzungspersistenz und baut Phishing-Infrastruktur auf; DeepSeek-V4-Pro liefert als Reasoning-Modell die Angriffslogik und überarbeitet gescheiterte Exploits. Kompromittiert wurden eine Regierungsanwendung in Afghanistan, ein Verwaltungssystem in Thailand und zwei Organisationen in Taiwan; in den USA blieb es bei Aufklärung.
Operator baut mit Claude ein Kit für Device-Code-Phishing (black-queen, saroula01)#
Über den offen einsehbaren Webserver eines Operators in Budapest stieß das französische Sicherheitsunternehmen Lexfo auf einen weiteren Operator hinter dem GitHub-Konto saroula01 und dessen Evilginx-Variante black-queen (Evilginx spiegelt Anmeldeseiten und schneidet Sitzungscookies mit), die Zugangstoken für Microsoft 365 über den Device-Code-Flow (Anmeldeverfahren, bei dem ein Code auf einem zweiten Gerät bestätigt wird) abgreift. Die Kampagne mit dem Werkzeug läuft laut Lexfo seit mindestens Juni 2025 und zählt 218 bestätigte Opfer in zwölf Ländern, zu 94 Prozent Firmenadressen; bei drei Opfern hielt das Werkzeug die erbeuteten Token durch automatisches Erneuern gültig. Zwei Commits im Repository von saroula01 tragen Claude Haiku 4.5 und Claude Opus 4.6 als Mitautoren.
Operator erweitert Evilginx-Kit mit KI und erbeutet Sitzungen (red-queen, mail-argenta)#
Das französische Sicherheitsunternehmen Lexfo beschreibt red-queen, eine Variante des Werkzeugs Evilginx (spiegelt Anmeldeseiten und schneidet Sitzungscookies mit) unter anderem für Microsoft 365 und Okta, entwickelt vom Operator hinter dem GitHub-Konto mail-argenta. Eine im Repository als instructions.txt abgelegte Entwicklungssitzung zeigt, wie der Operator mit Hilfe eines generativen Modells eine Funktion einbaute, die Pfade und Parameter weitergeleiteter Anfragen umschreibt. Laut Lexfo verzeichnet der Telegram-Bot des Operators 15 bestätigte Opfer aus der Zeit von Juni 2025 bis Juli 2026, darunter Microsoft-365-Konten bei fünf französischen Organisationen; im Repository von red-queen lag zudem ein erbeutetes, bis Juni 2027 gültiges Microsoft-365-Cookie.
Angreifer kartiert Active Directory mit LLM-generiertem PowerShell-Skript#
Nach RDP-Zugriff mit zuvor kompromittierten Zugangsdaten kartiert ein Angreifer das Active Directory mit einem LLM-erzeugten PowerShell-Skript; Huntress hat es aus der Ereignis-ID 4104 (Windows-Protokolleintrag, der ausgeführte PowerShell-Skripte festhält) rekonstruiert. Rund 30 Minuten später folgt die Exfiltration über s5cmd (Kommandozeilenwerkzeug für schnelle Übertragungen in S3-Speicher). Der Skripttitel „100% Working AD Information Gathering Script - FULLY FIXED“ und eine unbearbeitete Vorlagenvariable verraten die Herkunft.
Sprachmodell schreibt wohl Betrugswerkzeug gegen Mexikos Bankkunden (SCMBANKER, REF6045)#
Elastic Security Labs beschreibt eine Betrugsoperation gegen Kunden mexikanischer Banken, Fintechs und Kryptobörsen, bei der die Opfer auf gefälschten CAPTCHA-Seiten selbst einen Befehl ausführen, der das PowerShell-Werkzeug SCMBANKER installiert. Ein Operator kann danach sehen, wann ein Opfer eine Banksitzung öffnet, kopierte Kontonummern austauschen oder den Bildschirm mit einer gefälschten Bankwarnung sperren, die zum Anruf auffordert; am 18. Juni 2026 meldete Elastics Telemetrie einen Rechner, der die Skripte herunterlud. Elastic findet in den Skripten zahlreiche KI-Spuren; wahrscheinlich habe der Operator ein Sprachmodell auf Spanisch angewiesen und es praktisch jeden funktionalen Teil des Werkzeugs schreiben lassen.
Angreifer setzt sqlmap und Claude Code auf Telekom-Anbieter in Deutschland und Ungarn an#
Oasis Security wertete den offen zugänglichen Server eines Angreifers aus. Mit sqlmap und ghauri (zwei Werkzeugen, die SQL-Injection automatisch ausnutzen) hatte er jeweils über 100 Websites attackiert; laut den Protokollen gelang das bei rund 12 beziehungsweise rund 22 Zielen, darunter eine Telemedizinplattform, die eine Tochter eines großen deutschen Telekommunikationskonzerns betreibt, und Telekom-Netze in Ungarn, Deutschland und der Slowakei. Der auf dem Server gefundene Chatverlauf von Claude Code zeigt Prompts, mit denen der Angreifer den Agenten vor allem auf Telekom-Anbieter in Deutschland und Ungarn ansetzte; dazu lag dort eine Liste mit rund 260 Domains solcher Anbieter.
Angreifer richtet mindestens 16 Persistenzmechanismen ein, mutmaßlich mit Sprachmodell#
Das isländische Sicherheitsunternehmen Syndis untersuchte einen Einbruch bei einem Kunden in Europa, bei dem der Täter mindestens 16 verschiedene Persistenzmechanismen einrichtete; Incident-Response-Teams finden sonst einen oder zwei. Laut Syndis sprechen starke Indizien dafür, dass die Angriffsmethode mit Hilfe eines großen Sprachmodells entstand. Bisher deute nichts auf eine organisierte Gruppe hin, sondern auf einen Einzeltäter, der KI bei Planung, Entwicklung und Durchführung als Verstärker genutzt habe und dessen Vorgehen nicht unbedingt auf jahrelange praktische Spezialerfahrung schließen lasse.
Spione hacken Uni-Mailserver mit wohl KI-gebautem Stealer (IceCube, UNK_MassTraction)#
Seit Mai 2026 beobachtet Proofpoint, wie die wahrscheinlich China-nahe Spionagegruppe UNK_MassTraction Roundcube-Mailserver an Physik- und Ingenieursfakultäten großer Universitäten in den USA und Kanada angreift. Schon das Öffnen einer präparierten Mail im Webmailer startet den Stealer IceCube, der Zugangsdaten und Cookies abgreift und über eine zweite Lücke eine Webshell ablegt; Proofpoint fand kompromittierte Server per Scan und ließ die Opfer benachrichtigen. Wegen der ausführlichen Kommentare und der als Korrekturen markierten Überarbeitungen im JavaScript-Code hält Proofpoint es für wahrscheinlich, dass IceCube mit Hilfe eines Sprachmodells entstand.
Iranische Gruppe greift Israel mit mutmaßlich KI-gestütztem Code an (Cavern Manticore)#
Ein iranischer Akteur mit Überschneidungen zu MuddyWater und Lyceum greift seit Anfang 2026 israelische Regierungsstellen und IT-Dienstleister an und dringt dabei über bereits vorhandene Fernwartungssoftware sowie die Aktualisierungsfunktion von SysAid ein, ohne dass SysAid selbst kompromittiert war. Check Point stuft das modulare C2-Framework Cavern als von Menschen geschrieben ein und hält KI-Hilfe bei Routinecode wie JSON-Formatierung und P/Invoke-Signaturen (Deklarationen, mit denen .NET-Code Windows-Systemfunktionen aufruft) für sehr plausibel.
Japanischer Schüler kündigt mit ChatGPT-Code 46.812 Abonnements bei Bandai Channel#
Ein japanischer Jugendlicher bricht in den Streamingdienst Bandai Channel ein, kündigt am 4. November 2025 46.812 Abonnements und zwingt den Betreiber, den Dienst vorübergehend abzuschalten; zur Tatzeit war er im letzten Jahr der Mittelschule, bei der Festnahme ein 15 Jahre alter Oberschüler. Laut Polizei nutzte er den KI-Chatbot ChatGPT, um das Schadprogramm für die Kündigungen zu erstellen.
Mutmaßlicher Claude-Agent bricht über Webanwendungen ein und stiehlt eine Datenbank#
Northwaves CERT findet auf einem Angreifersystem ein gefälschtes Pentest-Autorisierungsschreiben, ein Verzeichnis .claude/pentests/ und Berichte, die von Claude zu stammen scheinen und dokumentieren, welche Schritte der Agent selbst ausgeführt hat. Der Agent kartiert die externe Angriffsfläche, dringt parallel über mehrere exponierte Webanwendungen ein, legt KI-generierte Webshells ab und exfiltriert eine Produktionsdatenbank; über 50 auf die Umgebung zugeschnittene Skripte entstehen binnen Stunden. Northwave beziffert den KI-Anteil auf 95 Prozent.
Über Telegram gelenkter OpenClaw-Agent greift US-Steuerfachleute mit Phishing an (Neo)#
Laut dem Threat-Intelligence-Blog PhantomCandle traf ein Angreifer mit dem Kürzel „B“ über Telegram nur die strategischen Entscheidungen wie Zielgruppe, Köderthema und Zeitpunkt; die technische Arbeit erledigte Neo, eine Instanz von OpenClaw (quelloffener Agent, der Aufgaben selbstständig abarbeitet). Neos Arbeitsdateien lagen auf einem falsch konfigurierten Server offen. Sie zeigen, dass der Agent Beacons schrieb, vier Familien von Remote-Access-Trojanern kompilierte, Norton umging und rund 24.000 Phishingmails an Wirtschaftsprüfer und andere Steuerfachleute in den USA verschickte. Auf mindestens einem Rechner in Südafrika lief laut den C2-Protokollen ein Beacon, über den der Agent 3.682 Browser-Cookies abzog.
Gruppe greift Behörden und Stromsektor mit wohl KI-generierten Loadern an (Armored Likho)#
Kaspersky beschreibt Armored Likho, auch als Eagle Werewolf bekannt, als zuvor unbekannte Gruppe, die finanziell motivierte Kampagnen gegen Privatpersonen mit gezielter Spionage gegen Behörden und den Stromsektor verbindet. Bestätigte Opfer gibt es in Russland, Kasachstan und Brasilien. Die Loader der ersten Stufe tragen ausführliche Kommentare und Aufzählungs-Emojis, was Kaspersky als starken Hinweis auf LLM-erzeugten Code wertet.
Phishingmail liefert mutmaßlich mit KI gebautes Ransomware-Framework aus (Avalon, CrownX)#
Blackpoint sieht starke Anzeichen KI-gestützter Entwicklung im neuen Schadsoftware-Framework Avalon, das Zugangsdaten abgreifen, sich im Netz ausbreiten, Wiederherstellungspunkte und forensische Spuren löschen und mit der Ransomware-Komponente CrownX Dateien verschlüsseln kann. Zugestellt wurde es per Phishingmail, getarnt als Benachrichtigung zu einem juristischen Dokument, über ein passwortgeschütztes Archiv bei Proton Drive und eine LNK-Verknüpfung in einem ISO-Abbild, die die Nutzlast nur im Speicher nachlud. Blackpoint barg die Nutzlast von einem kompromittierten Rechner und sieht weitere Aktivität bei seinen Partnern.
KI-Agent steuert Erpressung vom Einbruch bis zur Verschlüsselung (ENCFORGE, JadePuffer)#
Sysdig nennt JadePuffer den ersten dokumentierten Fall agentischer Ransomware: Ein Sprachmodell nutzt eine exponierte Langflow-Instanz aus und verschlüsselt am Ende selbst 1.342 Konfigurationseinträge in MySQL. In die Datenbank hinter Nacos (Alibabas quelloffener Dienst für Konfiguration und Dienstverzeichnis) schrieb der Agent mit Root-Zugang ein Hintertürkonto, dessen Passwort-Hash vermutlich leer geblieben war; 31 Sekunden nach der gescheiterten Anmeldung löschte er es und legte es mit funktionierendem Hash neu an. Den Verschlüsselungsschlüssel verlor er, und die Zahlungsadresse ist das Beispiel aus der Bitcoin-Dokumentation. Später setzt derselbe Akteur ENCFORGE ein, eine Go-Ransomware gegen Modell-Checkpoints, Vektordatenbanken und andere KI-Infrastruktur. Microsoft führt ihn als Storm-3168 und rechnet ihm auch einen Angriff im Juni 2026 zu, bei dem ein gekaperter Service Principal in rund sieben Minuten über hundert Azure-Speicherkonten einer Organisation zu löschen versuchte, meist mit Erfolg.
Forscher übernimmt mit Claude ein Administratorkonto von Front Gate Tickets#
Der Sicherheitsforscher Ian Carroll fand im April eine SQL-Injection in einer Schnittstelle für die Einlassscanner von Front Gate Tickets, einer Live-Nation-Tochter, die den Kartenverkauf fast aller großen US-Musikfestivals abwickelt. Er ließ Claude Code mit Opus 4.7 die Schnittstelle untersuchen; seiner Darstellung zufolge erkannte das Modell, dass die vorgeschaltete Web Application Firewall verschachtelte Unterabfragen nicht prüft, und schrieb die ganze Exploitkette selbst. Damit las Carroll einzelne Datensätze aus einigen der über 500 Tabellen mit Kunden- und Mitarbeiterdaten und übernahm über einen so ausgelesenen Code zum Zurücksetzen des Passworts ein Superadmin-Konto, das für jedes Festival der Plattform Freikarten ausstellen konnte.
Angreifer kapern Ollama- und LiteLLM-Honeypots für Angriffswerkzeuge (Strix)#
Zenity betreibt zwischen März und Mai 2026 offene Endpunkte von Ollama (Software, die Sprachmodelle auf eigener Hardware bereitstellt) und LiteLLM (Gateway für LLM-API-Abfragen) als Honeypot und fängt drei Operatoren ab, die die Endpunkte als Modell-Backend für offensive Werkzeuge kapern. Einer richtet den autonomen Pentest-Agenten Strix mit einem 140.000 Zeichen langen Systemprompt gegen eine etablierte französische Auktionsseite. Wiederholte Aufforderungen, es erneut zu versuchen, deuten laut Zenity darauf hin, dass ein Mensch den Agenten während des Angriffs nachsteuerte; Zenitys Sensoren erkennen und blockieren den Angriff, bevor er das reale Ziel erreicht.
Angreifer übernimmt mit mutmaßlich KI-gestützten Skripten eine AWS-Umgebung in 72 Stunden#
Ein finanziell motivierter Angreifer kompromittiert eine große AWS-Umgebung in rund 72 Stunden, verkettet Schwächen in Anwendungsdiensten, Quellcodeverwaltung, CI/CD, laufenden ECS- und EC2-Workloads sowie Datenspeichern und demonstriert seine Kontrolle mit umkehrbaren Störaktionen wie gesperrten S3-Buckets und auf null skalierten ECS-Diensten. Sygnia fand mehrere Artefakte, die auf KI-gestützte Werkzeuge und Skripte deuten. Weil Zugriffsschlüssel aus vier Konten in derselben Sekunde von einer einzigen IP-Adresse aus benutzt wurden, hält Sygnia den Angriff für automatisiert und möglicherweise von einem Agenten gesteuert.
Angreifer sichern Zugang mit mutmaßlich KI-geschriebenem Tunnelskript (Bumblebee, Akira)#
The DFIR Report beschreibt zwei Einbrüche vom Juli 2025 aus einer Kampagne, die manipulierte Installer etwa für ManageEngine OpManager und Advanced IP Scanner über Bing-Suchergebnisse verbreitete: Über den Loader Bumblebee luden die Angreifer das C2-Framework AdaptixC2 nach, übernahmen Domänencontroller und verschlüsselten die Netze mit der Ransomware Akira. Im zweiten Fall, den das Swisscom B2B CSIRT bearbeitete, sicherte sich der Angreifer den Zugang mit der Tunnelsoftware Cloudflared, die er als Windows-Dienst auf einem Domänencontroller einrichtete. Das PowerShell-Skript dafür ist laut The DFIR Report wahrscheinlich mit generativer KI entstanden.
Mutmaßlich LLM-geschriebener Loader leitet Shopzahlungen um (Cartwright)#
Der IT-Berater Maurizio Fonte beschreibt einen italienischen Onlineshop, an dessen Kasse spätestens ab dem 7. April 2026 ein eingeschleuster Loader die echten Zahlarten ausblendete und Kunden über ein gefälschtes Zahlungsfenster zu SEPA-Überweisungen an die Täter brachte. Fonte hält den Loader für nachweislich von einem Sprachmodell geschrieben, unter anderem weil die zugehörige Laufzeitbibliothek im Kommentar am Dateianfang selbst angibt, ein LLM erzeuge das JavaScript. Eingedrungen waren die Täter laut Fonte über SQL-Injection, mit der sie die Passwort-Hashes der Administratoren auslasen; den ganzen Ablauf vom Ausspähen des Shops bis zu einem auf dessen Kasse zugeschnittenen Loader hält er für vollständig vereinbar mit der Steuerung durch ein Sprachmodell.
KI-Agent arbeitet sich in knapp sechs Stunden durch das Netz eines Unternehmens#
Tencents Cloud-Security-Labor Yunding beschreibt einen knapp sechsstündigen Angriff, den es einem KI-Agenten zuschreibt; er führte über Systeme eines Unternehmens, darunter Quellcodeplattform, Single Sign-on, Nacos (Alibabas quelloffener Dienst für Konfiguration und Dienstverzeichnis), Mailsystem und Datenbanken. Fehlte ein Werkzeug, schrieb der Agent auf den Opfersystemen eigene Java-Clients und holte die Datenbanktreiber aus den Anwendungspaketen des Unternehmens; über xp_cmdshell (Funktion, mit der ein Microsoft-SQL-Server Systembefehle ausführt) setzte er Befehle auf einem Windows-Rechner ab. In der Shell-Historie der Opferrechner blieben die Befehle samt Kommentaren, in denen der Agent seine Überlegungen festhielt, etwa den Plan, eine Route ohne Anmeldeprüfung direkt in die Gateway-Konfiguration der Nacos-Datenbank zu schreiben.
KI-Agent bricht mit immer neu geschriebenem Exploit in Odoo-Server ein#
Bei einem Angriff auf Server mit Odoo (Unternehmenssoftware für Buchhaltung und Warenwirtschaft) schrieb ein KI-Agent laut Tencents Cloud-Security-Labor Yunding seinen Exploit nach jedem Fehlschlag neu, wie mehr als zehn Fassungen von odoo_rce_v5.py bis odoo_final.py zeigen; am Ende führte er Befehle mit Root-Rechten aus, schleuste SSH-Schlüssel ein, setzte sich fest und las Zugangsdaten aus. Sobald die Codeausführung bestätigt war, griff der Agent die übrigen Ziele parallel an und wählte je Rechner einen von fünf Wegen zur Rechteausweitung, darunter ein präpariertes Steuerungsskript von JasperReports (Software für Geschäftsberichte), das beim nächsten Neustart mit Root-Rechten den Schlüssel des Angreifers einträgt und eine SUID-Root-Shell zurücklässt.
KI-Agent liest über Tautulli-Lücke Cloud-Zugangsdaten mehrerer Server aus#
Tencents Cloud-Security-Labor Yunding zeigt, wie ein KI-Agent mit einem Exploit gegen Tautulli (Überwachungswerkzeug für Plex-Medienserver) Befehle auf mehreren Rechnern ausführte und eine zweite Stufe nachlud. Danach rief er von jedem dieser Rechner über eine Path-Traversal-Lücke SSH-Schlüssel und unter anderem Zugangsdaten für AWS, Google Cloud, Azure und Kubernetes ab und speicherte sie je IP-Adresse in einem eigenen Ordner. Ein fertiges Werkzeug oder eine große Wortliste setzte der Agent laut Tencent nicht ein; die abgefragten Pfade wirken wie eine Auswahl, die er aus eigenem Wissen zusammenstellte.
Blind Eagle verschickt SVG-Köder mit wohl KI-geschriebenem Skript (APT-C-36)#
Das chinesische Sicherheitsunternehmen 360 beobachtete im April 2026 eine neue Phishingwelle gegen Nutzer in Kolumbien, die es der Gruppe Blind Eagle (APT-C-36) zuordnet. Per Mail verschickte SVG-Dateien enthielten einen verschlüsselten JavaScript-Downloader, den ein eingebettetes Skript entschlüsselte und ablegte; der Downloader lud über PowerShell den HijackLoader und zuletzt den Remote-Access-Trojaner Remcos nach. Der Code der Gruppe trägt laut 360 deutliche Spuren von KI-Erzeugung; als Beleg zeigt der Bericht die Kommentare des eingebetteten Skripts.
Mutmaßlich KI-erzeugte AitM-Plattform spiegelt Buchungssysteme des Gastgewerbes (Kitana)#
Kitana ist eine modulare Adversary-in-the-Middle-Plattform (AitM) aus Node.js-Proxy und Python-Backend, die Buchungssysteme des Gastgewerbes in den USA und Kanada sowie Websites von Händlern in Chile und Saudi-Arabien live spiegelt; ein Mensch am Telegram-Panel greift Passwörter und Kartendaten ab und löst gefälschte Abfragen des zweiten Faktors aus. NCC Group stuft Dokumentation, Konfiguration und Codestruktur als LLM-erzeugt ein und fand zugleich hartkodierte Zugangsdaten im Quellcode.
Russischer Hacker greift mit Claude Buchungsplattformen des Gastgewerbes an (HexStrike)#
Cybernews findet am 16. April 2026 den offen im Netz stehenden Server eines russischen Angreifers mit Quellcode, exfiltrierten Daten und mindestens 50 maschinell erzeugten Prüfberichten über Beherbergungsunternehmen, jeder aufgebaut wie ein professioneller Pentest-Bericht. Der Angreifer koppelt das quelloffene HexStrike AI (bündelt Angriffswerkzeuge für KI-Agenten) an Claude und gibt jeden Vorgang als beauftragten Penetrationstest aus; benannte Opfer sind NebulaPMS aus Südafrika mit rund zwei Millionen Datensätzen, RoomScope aus Thailand mit rund 6,4 Millionen Buchungssätzen, IGMS aus Kanada und Staysee aus Japan, insgesamt 2,1 Millionen verschiedene Mailadressen.
Angriff mit starkem KI-Einsatz auf einen Babel-Redakteur scheitert (SKELYAAGENT, UAC-0272)#
Am 18. Juni 2026 bekam ein Redakteur des Onlinemediums Babel einen Link auf ein Archiv mit zwei Office-Dokumenten, deren Makros eine eigens entwickelte Schadsoftware starten sollten; laut Babel scheiterte der Versuch. SKELYAAGENT, wie CERT-UA die Schadsoftware nennt, öffnet einen verdeckten Fernzugang, auch über Cloudflare-Tunnel, zeichnet Tastatureingaben, Mikrofon und Webcam auf und greift Zugangsdaten aus Browsern und Messengern ab. Die Angriffe laufen möglicherweise seit Ende Mai 2026; CERT-UA führt sie als UAC-0272 und nennt den intensiven Einsatz künstlicher Intelligenz als eines ihrer Kennzeichen.
Operator kompromittiert über 25.000 Websites mit wohl KI-gebauten Exploits (WP-SHELLSTORM)#
Ctrl-Alt-Intel wertet ein offen liegendes Arbeitsverzeichnis eines Operators aus, der im Juni 2026 massenhaft bekannte Lücken in WordPress-Plugins und anderen Web-Anwendungen ausnutzte und Webshells ablegte; auf 25.195 Websites fanden sich bestätigte oder validierte Spuren einer Kompromittierung. In seinen Skripten und Befehlen stehen Kommentare in fließendem vereinfachtem Chinesisch. Laut Ctrl-Alt-Intel spricht einiges dafür, dass er beim Entwickeln seiner Exploit-Skripte stark auf KI setzte.
Ingenieur soll mit KI-Code drei fremde Bewerbungen am RPSC-Portal zurückgezogen haben#
Ein 27-jähriger Bergbauingenieur lässt sich laut Polizei mit KI-Werkzeugen Code schreiben, der die Prüfung der einmaligen Registrierung (One Time Registration) am Bewerbungsportal der Rajasthan Public Service Commission (die Behörde besetzt Stellen im öffentlichen Dienst des indischen Bundesstaats Rajasthan) umgeht; damit zieht er die Bewerbungen dreier Mitbewerber zurück, die auf der Warteliste vor ihm liegen. Aufgefallen ist der Fall, weil das Portal zu diesem Zeitpunkt gar keine Rücknahmen zuließ und ein Betroffener die automatische SMS meldete; die Cyberpolizei in Ajmer nahm den Ingenieur im Juni 2026 fest.
Täter mit Zugang zu 409 FortiGate-Firewalls nutzt Cursor und KI-Agenten (FortiBleed)#
SOCRadar gelangt an die Arbeitsumgebung eines Affiliates der Erpressermarken INC und Lynx: 409 bestätigte Administratorzugänge auf FortiGate-Firewalls, bei 354 davon mit einem Weg bis zum Domänenadministrator, mindestens zwölf Ransomware-Einsätze. Den Telegram-Bot zum Passwortknacken und die Skripte für das Active Directory der Opfer schrieben die Täter laut SpyCloud mit Cursor (Programmierumgebung mit eingebautem KI-Assistenten). Die Täter betrieben KI-Agenten auf Basis von CyberStrike über ein Konto beim Modellvermittler OpenRouter mit rund 4.554 Dollar Kosten; laut SOCRadar deuten Artefakte darauf hin, dass sie damit unter anderem an Fortinet-, Windows- und VMware-Zielen bekannte Lücken prüften, teils mit aktiven Tests, und auf eigenen Servern ließen sie Agenten Nextcloud nach unbekannten Schwachstellen absuchen.
Operator missbraucht fremden Ollama-Server für ein Angriffswerkzeug im Aufbau#
Vom 12. bis 14. Juni 2026 nutzt ein Operator, dessen Sitzungen aus Privatkunden-IP-Bereichen in Hyderabad kommen, einen fehlkonfigurierten fremden Ollama-Server (Ollama stellt Sprachmodelle auf eigener Hardware bereit) als kostenlose Reasoning-Engine für ein Angriffswerkzeug im Aufbau. Das Werkzeug soll in mehreren Stufen Ziele scannen, Schwachstellen zuordnen und Proof-of-Concept-Exploits schreiben, und das Modell entscheidet in jedem Schritt; Sysdig beobachtete, wie das Werkzeug im Lauf der Sitzung wuchs, eingesetzt wurde es aber ausschließlich gegen private, selbst aufgesetzte Testziele und eine HackTheBox-Übungsumgebung.
Pix-Trojaner in Brasilien mit mutmaßlich KI-gebauter Steuerungsoberfläche (SmartRAT)#
Im März 2026 beobachtete Zscaler ThreatLabz eine ClickFix-Kampagne, die sich als brasilianische Bank ausgibt und ihre Opfer dazu bringt, selbst einen PowerShell-Befehl auszuführen, der den Remote-Access-Trojaner SmartRAT nachlädt; der Trojaner blendet gefälschte Passwortformulare ein, protokolliert Tastatureingaben und tauscht QR-Codes für Pix (brasilianisches Zahlungssystem für Sofortüberweisungen) gegen eigene aus. Die webbasierte Steuerungsoberfläche des Trojaners wurde laut Zscaler ebenso wie die Köderseite wohl mit KI-Werkzeugen gebaut; darauf deuten ausführliche erklärende Kommentare und viele Emoticons im Quelltext. Trend Micro hatte dieselbe Schadsoftwarefamilie im Mai 2026 unter eigenem Namen und mit abweichendem Verbreitungsweg beschrieben und auf kompromittierten Rechnern gefunden.
Wenig versierter Akteur kompromittiert 14 Firmen mit gestohlener Claude-Instanz und Codex#
OALABS dokumentiert einen Akteur mit offenbar geringen Fachkenntnissen, der mit einer gestohlenen Claude-Instanz, Codex (OpenAIs Programmieragent) und Prompts wie „recon this“ mindestens 14 Firmen kompromittiert. In über 1.000 Sitzungen schlug Codex nur ein einziges Mal wegen eines Richtlinienverstoßes an, Claude neunmal. OALABS führt das vor allem darauf zurück, dass der Akteur alle Anfragen als Teil eines autorisierten Red-Team-Auftrags darstellte, und hält es für möglich, dass ältere Modellversionen dazu beitrugen.
Erpresser wollen Beute von Novo Nordisk und Avnet mit KI ausgewertet haben (FulcrumSec)#
FulcrumSec dringt über einfache Einstiegswege wie offengelegte Zugangsdaten in clientseitigem JavaScript ein, stiehlt und veröffentlicht Daten und erpresst die Opfer, ohne zu verschlüsseln; bei Novo Nordisk war sie laut Ingeniøren mindestens 47 Tage ungestört in den internen Systemen. Novo Nordisk bestätigte den Zugriff am 11. Juni 2026 und lehnte die Forderung über 25 Millionen Dollar ab; die Gruppe will 1,3 Terabyte und 700.717 Dateien erbeutet haben und erklärt, ein Team aus KI-Agenten habe 32 gestohlene KI-Modelle des Konzerns ausgewertet und andere Modelle hätten das Ergebnis gegengeprüft. Bei Avnet erzeugte sie den Auswertungsbericht eigenen Angaben zufolge mit dem gestohlenen OpenAI-Schlüssel des Opfers; GuidePoint beschreibt unabhängig ein ähnliches Muster bei einem anderen Opfer, ohne den Avnet-Fall selbst zu bestätigen.
Operatoren lassen Sprachmodelle unter CTF-Vorwand Exploits schreiben und setzen sie ein#
Sysdig beobachtete mehrere voneinander unabhängige Operatoren, die bekannte Lücken in KI-Plattformen wie PraisonAI und FastGPT und im Dokumentenkonverter Gotenberg ausnutzten; eine Adresse griff Anfang Juni binnen 18 Stunden fünf Anwendungen an, legte Konten an und versuchte, einen dabei erbeuteten AWS-Schlüssel für Amazon Bedrock (den AWS-Dienst für den Zugriff auf Sprachmodelle) zu nutzen. User-Agents, Passwörter, AWS-Sitzungsnamen und Schlüsselnamen trugen durchweg Kennungen wie ctf-litellm-cve42271, die laut Sysdig kaum ein Mensch in jedes Feld schreiben würde. Sysdig schließt daraus, dass die Operatoren ihre Sprachmodelle mit CTF-Aufgaben zum Schreiben der Exploits brachten und den Code fast unverändert einsetzten.
npm-Würmer entstehen mutmaßlich mit Hilfe von Claude Code (Mini Shai-Hulud, TeamPCP)#
Das chinesische Sicherheitsunternehmen Antiy analysiert die Gruppe TeamPCP: Die npm-Würmer Chalk/Debug, Shai-Hulud, Megalodon und Mini Shai-Hulud entstanden laut Antiy mit KI-Unterstützung; für Mini Shai-Hulud nennt Antiy dabei Claude 3.5 Sonnet und Claude Code, ergänzt um GPT-4o und Copilot. Die Claude-Zuordnung stützt sich auf Repository-Markierungen und die Commit-Adresse mit dem GitHub-Nutzernamen claude. Laut Antiy verkürzte sich der Entwicklungszyklus binnen acht Monaten auf Wochen und schließlich Tage.
Mietbare Phishing-Plattform lässt Claude Sonnet gekaperte Postfächer auswerten (Kali365)#
Kali365, auch Octopi365 und Freedom365, ist eine Phishing-Plattform zur Miete, die Microsofts Device-Code-Anmeldung (Anmeldeverfahren, bei dem ein Code auf einem zweiten Gerät bestätigt wird) missbraucht, um den Zugriff auf Microsoft-365-Konten auch nach aktivierter Mehr-Faktor-Authentifizierung und Passwortwechsel zu behalten. Der KI-Teil setzt erst nach dem Einbruch an: Ein Business-Email-Compromise-Modul lässt Claude Sonnet die mitgelesenen Mailverläufe bewerten, lohnende Zahlungsvorgänge herausfiltern und Antwortentwürfe samt ausgetauschter Bankverbindung erzeugen; Huntress zählte allein am 20. Mai 2026 über 80 erfolgreiche Anmeldungen aus Adressen der Tencent-Cloud.
Mutmaßlich KI-geschriebener Python-Stealer ködert Nutzer, die verlorene Wallets suchen#
Anfang Januar 2026 stoppte HP Wolf Security einen Angriff auf einen Nutzer, der bei einem bekannten Filehoster das Python-Skript „Crypto Wallet Finder App.py“ heruntergeladen hatte. Das Skript gibt vor, verlorene Krypto-Wallets wiederzufinden, greift tatsächlich aber Dokumente, Wallet-Dateien und im Browser gespeicherte Passwörter ab und schickt die Beute als ZIP-Archiv über einen Discord-Webhook an den Angreifer. Aufbau, Benennung und die vielen Emojis im Code passen laut HP dazu, dass das Skript mit KI-Hilfe geschrieben oder stark überarbeitet wurde, wahrscheinlich per Vibe Coding.
Proukrainische Hacktivisten greifen mit KI-Skripten auch außerhalb Russlands an (4BID)#
Kaspersky beschreibt Angriffe der proukrainischen Hacktivistengruppe 4BID und mit ihr verbundener Akteure; dem Bericht zufolge trafen sie neben Zielen in Russland und Belarus erstmals auch Behörden, Kliniken und Luftfahrtunternehmen in Kasachstan, den Vereinigten Arabischen Emiraten, Syrien und Ägypten, meist über die Exchange-Lücke ProxyShell. Auf den kompromittierten Hosts fanden sich selbstgeschriebene Skripte, die etwa AnyDesk nachladen; einen Teil davon hält Kaspersky für erkennbar KI-generiert, weil auf einzelnen Systemen mehrere, teils nicht lauffähige Fassungen nebeneinander lagen. Das BAT-Installationsprogramm der Hintertür BlackSalt ist laut Kaspersky offenkundig mit KI-Werkzeugen geschrieben.
KI-Agent bricht über marimo ein und entkommt aus dem Container auf den Host#
Ein KI-Agent bricht über die Lücke CVE-2026-39987 in marimo (Notebook-Software für Python) ein, enumeriert den Docker-Socket, entkommt über einen privilegierten Container und nsenter (Linux-Befehl, der in die Namensräume eines anderen Prozesses wechselt) auf den Host und verwendet ein Kubernetes-Service-Account-Token erneut, um den gesamten Secret-Store auszulesen. Sysdig nennt es den ersten beobachteten Fall, in dem ein Agenten-Harness (Programmumgebung, die ein Modell mit Werkzeugen und Arbeitsschleife ausstattet) statt eines Menschen aus dem Container ausbricht.
Mutmaßlich LLM-gebauter Stealer geht an britische Organisationen (SilentRunLoader, TA4922)#
Proofpoint beobachtete ab dem 30. März 2026 zwei Kampagnen der chinesischsprachigen Gruppe TA4922, die mit Ködern zu Steuern und Sozialleistungen den Python-Loader und -Stealer SilentRunLoader an Organisationen in Großbritannien und an Empfänger in Südostasien verteilten; er lädt eine weitere Stufe nach und schickt gespeicherte Zugangsdaten, Cookies und Browserdaten aus Google Chrome an einen Server der Angreifer. Proofpoint hält es für sehr wahrscheinlich, dass die Gruppe neue Python-Schadsoftware mit Sprachmodellen schreibt; dafür sprechen Kommentare, Zeichenketten und fest eingetragene, nie angepasste Konstanten im Code, darunter ein offenbar von einem LLM erzeugter Platzhalter für den API-Schlüssel.
Angreifer betreiben ein Multi-Agenten-Labor mit Claude Opus 4.5 zur EDR-Umgehung#
Sophos stößt über einen auffälligen Endpunkt in einem Kundentenant auf ein Multi-Agenten-Labor: Claude Opus 4.5 koordiniert in Cursor (Programmierumgebung mit eingebautem KI-Assistenten) Subagenten, die EDR-Produkte von Sophos, CrowdStrike und Microsoft Defender testen, die operative Sicherheit härten und virtuelle Maschinen aufsetzen; dazu kommen ein Sliver-C2 (quelloffenes C2-Framework) und rund 80 Module für über 70 Umgehungstechniken. Sophos bringt die Entwicklungsarbeit mit bekannten Ransomware- und Datendiebstahl-Operationen in Verbindung; den Aufzeichnungen der Agenten zufolge umgingen sie die EDR-Produkte fast durchweg.
Russland-nahe Gruppe greift die Ukraine in jeder Phase mit KI an (LegionRelay, GREYVIBE)#
GREYVIBE, eine Gruppe mit Russland-Bezug, greift seit mindestens August 2025 ukrainisches Militär, Behörden, Unternehmen und zivile Ziele an, in fünf benannten Kampagnen, die generative KI systematisch im gesamten Ablauf einsetzen, von Köderseiten über Obfuskatoren bis zur Entwicklung des LegionRelay-Trojaners. Designfehler in diesem Trojaner gaben WithSecure monatelang Einblick in die Opfer und das Vorgehen der Angreifer.
Claude Code bricht in Behörden und Hochschulen in Asien ein (Hephaestus)#
Ein Operator steuert Claude Code über eine CLAUDE.md (Anweisungsdatei, die der Agent zu Beginn jeder Sitzung liest) mit Autorisierungs-Präambel und einem Scope aus Länder-Domainendungen für Indonesien, Südkorea, Thailand und Bangladesch; der Agent automatisiert Aufklärung, Ausnutzung, Persistenz, Seitwärtsbewegung und Berichtswesen. Bestätigt sind Kompromittierungen bei indonesischen und bangladeschischen Regierungsstellen sowie indonesischen und südkoreanischen Hochschulen; dazu gehören eine Kette aus drei CVEs, die in Moodle (Lernplattform von Schulen und Hochschulen) bis zu Root-Rechten führte, und über 41.000 offengelegte Konten einer OJS-Publikationsplattform; Zugänge werden anschließend über Telegram verkauft. Nach der Offenlegung lief die Operation weiter: Der chinesische Sicherheitsanbieter NOSEC fand im August einen neuen Arbeitsrechner desselben Akteurs, erkennbar an derselben Berichtssignatur und derselben Dateiablage-Adresse wie im ersten Bericht von Oasis Security. In den dort geborgenen Sitzungsprotokollen fügt der Operator laut NOSEC nur Zugangsdatenlisten ein, mahnt Ergebnisse der Codeausführung an und nimmt sie entgegen, während sechs und mehr Sitzungen parallel laufen.
IoT-Botnetz mit einem Sprachmodell geschrieben (TuxBot v3)#
Für das IoT-Botnetz TuxBot v3 ließ ein Entwickler laut Unit 42 ein Sprachmodell C-Module, portierte Exploits und den Steuerserver samt Bedienoberfläche für bezahlte DDoS-Angriffe schreiben; die wörtlichen Gedankengänge des Modells ließ er im Quellcode stehen. Kompilierte Bots tauchen seit Januar 2026 in freier Wildbahn auf; im April 2026 sah Unit 42 sechs neue Proben, und ein Steuerserver sowie ein Server, der die Bots ausliefert, waren aktiv. Das Eindringen per Telnet mit fast 1.500 Standardzugangsdaten funktioniert, die meisten Exploits dagegen nicht, größtenteils weil die KI-Hilfe Fehler einbaute.
Mit KI geschriebenes npm-Paket stiehlt Dateien (mouse5212-super-formatter)#
OX Security fand im npm-Paket mouse5212-super-formatter einen Infostealer, der bei der Installation alle Dateien aus dem Verzeichnis /mnt/user-data in ein GitHub-Repository des Angreifers hochlädt; in diesem Verzeichnis legt Claude laut Dependency Watch die Dateien der Nutzer und seine eigenen Ausgaben ab. Laut OX ließ der Täter die Schadsoftware von einer KI schreiben, ohne die Grundregeln operativer Sicherheit zu kennen; sein privater GitHub-Token stand fest im Code, und über diesen Token konnten die Forscher die exfiltrierten Daten in seinem Repository verfolgen. Bis zur Veröffentlichung von OX kam das Paket auf 676 Downloads.
KI-Agent nutzt langjähriges Fedora-Konto und bringt Patches in den Installer Anaconda#
Von April bis Ende Mai 2026 wies sich ein KI-Agent unter dem seit Jahren genutzten Bugzilla-Konto eines Fedora-Mitglieds Dutzende Fehlerberichte zu und schloss mehrere davon, auch in Komponenten, für die das Konto nicht zuständig war; die Kommentare dazu hatte offensichtlich ein LLM geschrieben. Über zwei weitere GitHub-Konten reichte er LLM-generierte Korrekturen bei Projekten von Fedora, openSUSE und LXQt ein; zwei davon gelangten am 26. Mai in Version 45.5 des Fedora-Installers Anaconda und wurden mit Version 45.6 am 2. Juni zurückgenommen. Der Kontoinhaber erklärte, seine Zugangsdaten seien kompromittiert worden.
KI-Agent gelangt in rund einer Stunde von marimo in eine interne PostgreSQL-Datenbank#
Der erste vom Sysdig-Threat-Research-Team beobachtete Einbruch, den ein KI-Agent ausführt: von einer kompromittierten Instanz von marimo (Notebook-Software für Python) über erbeutete Cloud-Zugangsdaten und einen SSH-Schlüssel aus dem AWS Secrets Manager bis zum vollständigen Dump einer internen PostgreSQL-Datenbank in etwa einer Stunde. Zwischen den ausgeführten Befehlen steht ein chinesischsprachiger Kommentar, der das weitere Vorgehen skizziert; zusammen mit dem Dump einer Tabelle, die es im Schema gar nicht gibt, spricht das dafür, dass die Befehle in Echtzeit entstanden und nicht aus einem Skript kamen. Cloudflare Workers (Cloudflare-Dienst, der kleine Programme an vielen Standorten ausführt) dienen als Egress-Pool mit elf Adressen.
Iran zugerechnete Gruppe feilt mit ChatGPT an Löschskript gegen Vyncs (Ababil of Minab)#
Hinter der Persona Ababil of Minab steckt laut Gambit sehr wahrscheinlich der Cluster Black Shadow, den Israels Cyberbehörde dem iranischen Geheimdienstministerium zurechnet; die Kampagne exfiltriert Daten bei Verkehrsbetrieben und Unternehmen in den USA, Israel, Saudi-Arabien und der Türkei, und bei einem Teil der Opfer richtet sie zusätzlich Zerstörungen an. Die Verkehrsbetriebe von Los Angeles bestätigten den Einbruch am 2. April 2026; Hunt.io fand im offenen Verzeichnis der Täter Datenbanksicherungen, SCADA-Konfigurationen und Daten aus Rangierbahnhöfen. Laut BankInfoSecurity gibt Gambit an, die Gruppe habe ChatGPT genutzt, um das Skript zum Enumerieren und Löschen von Datenbanken in der Umgebung des Fahrzeug-Ortungsdienstes Vyncs zu verfeinern.
Mutmaßlich KI-gebaute Plattform späht türkischen Versicherer aus (ARPA, UTA-2026-013)#
The Hunter’s Ledger beschreibt die Plattform ARPA Korelasyon Motoru, mit der ein Angreifer über gestohlene Zugänge zu vier Monitoring-Systemen mindestens 73 Tage lang Daten über die interne Infrastruktur eines staatsnahen türkischen Versicherers abschöpfte und zu einem Lagebild von 1.859 Hosts verknüpfte. Grundlage war OpenClaw (quelloffener Agent, der Aufgaben selbstständig abarbeitet), das der Angreifer dafür umgebaut hatte; die Python-Dateien von ARPA zeigen laut dem Gesamtbericht je mindestens neun von 13 Merkmalen, die der Autor für Code typisch hält, den ein Sprachmodell mitgeschrieben hat. Dazu fanden sich türkische Anleitungen, nach denen ein Windows-Nutzer im Netz des Opfers einen Reverse-SSH-Tunnel zum Angreifer einrichten sollte.
Iranische Gruppe nutzt mutmaßlich KI-geschriebene Hintertür (MiniFast, Nimbus Manticore)#
Die der Revolutionsgarde zugeordnete Gruppe Nimbus Manticore (auch UNC1549) startet zwischen Februar und April 2026 drei Wellen mit Ködern, die auf die Luftfahrt- und die Softwarebranche zugeschnitten sind, gegen Ziele in den USA, Europa und dem Nahen Osten, ohne Pause während der Militäroperation gegen Iran. Die neue Hintertür MiniFast zeigt laut Check Point KI-Merkmale: übermäßige Fehlerbehandlung selbst bei der Abfrage des Benutzernamens, ausführliche Bezeichner, eingebettete Debug-Meldungen und eine Modularität, die zur Einfachheit des Programms nicht passt.
Gemini-CLI steuert ein Botnetz in einer Zahnarztpraxis (Patriot Bait, bandcampro)#
Aus über 200 Sitzungsprotokollen der Gemini-CLI (Googles Agent für die Kommandozeile) vom 19. März bis 21. April 2026 rekonstruiert Trend Micro, wie ein russischsprachiger Einzeltäter seine C2-Infrastruktur in sechs Minuten per Prompt migriert: Die KI schreibt den Server, richtet Cloudflare-Tunnel ein, umgeht die WAF und verwaltet anschließend das Botnetz aus acht Rechnern einer Zahnarztpraxis samt der Datenbank der Praxissoftware OpenDental. Im gesamten Zeitraum steuerte der Täter laut Trend Micro elf Prozent des Textes bei, die KI 89 Prozent. Schon der Erstbericht vom Mai beschreibt ein Skript, das für jedes WordPress-Konto bei Gemini 2.5 Flash 20 plausible Passwortvarianten anfragt; den gesammelten Daten zufolge wurden 29 Administratorkonten geknackt, unter anderem bei Waffenhändlern, Kanzleien und Arztpraxen.
Composio meldet Einbruch mit LLM-erzeugten Angriffsmustern, 5.001 GitHub-Token betroffen#
Composio, dessen Plattform im Auftrag von KI-Agenten Zugangstoken für GitHub, Gmail, Slack, Jira und weitere Dienste verwaltet, meldet, ein Angreifer habe die Systeme ausgiebig abgeklopft und dabei viele Exploit-Kombinationen aus LLM-erzeugten Angriffsmustern durchprobiert, bis er in einem internen Überwachungsagenten Fuß fasste; von dort gelangte er über das automatische Reparatursystem so weit, beliebigen Code auszuführen. Laut Composio war er außergewöhnlich schnell und kannte die interne Architektur genau, was zu einem versierten Angreifer passe, der wahrscheinlich von fortgeschrittenen KI-Systemen unterstützt wurde. Betroffen sind rund 0,3 Prozent der aktiven Verbindungen, darunter 5.001 GitHub-Token; dazu lagen 5.241 API-Schlüssel in einem Zwischenspeicher, auf den der Angreifer wahrscheinlich Zugriff hatte.
Angreifer will Lücke der Blockchain Massa mit KI gefunden haben und verkauft die Beute#
Ein Angreifer prägte ab dem 16. Mai 2026 über rund 100 eigene Smart Contracts unrechtmäßig MAS, die Kryptowährung der Blockchain Massa, indem er einen Buchungsfehler bei zeitversetzten Aufrufen ausnutzte, durch den dieselben gesperrten Coins doppelt gutgeschrieben wurden. Am 17. Mai verkaufte er rund 8,5 Millionen MAS an den Börsen Bitget und MEXC gegen den Dollar-Stablecoin USDT; direkt geschädigt ist der Market Maker von Massa, der die Verkäufe auffing. Nachdem der Angreifer identifiziert worden war, bestätigte er laut Massa Labs, den Fehler unabhängig mit KI wiederentdeckt zu haben, und zwar als ein Patch schon geschrieben war und geprüft wurde; später gab er die erlösten USDT zurück.
Gruppe bestiehlt Behörden in Russland und Belarus, mutmaßlich mit KI-Skripten (Leek Likho)#
Kaspersky beobachtete von Februar bis April 2026 weitere gezielte Angriffe der Gruppe Leek Likho (auch SkyCloak oder Vortex Werewolf) auf Organisationen des öffentlichen Sektors in Russland und Belarus, bei denen ein Operator über einen verdeckten Tor- und SSH-Zugang das Werkzeug rclone nachlädt und Dateien von USB-Datenträgern ausleitet. Für jedes Opfer erstellt die Gruppe eine eigene erste Stufe mit leicht abgewandelten Dateinamen, neuen lesbaren Variablennamen und teils wirkungslosen Zusatzbefehlen. Kaspersky sieht darin mögliche Hinweise, dass ein Sprachmodell Skripte und Namen erzeugt, und schreibt im Fazit, Leek Likho nutze KI, um für jedes Ziel eigene Varianten zu generieren.
Nordkoreanische Gruppe setzt Rust-Hintertür mit KI-Spuren ein (HelloDoor, Kimsuky)#
Die nordkoreanische Gruppe Kimsuky setzt mit HelloDoor eine Hintertür in Rust ein, einer Sprache, die die Gruppe laut Kaspersky nur selten nutzt. Kaspersky fand darin Emoji-Debug-Logs, wie Sprachmodelle sie erzeugen, daneben stehengebliebene Tippfehler wie „decrytion failed“, die auf menschliche Nachbearbeitung deuten. Zu den Opfern des PebbleDash-Clusters, dem Kaspersky HelloDoor zuordnet, zählen brasilianische und südkoreanische Verteidigungsorganisationen und ein Rüstungsunternehmen in Deutschland.
Erpressergruppe nutzt KI für Panel und Verhandlungstexte (GLOCKER, The Gentlemen)#
Die Ransomware-Gruppe The Gentlemen räumte am 4. Mai 2026 den Leak ihres internen Rocket.Chat-Servers ein, und die Chats belegen, wofür sie KI einsetzt: Der Administrator zeta88 erklärt laut Check Point, er habe das Verwaltungspanel GLOCKER in drei Tagen mit KI-Hilfe programmiert, und nennt laut Ransom-ISAC GPT und Claude als Standardwerkzeuge für Verhandlungstexte an die Opfer. Schon im März 2026 hatte Group-IB berichtet, die Gruppe nutze ChatGPT, Gemini und Claude, unter anderem für die Entwicklung ihrer Ransomware. In den Chats von November 2025 bis Ende April 2026 identifiziert Ransom-ISAC 66 Opferorganisationen; bei mindestens einer verschlüsselte zeta88 laut Check Point die Systeme selbst, und in einem Fall erhielt die Gruppe 190.000 Dollar.
KI-Agent greift brasilianische Finanzinstitute an (SHADOW-AETHER-064)#
Eine portugiesischsprachige Gruppe greift seit April 2026 mit einem KI-Agenten brasilianische Finanzinstitute an; der Agent operiert über ProxyChains (leitet den Datenverkehr über mehrere Proxys um) und SSH im Opfernetz, nutzt das Tunnelwerkzeug Chisel, dazu Impacket und CrackMapExec (Werkzeugsammlungen für Angriffe auf Windows-Netzprotokolle) und erzeugt seine Skripte dynamisch. Derselbe Trend-Micro-Bericht beschreibt den Schwestercluster SHADOW-AETHER-040; über einen offen liegenden Steuerserver fand Trend Micro heraus, dass dieser Cluster sechs mexikanische Regierungsstellen kompromittiert hatte.
Mutmaßlich chinesischer Akteur setzt KI-Agenten gegen japanische Technologiefirma ein#
Googles Threat Intelligence Group (GTIG) analysierte einen mutmaßlich chinesischen Akteur, der Agentenwerkzeuge wie Hexstrike (quelloffen, bündelt Angriffswerkzeuge für KI-Agenten) und Strix gegen ein japanisches Technologieunternehmen und eine bekannte ostasiatische Sicherheitsplattform einsetzt. Hexstrike läuft mit dem Speichersystem Graphiti, einem zeitlichen Wissensgraphen, der die Angriffsfläche fortlaufend abbildet, sodass der Agent selbst entscheidet, wann er zwischen Werkzeugen wie subfinder und httpx (sie spüren Subdomains auf und fragen Webserver ab) wechselt; parallel automatisiert Strix als Multi-Agenten-Framework für Penetrationstests das Finden und Bestätigen von Schwachstellen.
Schadsoftware gegen die Ukraine mit KI-geschriebener Tarnung (CANFAIL, LONGSTREAM)#
Googles Threat Intelligence Group (GTIG) bestätigt, dass Russland-nahe Angreifer gegen ukrainische Organisationen die Schadsoftwarefamilien CANFAIL und LONGSTREAM einsetzen, in die ein Sprachmodell Code zur Tarnung geschrieben hat. In CANFAIL erklären Kommentare des Modells bestimmte Codeblöcke ausdrücklich für ungenutzt; GTIG vermutet, dass die Angreifer diesen Ballast eigens beim Modell anforderten, um die schädliche Funktion zu verdecken. Im Downloader LONGSTREAM fand GTIG 32 Stellen, die abfragen, ob auf dem System Sommerzeit gilt; vermutlich ist auch das erzeugter Code, der harmlos wirken soll.
Vishing-Panel aus dem ShinyHunters-Umfeld, eine Variante per LLM umgebaut (Doko’s Panel)#
Push Security verschaffte sich Zugang zu Doko’s Panel und Abwandlungen davon, mit denen Operatoren aus dem Umfeld von ShinyHunters und BlackFile ihre Opfer am Telefon auf nachgebaute Anmeldeseiten von Okta, Microsoft, Google oder Kryptobörsen lotsen und Passwort und Einmalcode von Hand an den echten Dienst weiterreichen; Eingaben realer Opfer aus derselben Woche belegten laufende Angriffe. Eine Variante auf der zuerst entdeckten Okta-Phishingseite trägt laut Push deutliche Spuren eines Umbaus per Sprachmodell, etwa ausufernde Kommentare am Dateianfang mit der Überschrift „NOTES FOR NEXT SESSION“ und doppelt angelegte Serveranfragen; das passe dazu, dass ein Operator Anforderungen in ein LLM kopierte und das Ergebnis übernahm, ohne den vorhandenen Code zu verstehen.
Nordkoreanische Gruppe baut npm-Schadpakete mit KI (PromptMink, Famous Chollima)#
Famous Chollima aus Nordkorea veröffentlicht npm-Pakete, die ReversingLabs seit Oktober 2025 beobachtet; deren schiere Zahl und werbende README-Texte deuten laut den Analysten darauf hin, dass die eigentlichen Ziele KI-Programmieragenten sein könnten, die nach einer passenden Abhängigkeit suchen. Ein harmlos wirkendes Lockpaket zieht die Nutzlast nach, die Verzeichnisse nach .env- und .json-Dateien und nach Dateien mit kryptobezogenen Namen durchsucht, ganze Quellcode-Ordner exfiltriert und SSH-Schlüssel einträgt. Am 28. Februar 2026 fügte ein Commit mit Claude Opus als Mitautor die Lockabhängigkeit in einen Krypto-Trading-Agenten ein; die Pakete selbst wurden laut ReversingLabs mit generativer KI gebaut, erkennbar an einer stehengebliebenen Rückfrage des Modells, ob es die README auch etwas verschleiern solle.
Nordkoreanische Gruppe nutzt ChatGPT und Cursor gegen Web3-Entwickler (HexagonalRodent)#
Eine nordkoreanische Gruppe, die Expel als HexagonalRodent führt, ködert Web3-Entwickler mit gefälschten Stellenangeboten und Programmiertests, die beim Öffnen in Visual Studio Code eine Hintertür starten. Expel belegt aus eigener Telemetrie den Einsatz von ChatGPT und Cursor (Programmierumgebung mit eingebautem KI-Assistenten), fand versehentlich geleakte Prompts für zwei neue Werkzeuge und belegt den Bau mindestens einer Tarnfirmen-Website mit dem KI-Webdesigner Anima; aus der Datenbank der Täter stammen 26.584 Wallets von 2.726 infizierten Entwicklerrechnern, und Expel fand Hinweise, dass die Täter westliche Modelle vermutlich auch prüfen ließen, wie auffällig die Hintertüren der Gruppe sind.
Operator betreibt Angriffsscanner mit Claude Code und OpenClaw (Bissa Scanner)#
Ein frei erreichbarer Server legt eine Operation zur massenhaften Ausnutzung offen, bei der Claude Code und OpenClaw (quelloffener Agent, der Aufgaben selbstständig abarbeitet) dem Operator helfen, die Sammelpipeline zu betreiben, zu orchestrieren, zu erweitern und Fehler darin zu beheben; die OpenClaw-Protokolle zeigen auf demselben Server eine KI-Steuerung, die auf Claude Sonnet eingestellt und an einen Telegram-Bot angebunden ist. Der Operator scannte Millionen Ziele auf die Lücke React2Shell, kompromittierte über 900 Unternehmen und erbeutete über 30.000 verschiedene .env-Dateien. Der Operator triagiert die Zugänge und sieht sich nur Ziele aus dem Finanz-, Krypto- und Einzelhandelssektor genauer an.
Manipulierte Zahlungs-App mit wohl KI-geschriebenem Code stiehlt PINs in Brasilien (NGate)#
Seit etwa November 2025 verbreiten Angreifer über eine gefälschte Lotterie-Website und eine nachgebaute Google-Play-Seite eine manipulierte Fassung der echten App HandyPay an Android-Nutzer in Brasilien; sie leitet die NFC-Daten der Zahlungskarte an ein Gerät der Täter weiter und schickt die PIN an deren Steuerserver. Auf diesem Server fand ESET Protokolle von vier kompromittierten Geräten in Brasilien mit erbeuteten PINs, IP-Adressen und Zeitstempeln. Den eingeschleusten Code, der die PIN ausleitet, erzeugten die Angreifer laut ESET höchstwahrscheinlich mit generativer KI; darauf deuten Emojis in den Protokollausgaben hin, wie sie für KI-generierten Text typisch sind.
Einbruchsversuch über Obsidian mit KI-generiertem Remote-Access-Trojaner (PHANTOMPULSE)#
Elastic Security Labs untersuchte einen Einbruchsversuch der Kampagne REF6598, die Personen aus der Finanz- und Kryptobranche als angebliche Risikokapitalfirma über LinkedIn und Telegram anspricht und ihnen Zugang zu einer geteilten Sammlung in der Notiz-App Obsidian gibt; schaltet das Opfer die Plugin-Synchronisierung ein, führen manipulierte Plugins unbemerkt Code aus. Am Ende der Kette steht der bis dahin unbekannte Remote-Access-Trojaner PHANTOMPULSE, laut Elastic großteils KI-generiert, erkennbar an ungewöhnlich ausführlichen, durchnummerierten Debug-Zeichenketten. Im beobachteten Fall erkannte und blockierte Elastics Endpunktschutz die Kette früh, bevor PHANTOMPULSE lief.
Angreifer machen TP-Link-Router mit wohl KI-geschriebenem Skript zu Proxys (ShadowLink)#
Ctrl-Alt-Intel fand im April 2026 Belege, dass Angreifer TP-Link-Heimrouter über die Lücke CVE-2024-21833 übernommen und in ein Proxy-Netz über private Internetanschlüsse eingebunden hatten; auf den Geräten lief zudem das C2-Beacon ShadowLink. Dasselbe Beacon steckte in der GitHub Action von Xygeni, die am 3. März 2026 für einen Lieferkettenangriff manipuliert worden war, und hinter diesem Angriff steht laut Ctrl-Alt-Intel sehr wahrscheinlich derselbe Täter. Das Stager-Skript für die Router gleicht im Aufbau einem Skript von TeamPCP, was laut Ctrl-Alt-Intel wahrscheinlich daran liegt, dass beide Täter mit KI-Hilfe programmieren, und nicht an einem gemeinsamen Entwickler.
Paidy-Phishing verteilt Spyware aus mutmaßlich LLM-geschriebenem Framework (Canis C2)#
Eine japanischsprachige Phishingseite im Namen des Zahlungsdienstes Paidy zeigte eine angebliche Stromrechnung erst, wenn der Besucher die Android-App „Device Shield“ installiert hatte. Die App liest über die Bedienungshilfen Eingaben mit, zeichnet den Bildschirm auf und meldet sich beim Steuerserver. Über dessen ungeschützte API fand Hunt.io den Quellcode des Frameworks Canis C2 mit Implantaten für Android, iOS, Windows, Linux und macOS. Laut Hunt.io trägt der Code in großen Teilen Spuren einer Entwicklung mit LLM-Hilfe; einen erheblichen Anteil habe wahrscheinlich ein Sprachmodell geschrieben.
Akteur öffnet über 500 bösartige Pull Requests, später mutmaßlich per KI-Agent (prt-scan)#
Ein Akteur öffnet in sechs Wellen von sechs Konten aus mehr als 500 bösartige Pull Requests gegen GitHub-Repositories mit fehlkonfiguriertem pull_request_target und wechselt dabei von einfachen Bash-Skripten zu KI-generierten, an den jeweiligen Technologie-Stack angepassten Nutzlasten. Aus dem Tempo und der Anpassung an die einzelnen Ziele in den späteren Wellen schließt Wiz auf einen KI-Agenten, der Forks anlegen, Repositories untersuchen, Code einschleusen und Pull Requests stellen kann. Mindestens zwei npm-Pakete eines Maintainers werden kompromittiert; Wiz beziffert die Erfolgsquote auf unter zehn Prozent.
Hintertür mit LLM-Merkmalen gegen russische Rüstungsbetriebe (WarpPlugin, GOFFEE)#
Die Spionagegruppe GOFFEE (Paper Werewolf) verschickt laut PT ESC, dem Expert Security Center von Positive Technologies, an Mitarbeiter russischer Organisationen Archive mit einem Fragebogen, der angeblich von einem staatlichen Unternehmen kommt; das Excel-Add-in (XLL) darin öffnet eine Tabelle zur Ablenkung und startet im Hintergrund die Hintertür WarpPlugin (auch EchoGather), die PT ESC als KI-generiert bezeichnet. PT ESC beobachtet diese Aktivität seit Ende 2025 und schreibt, GOFFEE erzeuge mit KI-Agenten laufend neue Köderdateien und Varianten von WarpPlugin. Module aus Angriffen der Gruppe auf russische Rüstungsbetriebe tragen laut dem Quartalsbericht von Positive Technologies typische Merkmale von LLM-Code, und BI.ZONE hält es wegen des Codestils für möglich, dass ein Python-Loader desselben Clusters mit generativer KI entstand.
Manipulierte CDN-Datei von Apifox lädt wohl mit KI geschriebene Stealer nach#
Vom 4. bis 22. März 2026 lieferte das CDN von Apifox (Client für API-Entwicklung und -Tests) eine manipulierte JavaScript-Datei aus, die beim Start des Desktop-Clients vom Server der Täter eine zweite Stufe nachlud; die zweite Stufe stahl SSH-Schlüssel, Git-Zugangsdaten, Kubernetes-Konfigurationen und npm-Token der Entwickler. Laut Tencent verrät die ebenfalls abgegriffene Mailadresse des Apifox-Kontos, ob ein Opfer bei einem Unternehmen arbeitet, sodass die Täter gezielt Firmen auswählen könnten. Tencents Forschungsteam Yunding Lab schließt aus dem sehr sauber geschriebenen Code und den vielen chinesischen Kommentaren, dass die zweite Stufe mit KI erzeugt wurde, und schreibt, die Täter hätten auch ihre Steuerungsplattform, die Weboberfläche eines Tunnelwerkzeugs und einen Remote-Access-Trojaner in großem Umfang mit KI-Hilfe entwickelt.
China-nahe Spionagegruppe lädt PlugX über womöglich LLM-gebaute Downloader (TA416)#
Ab Februar 2026 verschickte die China-nahe Spionagegruppe TA416 laut Proofpoint Links auf Archive bei Google Drive und in einer kompromittierten SharePoint-Instanz; darin lagen ein umbenanntes MSBuild-Programm und eine C#-Projektdatei, aus der MSBuild beim Start einen Downloader kompiliert, der die Hintertür PlugX nachlädt. Im Januar und Februar galten die Kampagnen der Gruppe zahlreichen europäischen Regierungsstellen, später vor allem diplomatischen Vertretungen bei der EU und in Taiwan. Die Projektdateien sind bis auf die Base64-kodierten Adressen fast gleich; weil vor diesen jeweils leicht abgewandelte Kommentare stehen, könnte laut Proofpoint ein LLM beim Erstellen oder Verändern geholfen haben.
Phishing-Plattform wertet erbeutete Microsoft-365-Postfächer mit KI aus (EvilTokens)#
EvilTokens, seit Februar 2026 als Phishing-as-a-Service verkauft, missbraucht Microsofts Device-Code-Anmeldung (ein Verfahren, bei dem ein Code auf einem zweiten Gerät bestätigt wird) und erbeutet so Zugangstoken für Microsoft-365-Postfächer. Laut Sekoia liest eine KI-Pipeline bis zu 5.000 gestohlene Mails, sucht verwertbare Zahlungsvorgänge und entwirft passende Betrugsmails; in einem von Microsoft beobachteten Fall wählte ein Täter mit der KI-Funktion unter den kompromittierten Nutzern gezielt jene mit Finanz-, Führungs- oder Verwaltungsrollen aus. Laut Microsoft ist die Plattform selbst großenteils mit KI programmiert; der Konzern zählt über 12.000 übernommene Postfächer in über 10.000 Organisationen und ließ EvilTokens im September 2026 mit gerichtlicher Genehmigung abschalten. Die Londoner Polizei nahm zwei Verdächtige fest.
Schadsoftware mit mutmaßlich KI-erzeugter Verschleierung stiehlt Zugangsdaten (DeepLoad)#
ReliaQuest untersuchte Vorfälle, in denen Nutzer über ClickFix-Köder die Schadsoftware DeepLoad selbst starteten: Sie versteckt ihre Nutzlast im Sperrbildschirmprozess von Windows, greift Zugangsdaten ab und infizierte einen bereinigten Rechner über eine WMI-Event-Subscription drei Tage später erneut. Die Verschleierung, Tausende bedeutungsloser Variablenzuweisungen, stammt laut ReliaQuest sehr wahrscheinlich von einer KI; laut Walmart Global Tech entwickelte eine KI im Wesentlichen auch SpectrePaste, ein dateiloses Auslieferungssystem, auf das Walmart bei der Untersuchung von DeepLoad stieß. Im Mai 2026 warnte Nigerias IT-Behörde NITDA, DeepLoad greife nachweislich nigerianische Behörden, Finanzinstitute und Unternehmen an.
Einzeltäter lässt Claude Code ein BuddyBoss-Plugin mit Hintertür ausliefern#
Ein französischsprachiger Einzeltäter kompromittiert die WordPress-Plattform BuddyBoss und den Lizenzserver von Caseproof und verteilt eine Plugin-Version mit Hintertür über die Produktionsinfrastruktur; betroffen sind 246 WordPress-Seiten und rund 150.000 Nutzerkonten, dazu über 29 Gigabyte Datenbanken und aktive Stripe-Schlüssel. Ctrl-Alt-Intel barg aus einem offenen Verzeichnis das Transkript einer Claude-Code-Sitzung, in der der Agent selbst die Cloudflare-Schutzmaßnahmen umgeht und die manipulierte Version einspielt, nachdem der Täter die Aufgabe als CTF-Szenario ausgegeben hatte.
npm-Wurm mit mutmaßlich KI-geschriebenem Verbreitungsskript (CanisterWorm, TeamPCP)#
Am 20. März 2026 entdeckte Aikido einen bis dahin unbekannten Wurm, der mit gestohlenen npm-Token Pakete kompromittierte, bis zum Bericht 28 im Scope @emilgroup und 16 unter @opengov; die Adresse seiner Nutzlast holte er aus einem Canister (ein Programm auf der dezentralen Blockchain-Plattform Internet Computer, hier als toter Briefkasten genutzt), der zum Zeitpunkt des Berichts noch auf ein YouTube-Video statt auf Schadsoftware verwies. Aikido hält den Wurm für ein Werk von TeamPCP und sein Verbreitungsskript deploy.js für vollständig mit KI geschrieben („entirely vibecoded“). Rund eine Stunde nach der ersten Welle baute der Operator den Wurm so um, dass er auf befallenen Rechnern nach npm-Token sucht und sich mit ihnen selbst weiterverbreitet.
Ransomware-Gruppe setzt mutmaßlich KI-geschriebenen EDR-Killer ein (Warlock)#
In einem EDR-Killer, den die Ransomware-Gruppe Warlock einsetzte, sieht ESET Merkmale, die stark darauf hindeuten, dass er mit KI-Hilfe entstand. Er gibt eine Liste möglicher Lösungen („Possible fixes“) aus, laut ESET typisch für KI-erzeugten Boilerplate-Code, und probiert reihum mehrere häufig missbrauchte Gerätenamen durch, bis einer funktioniert, statt einen bestimmten Treiber auszunutzen. Warlock setzt laut ESET je Einbruch routinemäßig mehrere EDR-Killer ein, bei jüngeren Angriffen teils Dutzende.
Gefälschte Spielmods laden Miner per mutmaßlich KI-geschriebenem Skript (WinUpdateHelper)#
Mehr als 440 ZIP-Archive, getarnt als Spielmods, Cheats, Treiber und KI-Werkzeuge und abgelegt unter anderem bei Discord und SourceForge, bringen laut McAfee Labs Krypto-Miner oder weitere Nutzlasten wie SalatStealer und Mesh Agent auf Rechner vor allem in den USA, Großbritannien und Indien; über sieben nachverfolgbare Bitcoin-Wallets flossen rund 11.500 Dollar. Die Schadbibliothek WinUpdateHelper.dll lädt vom Steuerserver ein PowerShell-Skript, das sie im Speicher ausführt und das die eigentliche Infektion erledigt. Erklärende Kommentare und gegliederte Abschnitte darin deuten laut McAfee stark auf ein Sprachmodell hin; einer der Kommentare spricht von „your GitHub URL“ und meint das Repository der Angreifer.
Gekaperte ukrainische Websites verteilen iOS-Exploits mit LLM-Spuren (DarkSword, UNC6353)#
Über versteckte Iframes auf zwei kompromittierten ukrainischen Websites, einer Nachrichtenseite aus dem Donbas und der Seite des Siebten Verwaltungsberufungsgerichts, lieferte die wahrscheinlich russische Gruppe UNC6353 laut Lookout die Exploitkette DarkSword an Besucher mit iOS 18.4 bis 18.6.2 aus. Die in JavaScript geschriebene Kette verschafft sich Lese- und Schreibzugriff auf den Kernel, schickt binnen Minuten Passwörter, Nachrichten, Fotos und die Daten von Krypto-Wallets an einen Steuerserver und löscht danach ihre Spuren. Muster im Code deuten laut Lookout darauf hin, dass zumindest ein Teil des Implantats mit Sprachmodellen entstand; auch im Code des Servers, der die Beute entgegennimmt, sieht Lookout Hinweise auf ein LLM.
Interlock-Gruppe nutzt mutmaßlich KI-geschriebenen C2-Client (Slopoly, Hive0163)#
IBM X-Force findet im Arsenal der Interlock-Ransomware-Gruppe Hive0163 den PowerShell-C2-Client Slopoly, der über eine Woche lang den Zugriff auf einen Opferserver aufrechterhielt und laut den Analysten wahrscheinlich von einem Sprachmodell geschrieben wurde.
Iranischer Cluster nutzt mutmaßlich KI-geschriebenen Wiper gegen Stryker (Void Manticore)#
Der iranische Cluster Void Manticore, auch Handala, verteilt in seiner destruktiven Welle gegen Israel und US-Ziele wie den Medizintechnikkonzern Stryker neben dem Handala-Wiper auch einen per Gruppenrichtlinie verbreiteten PowerShell-Wiper. Check Point hält den PowerShell-Wiper anhand von Codestruktur und ausführlichen Kommentaren für wahrscheinlich mit KI-Hilfe entwickelt.
KI-Agent von CodeWall erlangt Admin-Rechte über ein Firmenkonto bei Jack & Jill#
Die Sicherheitsfirma CodeWall setzte ihren autonomen Angriffsagenten Ende Februar 2026 auf die KI-Recruiting-Plattform Jack & Jill an. Laut CodeWall verkettete der Agent vier scheinbar harmlose Fehler, las ohne Anmeldung über eine SSRF-Lücke die API-Dokumentation und die Konfiguration des Authentifizierungsdienstes, legte mit einem statischen Testcode ein Konto an und erhielt nach dem Firmen-Onboarding volle Administratorrechte über das Firmenkonto. CodeWall meldete die Lücken am 5. März an die Geschäftsführung von Jack & Jill; ein Patch folgte innerhalb einer Stunde.
Übernommene Chrome-Erweiterung verteilt wohl mit KI-Hilfe gebaute Schadskripte (ShotBird)#
Laut dem Bericht eines Forschers, der unter dem Namen monxresearch-sec veröffentlicht, wechselte die Chrome-Erweiterung ShotBird offenbar den Besitzer und lud danach von einem Steuerserver Skripte, die Formulareingaben wie Passwörter und Kartendaten abgriffen und gefälschte Chrome-Updates einblendeten. Auf einem betroffenen Windows-Rechner belegen PowerShell-Protokolle vom 5. März 2026, dass über ein solches Update ein Stager lief, dessen zweite Stufe gespeicherte Zugangsdaten und Browserdaten ins Visier nimmt. Der Forscher bemerkte die Skripte an Debug-Ausgaben in der Konsole seines eigenen Browsers; wegen dieser Ausgaben, der Kommentare in gemischten Sprachen und der redundanten Fallback-Logik hält er es für wahrscheinlich, dass die Nutzlasten mit KI-Hilfe zusammengesetzt wurden.
Phishing in Algerien, Kuwait und der Mongolei, daneben türkischer Prompt für Schadsoftware#
Ende Februar und Anfang März 2026 verschickte ein Angreifer laut PT ESC, dem Expert Security Center von Positive Technologies, Archive an Organisationen in Algerien, Kuwait und der Mongolei, getarnt als Schreiben von Energieunternehmen, Behörden und Militär; eine LNK-Verknüpfung darin lud Skripte nach, die mit dem Synchronisationsprogramm Rclone Telegram-Daten und Dokumente vom Desktop in ein Konto des Angreifers beim Cloudspeicher Mega hochluden. Unter verwandten Dateien fand PT ESC Loader für den Kryptominer XMRig und Kommentare auf Türkisch, außerdem einen Prompt in derselben Sprache, mit dem der Angreifer ein Sprachmodell als hemmungslose, kokette Hackerin auftreten und Schadsoftware schreiben ließ. In 81 Tagen brachten die Miner auf infizierten Rechnern rund 436 Rubel ein.
Akteur sucht mit einem Sprachmodell die wertvollsten Salesforce-Daten (GRUB1)#
Cloudflares Threat-Intelligence-Team Cloudforce One beschreibt im ersten Lagebericht des Unternehmens den Akteur GRUB1, der über die Salesloft-Drift-Integration OAuth-Zugänge erbeutete, die Hunderte Salesforce-Umgebungen offenlegten. Um sich in den fremden Umgebungen zurechtzufinden und die Datentabellen mit den wertvollsten Inhalten zu bestimmen, setzte er in Echtzeit ein Sprachmodell ein, kurz bevor er auf die Produktivinstanzen zugriff. Cloudflare selbst gehörte im August 2025 zu den Betroffenen.
Angreifer scheitern mit mutmaßlich KI-geschriebener Schadsoftware an Passwortmanager#
Bei einem Incident-Response-Einsatz stieß der Sicherheitsdienstleister CyberCX auf eigens geschriebene Schadsoftware, mit der Angreifer die Datenbank eines internen Passwortmanagers zu entschlüsseln versuchten; der Versuch scheiterte. CyberCX hält es für wahrscheinlich, dass der Code mit generativer KI entstand, und verweist auf Emojis und Kommentare im Stil einer Anleitung.
Hintertüren mit KI-Spuren gegen irakische Regierungsbeamte (Dust Specter)#
Im Januar 2026 beobachtete Zscaler ThreatLabz, wie sich Angreifer gegenüber irakischen Regierungsbeamten als Außenministerium des Landes ausgaben und die bis dahin unbekannten Hintertüren TWINTALK und GHOSTFORM verteilten; ein Archiv mit GHOSTFORM lag auf der kompromittierten Behördenwebsite ca.iq. Dass bei der Entwicklung generative KI half, schließt Zscaler aus Emojis im Quelltext und aus einem Startwert in einer Prüfsummenfunktion, der wie ein typischer Platzhalter aus KI-generiertem Code aussieht. Den Akteur, intern Dust Specter genannt, hält Zscaler für Iran-nah.
Selbsternannter Claude-Agent greift GitHub-Workflows an und kapert Trivy (hackerbot-claw)#
Ein GitHub-Konto, das sich als autonomer Security-Agent auf Basis von Claude Opus 4.5 bezeichnet, greift zwischen dem 21. Februar und 2. März 2026 CI/CD-Workflows bei Microsoft, Datadog, CNCF, RustPython und Aqua Security an und erreicht laut StepSecurity in mindestens sechs von sieben Zielen Codeausführung. Pillar zählt für denselben Vorfall sechs Ziele und fünf Erfolge; bei Datadog liefen beide Versuche, darunter eine Prompt-Injection gegen die KI-gestützte Issue-Triage, ins Leere. Bei aquasecurity/trivy exfiltriert das Konto ein GitHub-Token mit Schreibrechten, löscht laut Pillar 97 Releases, stellt das Repository auf privat und veröffentlicht eine trojanisierte Erweiterung von Trivy (verbreiteter Schwachstellenscanner für Container und Projekte) auf OpenVSX (offener Marktplatz für Editor-Erweiterungen); Pillar bewertet die Operation als strategisch von Menschen und taktisch vom Modell geführt und misst elf Sekunden von Fork bis Push.
Mutmaßlicher KI-Agent greift über Tor einen Web-Honeypot an#
Beelzebub stellte einen Web-Honeypot ins Netz und zeichnete am 19. Februar 2026 binnen knapp 19 Minuten 58 Anfragen eines Tor-Exit-Knotens auf, deren Muster laut Beelzebub zu einem autonomen, von einem Sprachmodell gesteuerten Agenten passen. Der Besucher las Test-Zugangsdaten aus einem HTML-Kommentar, probierte sie aus und schickte in derselben Sekunde SQL-Injection- und XSS-Versuche hinterher; danach wechselte er zu einem während des Angriffs geschriebenen Python-Skript, das in einem Durchgang auch Template- und Command-Injection testete. Zwischen den Angriffsschüben lagen Pausen von bis zu sieben Minuten, die Beelzebub als Denkzeit des Modells deutet.
Hacktivisten greifen russische Behörden und Firmen mit KI-Skripten an (Forbidden Hyena)#
BI.ZONE fand auf dem Steuerserver des Hacktivisten-Clusters Forbidden Hyena erkennbar KI-generierte Skripte, zwei in PowerShell für Persistenz und AnyDesk und eines in Bash, das ein Implantat des quelloffenen C2-Frameworks Sliver nachlädt. Alle enthalten Debug-Zeichenketten, ausführliche Kommentare und lesbare Variablennamen ohne Obfuskation. Ziel ist die Installation der Hintertür BlackReaperRAT, anschließend die Verschlüsselung mit der Milkyway-Ransomware; Opfer sind russische Behörden und Unternehmen aus Gesundheit, Energie, Maschinenbau, Handel und Versorgung.
Ein Operator steuert Claude Code und GPT-4.1 gegen neun mexikanische Behörden#
Gambit Security rekonstruiert aus drei gemieteten Servern die Arbeit eines einzelnen Operators gegen neun mexikanische Behörden zwischen Ende Dezember 2025 und Mitte Februar 2026: Claude Code erzeugt rund 75 Prozent aller Befehle auf den Servern und führt sie aus; 1.088 Prompts ergeben 5.317 Befehle. Parallel wertet GPT-4.1 Daten von 305 Servern zu 2.597 Lageberichten aus. Dragos beschreibt, wie Claude beim Wasserversorger von Monterrey eigenständig eine SCADA-Schnittstelle als Ziel erkennt und ein erfolgloses Password Spraying steuert; Trend Micro, CloudSEK, Unit 42 und Oasis Security beschreiben denselben Komplex anhand eigener Funde, die über gemeinsame Infrastrukturadressen zusammenhängen.
Akira-Gruppe liest Veeam-Zugangsdaten mit Gemini-generierten Skripten aus (PUNK SPIDER)#
CrowdStrike schreibt im Global Threat Report 2026, dass die Gruppe PUNK SPIDER bei Angriffen KI-generierte Skripte für die Post-Exploitation einsetzt; sie steht hinter der Ransomware Akira und war 2025 der aktivste unter den Akteuren, die es auf große Opfer abgesehen haben. So habe sie mit Gemini erzeugte Skripte genutzt, um Zugangsdaten aus Veeam Backup & Replication auszulesen, und setze wahrscheinlich mit DeepSeek erzeugte Skripte ein, die Datenbankdienste beenden und forensische Spuren vernichten. In der eigenen Telemetrie zählte CrowdStrike 2025 insgesamt 198 Einbrüche von PUNK SPIDER.
Wenig versierter Akteur übernimmt über 600 FortiGate-Geräte mit DeepSeek und Claude Code#
Laut Amazon kompromittiert ein Akteur mit geringen bis mittleren Fähigkeiten zwischen dem 11. Januar und 18. Februar 2026 über 600 FortiGate-Geräte in mehr als 55 Ländern, nicht über eine Schwachstelle, sondern über exponierte Verwaltungsoberflächen mit schwachen Zugangsdaten ohne zweiten Faktor. Mindestens zwei kommerzielle Sprachmodelle liefern ihm Pläne, Aufklärungswerkzeuge und Strategien zur Seitwärtsbewegung; sobald er mehr als die einfachsten automatisierten Wege versucht, scheitert er weitgehend. Eine zweite Analyse derselben Infrastruktur von Cyber and Ramen zeigt DeepSeek als Planer, einen eigenen MCP-Server namens ARXON und eine Einstellungsdatei, die Claude Code erlaubt, unter anderem Impacket (Werkzeugsammlung für Angriffe auf Windows-Netzprotokolle) und Metasploit (verbreitetes Angriffswerkzeug mit fertigen Exploits) ohne Rückfrage auszuführen.
Iranische Gruppe setzt Hintertür mit KI-Spuren in Nahost ein (Olalampo, MuddyWater)#
Group-IB fand in der Rust-Hintertür CHAR der iranischen Gruppe MuddyWater Debug-Zeichenketten mit Emojis, ein Artefakt, das in menschlich verfasstem Code selten vorkommt; Ziele sind Regierung, Telekommunikation, Energie und kritische Infrastruktur im Nahen Osten und Nordafrika. Unit 42 analysierte dasselbe Programm unabhängig unter dem Namen LampoRAT; als Kaspersky-Prozess getarnt, lief es gegen ein Unternehmen für Meerestechnik und Energieanlagen im Nahen Osten, und Unit 42 sieht im KI-Einsatz eine neue, noch nicht eingespielte Praxis der Gruppe. Ctrl-Alt-Intel barg zwei Wochen später von einem Server desselben Akteurs die zugehörigen Steuerserver-Komponenten und fand in der Ausgabe des selbstgebauten Steuerservers KeyC2 ebenfalls Emojis, die es als Hinweis auf KI-gestützte Entwicklung wertet.
Mutmaßlich KI-gebauter Remote-Access-Trojaner tarnt sich als Fernwartung (TrustConnect)#
Proofpoint entdeckte Ende Januar 2026 mit TrustConnect einen Remote-Access-Trojaner, der sich als Fernwartungssoftware ausgibt und für 300 Dollar im Monat zu mieten war; ab dem 27. Januar verteilten ihn nachweislich mehrere Akteure in E-Mail-Kampagnen. Laut Proofpoint entstanden die Website, die zugleich Kundenportal und Steuerserver war, und das Programm auf den Rechnern der Opfer wahrscheinlich mit Hilfe von KI-Agenten, ebenso die deutlich weiter entwickelte Nachfolgeversion DocConnect. Mit Partnern legte Proofpoint am 17. Februar einen Teil der Infrastruktur still.
Teils LLM-generierte npm-Pakete greifen Zugangsdaten von Entwicklern ab (Ghost Loader)#
Panther fand im npm-Register mindestens acht Pakete mit Ghost Loader, darunter Typosquats aus dem React-Umfeld und angebliche KI-Werkzeuge für das Trading; ein Einrichtungsassistent bringt Entwickler dazu, ihr sudo-Passwort einzugeben, und danach greift die Schadsoftware Browser-Zugangsdaten, Krypto-Wallets, SSH-Schlüssel und Cloud-Konfigurationen ab. Die Beute geht an die Telegram-Bots dreier Affiliates; die Konfiguration der Bots liegt in Smart Contracts auf der Binance Smart Chain. Panther hält es für sehr wahrscheinlich, dass die Schadsoftware zumindest teilweise von einem LLM stammt, unter anderem wegen sehr ausführlicher Kommentare in perfektem Englisch in frühen Versionen.
Ransomware-Angreifer verteilen ihre Nutzlast mit Skripten, die zu KI-Hilfe passen#
In einem Ransomware-Fall stellte Unit 42 die Skripte sicher, mit denen die Angreifer die Nutzlast verteilten, die Seitwärtsbewegung steuerten und Schutzmechanismen großflächig abschalteten. Laut Unit 42 passen mehrere Merkmale zu einer KI-gestützten Entwicklung, darunter ungewöhnlich gründliche Kommentare, Varianten nach einer gemeinsamen Vorlage und auf Effizienz ausgelegte Ausweichroutinen für den Fehlerfall. Auf Hunderten Systemen liefen die Skripte maschinenhaft gleichförmig ab und sparten den Angreifern die Zeit und Mühe, die eine mehrstufige Verteilung sonst kostet.
Akteur späht mit Gemini Konten aus und greift sie per Phishing an (UNC6418)#
Googles Threat Intelligence Group (GTIG) beobachtete, wie der nicht zugeordnete Akteur UNC6418 Gemini für gezielte Aufklärung missbrauchte und dabei nach sensiblen Zugangsdaten und E-Mail-Adressen von Konten suchte. Kurz darauf griff er alle diese Konten in einer Phishing-Kampagne an, die sich auf die Ukraine und den Verteidigungssektor richtete. Google sperrte die Ressourcen des Akteurs, die mit dieser Aktivität zusammenhingen.
Mutmaßlich KI-erzeugtes Skript nutzt React2Shell aus und schürft Monero auf 91 Rechnern#
Darktrace findet in seinem Honeypot-Netz CloudyPots ein Python-Werkzeug, das ein Angreifer über einen Docker-Daemon ablegte, den Darktrace ohne Authentifizierung ins Netz gestellt hatte. Das Skript sucht sich selbst Ziele, nutzt die React2Shell-Lücke CVE-2025-55182 aus und installiert den Monero-Miner XMRig; die Statistik des Mining-Pools zeigt 91 Worker, also 91 infizierte Rechner. Darktrace hält das Skript für vollständig KI-erzeugt und stützt das auf die für Schadsoftware untypisch dichte Kommentierung, auf den Kommentar „Educational/Research Purpose Only“ am Anfang des Skripts und auf einen Test mit GPTZero (Werkzeug, das maschinell erzeugten Text erkennen soll).
Linux-Framework trifft Technologiefirmen, Version 2.0 mit TRAE SOLO geschrieben (VoidLink)#
Laut Cisco Talos hat das Linux-Framework VoidLink seit September 2025 mehrere Opfer getroffen, vor allem in der Technologiebranche, dazu Finanzdienstleister; der Akteur UAT-9921 dringt mit vorab beschafften Zugangsdaten oder über Java-Deserialisierungslücken in Server ein und installiert dort VoidLink. Check Point Research hatte zuvor aus Unterlagen auf einem offen erreichbaren Server rekonstruiert, dass ein Einzelner das Framework ab Ende November 2025 fast vollständig mit TRAE SOLO, dem KI-Assistenten der Programmierumgebung TRAE, schreiben ließ und nach einer Woche über 88.000 Zeilen lauffähigen Codes hatte; Elastic fand im Quelltext der Rootkit-Komponenten ebenfalls Spuren eines Sprachmodells. Beim Angriff selbst nutzt UAT-9921 laut Talos offenbar keine KI-Werkzeuge.
Angreifer wird mit mutmaßlich KI-geschriebenem Code in acht Minuten AWS-Administrator#
Ein Angreifer steigt mit Zugangsdaten aus offen erreichbaren S3-Buckets in eine AWS-Umgebung ein, schiebt Code in eine Lambda-Funktion (AWS-Dienst, der hinterlegten Code auf Zuruf ausführt) mit Administratorrolle und bewegt sich über 19 Identitäten weiter; nach acht Minuten hat er Administratorrechte und missbraucht danach die Modelle des Opfers in Amazon Bedrock (dem AWS-Dienst für den Zugriff auf Sprachmodelle). Ein Skript, das er im Opferkonto ablegt, soll von GitHub ein Anthropic-Repository namens training-scripts klonen, das es nicht gibt; Sysdig sieht darin einen Hinweis auf Code aus einem Sprachmodell, das den Namen halluziniert hatte. Mehrere Indizien sprechen laut Sysdig dafür, dass der Angreifer solche Modelle durchgehend einsetzte, um die Erkundung zu automatisieren, Code zu erzeugen und in Echtzeit Entscheidungen zu treffen.
Teils KI-geschriebener Wiper trifft Fertigungsfirma bei Angriffswelle in Polen (LazyWiper)#
Am 29. Dezember 2025 greift ein Angreifer in einer koordinierten Aktion mehr als 30 Wind- und Photovoltaikparks in Polen an, zerstört an den Netzanschlusspunkten RTUs (Remote Terminal Units) und Regler und kappt so die Verbindung zum Verteilnetzbetreiber; parallel trifft er ein Heizkraftwerk und, opportunistisch, ein Fertigungsunternehmen, wobei Stromproduktion und Wärmeversorgung laut CERT Polska und CISA weiterliefen. Bei der Fertigungsfirma läuft LazyWiper, ein PowerShell-Skript, bei dem eine Funktion laut CERT Polska von einem Sprachmodell stammt. Zur Zuschreibung taugt das Skript laut CERT Polska nicht, weil es größtenteils maschinell erzeugt ist; die Infrastruktur überschneidet sich aber mit dem Cluster Static Tundra.
Implantat mit LLM-Spuren zielt wohl auf NGOs, die Irans Proteste dokumentieren (SloppyMIO)#
Die von HarfangLab beschriebene Kampagne richtet sich vermutlich gegen NGOs und Einzelpersonen, die Menschenrechtsverletzungen während der iranischen Proteste dokumentieren. Das C#-Implantat exfiltriert Dateien, lädt Module nach, versteckt seine Konfiguration in Bildern und nutzt GitHub-Gists, Google Drive und die Telegram-Bot-API; mehrere LLM-Artefakte blieben im Code stehen, darunter ein Kommentar, der den Stager als „ULTRA-RELIABLE & STEALTHY VBSCRIPT STAGER (Final Production Version)“ anpreist.
Vermutlich vietnamesischer Akteur schickt Jobköder mit wohl KI-gebauten Loadern (PureRAT)#
Ein Akteur, den Symantec in Vietnam verortet, verschickt Phishingmails mit angeblichen Stellenangeboten; Archive auf Dropbox laden per DLL-Sideloading Batch- und Python-Skripte, die PureRAT oder ein HVNC-Werkzeug (Fernzugriff über einen unsichtbaren zweiten Desktop) installieren. Mehrere dieser Skripte hat laut Symantec sehr wahrscheinlich eine KI geschrieben: Fast jeder Schritt ist ausführlich auf Vietnamesisch kommentiert, dazwischen stehen Emojis, und ein Python-Loader enthält noch die Notiz, hier den HVNC-Shellcode einzufügen.
Pakistanische Gruppe baut mit Sprachmodellen täglich Implantate gegen Indien (APT36)#
Die pakistanische Gruppe APT36 erzeugt mit Sprachmodellen täglich neue Wegwerf-Implantate in Nim, Zig und Crystal für Angriffe auf die indische Regierung und diplomatische Vertretungen; Metadaten von Code-Editoren mit KI-Integration und Unicode-Emojis in den Binärdateien deuten auf einen maschinellen Ursprung hin. Laut Bitdefender soll die Masse neuer Varianten die Erkennung überfordern; die Proben selbst nennt Bitdefender aber generisch, inkonsistent und fehleranfällig, und ein Stealer konnte wegen eines Platzhalters statt der C2-Adresse nie Daten abziehen. Zwei dieser Implantate, die Hintertüren SheetCreep und MailCreep, hatte Zscaler schon im Januar 2026 dokumentiert und die Emojis in der Fehlerbehandlung von SheetCreep als starken Hinweis auf KI-Hilfe bei der Entwicklung gewertet.
Nordkoreanische Gruppe greift Blockchain-Entwickler mit KI-Spuren im Schadcode an (KONNI)#
Laut Check Point greift die nordkoreanische Gruppe KONNI Entwickler- und Engineering-Teams mit Blockchain-Bezug an; Uploads auf VirusTotal aus Japan, Australien und Indien deuten auf eine Ausweitung über Südkorea hinaus. Die Angriffskette läuft über ein ZIP mit Köder-PDF und LNK-Verknüpfung, einen PowerShell-Loader und eine Hintertür mit UAC-Umgehung und getarnter OneDrive-Persistenz bis zur Fernwartungssoftware SimpleHelp. Auf KI deuten die ausführliche Dokumentation am Dateianfang und vor allem ein stehengebliebener Platzhalterkommentar für die Projekt-UUID.
Wohl KI-generiertes Skript zielt bei gemeinnütziger Organisation auf Veeam-Zugangsdaten#
Bei einer gemeinnützigen Organisation erkundete ein Angreifer das Netz, bewegte sich per WinRM seitwärts und versuchte dann, ein PowerShell-Skript zu starten, das Huntress als KI-generiert einstuft: Es sollte die Zugangsdaten aus der Datenbank der Backup-Software Veeam auslesen und entschlüsseln. Das Skript lief nicht, und die Verteidiger beendeten den Angriff.
Angreifer späht mit mutmaßlich KI-geschriebenem Skript Chase-Bankadressen aus#
Laut Huntress legte ein Angreifer über eine nicht autorisierte ScreenConnect-Sitzung ein PowerShell-Skript ab, das die Verläufe von Chrome und Edge nach Adressen des Chase-Onlinebankings durchsuchte und die Funde über Telegram ausleitete. Zwei Vorgänger für QuickBooks- und Coinbase-Zugänge hatte er zuvor auf anderen Rechnern eingesetzt; beide funktionierten nicht, und der zweite suchte trotz neuer Zieladressen weiter nach QuickBooks-Daten. Huntress führt alle drei als KI-generiert und sieht beim funktionierenden Skript Anzeichen dafür.
Nach RDP-Einbruch soll ein mutmaßlich KI-geschriebenes Skript LSASS auslesen#
Laut Huntress verschaffte sich ein Angreifer per Brute Force Zugriff über RDP und startete ein PowerShell-Skript, das Zugangsdaten aus einem Speicherabbild des Anmeldeprozesses LSASS abgreifen und bei einem Fehlschlag eine andere Methode versuchen sollte. Für Huntress sah das Skript verdächtig nach KI-Erzeugung aus; es enthielt kyrillische Zeichenketten und andere Spuren nachlässiger Arbeit. Huntress beendete die Sitzung, bevor der Angreifer weiter ins Netz vordringen konnte.
2025
Agentenmodell ROME baut im Training einen Reverse-SSH-Tunnel und schürft auf GPUs#
Beim Training des Agentenmodells ROME meldet die Firewall von Alibaba Cloud Richtlinienverstöße, die von den eigenen Trainingsservern ausgehen: Versuche, interne Netzressourcen abzutasten oder auf sie zuzugreifen, und Verkehrsmuster, die zu Mining-Aktivität passen. Das Team hält das zuerst für eine Fehlkonfiguration oder einen Einbruch von außen; die Verstöße wiederholen sich aber über mehrere Trainingsläufe, und der Abgleich mit den eigenen Trainingsprotokollen zeigt, dass der Verkehr jedes Mal mit Episoden zusammenfällt, in denen der Agent Werkzeuge aufruft und Code ausführt. Im auffälligsten Fall baut er von einer Alibaba-Cloud-Instanz einen Reverse-SSH-Tunnel zu einer externen Adresse auf und nutzt ihn, einen von innen aufgebauten Fernzugang, der laut dem Paper die Eingangsfilterung aushebeln kann; daneben zweckentfremdet er bereitgestellte GPU-Kapazität für Mining. Beides liegt außerhalb der vorgesehenen Sandbox, ohne dass eine Aufgabenstellung es verlangt hätte, und das Paper nennt es instrumentelle Nebenwirkungen autonomer Werkzeugnutzung bei der Optimierung durch Reinforcement Learning.
Wohl KI-geschriebener Downloader landet über React2Shell im Honeypot#
GreyNoise ordnete per Clustering mehr als 50.000 verschiedene Nutzlasten, die seine Sensoren in den rund anderthalb Wochen nach Bekanntwerden der React2Shell-Lücke aufgefangen und ausgeführt hatten, und fand einen Node.js-Downloader, der prüft, ob er als Root und unter Alpine Linux läuft, und dann eine Datei lädt und startet. GreyNoise hält es für sehr wahrscheinlich, dass das Skript mit einem Sprachmodell entstand, vermutlich nach Vorgaben eines Menschen: Ein Kommentar verweist auf das Beispiel des Nutzers, und die Kommentare erläutern Grundlagen, die sich ein Schadcodeautor nicht selbst erklären würde. Eine zweite Nutzlast verpackt Bot-Schadsoftware aus dem Umfeld von Mirai in JavaScript, das laut GreyNoise fast sicher von einem Sprachmodell stammt und wegen eines Fehlers nicht funktioniert.
Schüler soll mit ChatGPT 7,25 Millionen Datensätze von Kaikatsu CLUB gestohlen haben#
Zwischen dem 18. und 20. Januar 2025 stiehlt ein Schüler rund 7,25 Millionen Mitgliederdatensätze der japanischen Internetcafé-Kette Kaikatsu CLUB und kommentiert die Angriffe live auf Discord. Laut der Tokioter Polizei schrieb er das Scraping-Programm selbst, verbesserte es mit ChatGPT und fragte das Modell, wie er die Schutzmaßnahmen des angegriffenen Systems umgehen und auf Fehlermeldungen reagieren könne; im Dezember 2025 wurde der 17-Jährige erneut festgenommen.
Südkoreanische VPN-Website verteilt mutmaßlich KI-geschriebene Hintertür (NKNShell)#
Auf der Website eines südkoreanischen VPN-Anbieters lag laut AhnLab ASEC im November 2025 ein manipuliertes Archiv, das neben dem echten VPN-Client über mehrere PowerShell-Skripte die bisher unbekannte Hintertür NKNShell und zwei weitere Werkzeuge für den Fernzugriff einrichtete. ASEC vermutet, dass NKNShell und die Skripte mit generativer KI geschrieben wurden. Den Angriff ordnet ASEC dem Akteur Larva-24010 zu, der es seit mindestens 2023 auf südkoreanische VPN-Anbieter abgesehen hat.
Claude Code erledigt den Großteil einer China zugeschriebenen Kampagne (GTG-1002)#
Claude Code läuft als Orchestrator mit Subagenten über MCP gegen rund 30 Ziele aus Technologie, Finanzwesen, Chemie und Regierung und führt 80 bis 90 Prozent der Kampagne selbst aus; Menschen greifen nur an vier bis sechs Entscheidungspunkten ein. Erfolgreich ist die Kampagne laut Anthropic nur bei wenigen Zielen. Den Jailbreak erreicht der Akteur, indem er sich im Rollenspiel als beauftragtes Pentest-Unternehmen ausgibt und die Arbeit in harmlos wirkende Teilaufgaben zerlegt; Anthropic ordnet den Akteur mit hoher Wahrscheinlichkeit China zu und räumt ein, Claude habe Ergebnisse häufig übertrieben, gelegentlich Zugangsdaten erfunden, die nicht funktionierten, und öffentlich verfügbare Informationen als wichtige Entdeckung ausgegeben.
Jugendlicher schließt mit Programm aus ChatGPT eSIM-Verträge auf fremde Rakuten-Konten ab#
Die Polizei der Präfektur Hyogo hat einen 16-Jährigen aus der Stadt Kazo und einen 21-jährigen Mittäter erneut festgenommen; sie sollen sich im Frühjahr 2024 mit fremden Rakuten-Zugangsdaten bei Rakuten Mobile angemeldet und zehn eSIM-Verträge abgeschlossen haben. Den Ermittlern zufolge gab der Jugendliche die Daten zunächst von Hand ein und baute dann mit ChatGPT ein Programm, das Kennung und Passwort automatisch eingibt und Verträge abschließt; auf seinem Rechner fand die Polizei das Programm und rund 1,5 Millionen fremde Kennungen mit Passwörtern. Die eSIMs verkaufte der Mittäter für etwa 1.000 Yen das Stück.
Angreifer leert Balancer-V2-Pools mit mutmaßlich teils KI-geschriebenem Smart Contract#
Am 3. November 2025 leerte ein Angreifer Pools von Balancer V2 auf mehreren Blockchains und erbeutete laut Halborn mehr als 120 Millionen Dollar; auch Projekte, die auf Balancer aufbauen, verloren Geld. Den Smart Contract des Angriffs hält Halborn für teilweise per Vibe Coding geschrieben, also aus einem Sprachmodell übernommen. Er enthielt console.log-Anweisungen, wie sie KI-Modelle oft einfügen; Entwickler entfernen sie vor dem Einsatz meist, weil sie der Fehlersuche dienen und Transaktionsgebühren kosten.
Nordkoreaner greifen Kryptofirmen mit KI-gestütztem Stealer an (GhostCall, BlueNoroff)#
Die nordkoreanische Gruppe BlueNoroff betreibt die Kampagnen GhostCall und GhostHire gegen Web3- und Kryptounternehmen in Indien, der Türkei, Australien und weiteren Ländern, GhostCall seit mindestens Mitte 2023. Als Beleg für den KI-Einsatz führt Kaspersky Kommentare mit Häkchen-Emoji im Stealer SilentSiphon an; die Profilbilder der angeblichen Teilnehmer gefälschter Zoom-Konferenzen tragen zudem C2PA-Metadaten (Herkunftsangaben, die Bildwerkzeuge in die Datei schreiben), die auf Bearbeitung mit GPT-4o deuten.
Phishing gegen Beazley Security über mutmaßlich KI-gebautes Panel (Quantum Redirector)#
Mitarbeiter von Beazley Security meldeten dem eigenen Sicherheitsteam eine Phishingmail, die über einen Quantum Redirector führte, ein Weiterleitungspanel, das Bots und Forscher auf harmlose Seiten schickt und echte Menschen über eine verschleierte Zwischenseite zu einem Phishingkit. Beazley Security Labs hält Panel und Verschleierung für wahrscheinlich KI-erzeugt, unter anderem wegen des Namens Quantum und einzelner Programmierfehler im Code. Beazley fand mehrere Hundert weitere Quantum Redirectors, deren Zielseiten fast alle E-Mail-Dienste nachahmten, und arbeitet mit Strafverfolgungsbehörden daran, die Redirectors abzuschalten.
Wohl KI-geschriebenes Loader-Skript bringt Remote-Access-Trojaner auf einen PC (DCRat)#
Blackpoint, ein Anbieter von Managed Detection and Response, beschreibt einen Vorfall, bei dem ein Nutzer auf einer gefälschten Booking.com-Seite landete und ein vorgetäuschtes Captcha ihn dazu brachte, einen Befehl in den Ausführen-Dialog von Windows einzufügen. Daraufhin lud ein Loader-Skript den Remote-Access-Trojaner DCRat in den Speicher, ließ ihn bei jeder Anmeldung starten und nahm dessen Ordner vom Defender-Scan aus. Das Skript hält Blackpoint für KI-generiert, weil es Platzhalterkommentare, Trennzeilen aus Gleichheitszeichen und russischsprachige Reste des Prompts enthält und eine erfundene Funktion Invoke-Distraction aufruft, die nur Analysten ablenken soll.
Teils KI-geschriebener Bankentrojaner verbreitet sich per WhatsApp in Brasilien (Maverick)#
Über WhatsApp verteilt eine Massenkampagne in Brasilien den neuen Bankentrojaner Maverick, der auf infizierten Rechnern das Messenger-Konto des Opfers kapert, sich an dessen Kontakte weiterschickt und auf den Websites von 26 brasilianischen Geldinstituten Zugangsdaten abgreifen soll. Kaspersky blockierte allein in den ersten zehn Oktobertagen 62.000 Infektionsversuche und schreibt, Maverick habe bereits viele Menschen in Brasilien befallen. Laut Kaspersky entstand der Code mit KI, besonders die Routine, die das Zertifikat für den C2-Kanal entschlüsselt; Trend Micro, das die Kampagne Water Saci nennt, fand im Dezember 2025 Indizien dafür, dass die Angreifer ihr Verbreitungsskript mit einem Sprachmodell von PowerShell nach Python übertragen ließen.
Gruppe greift Luftfahrtfirmen mit mutmaßlich KI-geschriebenem Grabber an (Librarian Likho)#
Kaspersky beschreibt, wie die Gruppe Librarian Likho, auch Rare Werewolf genannt, seit September 2025 Unternehmen der russischen Luftfahrt- und Radioindustrie mit gezielten Phishing-Mails angreift. Die Gruppe, die sonst handelsübliche Software anderer Hersteller missbraucht, setzte laut Kaspersky erstmals eigene Schadsoftware ein, darunter einen Grabber in C#, der Dokumente aus den Nutzerordnern einsammelt und per E-Mail an die Angreifer schickt. Kaspersky hält es für höchstwahrscheinlich, dass die Gruppe den Grabber mit einem KI-Assistenten geschrieben hat, und verweist darauf, dass fast jede Aktion im Code einen Debug-Kommentar trägt, den die Angreifer nicht entfernt haben.
China-nahe Gruppe nutzt ChatGPT für Spearphishing in fünf Sprachen (GOVERSHELL, UTA0388)#
Eine China-nahe Gruppe erzeugt mit Sprachmodellen mehrsprachige Spearphishing-Kampagnen auf Englisch, Mandarin, Japanisch, Französisch und Deutsch samt frei erfundener Absender-Organisationen und entwickelt die GOVERSHELL-Hintertür in fünf Varianten; Ziel waren Kunden von Volexity in Nordamerika, Asien und Europa. Volexity leitete den KI-Einsatz unabhängig aus eigenen Indizien ab; kurz vor der Veröffentlichung von Volexity hatte OpenAI in einem eigenen Bericht bestätigt, dass die Gruppe ChatGPT einsetzte. Aus Merkmalen der Mails schließt Volexity, dass in manchen Fällen wahrscheinlich, aber nicht gesichert, ein automatisiertes System die Inhalte mit wenig oder ganz ohne menschliche Kontrolle erzeugte und an die Zielpersonen schickte.
Mutmaßlich KI-erzeugter Stealer trifft ukrainische Behörden (WRECKSTEEL, UAC-0219)#
CERT-UA dokumentierte im März 2025 Angriffe auf ukrainische Behörden und kritische Infrastruktur, bei denen ein PowerShell-Stealer Dokumente und Bildschirmfotos abzog. In ihrem Halbjahresbericht vom Oktober 2025 schreibt die ukrainische Behörde für Sonderkommunikation und Informationsschutz (SSSCIP), zu der CERT-UA gehört, es gebe Gründe für die Annahme, dass die PowerShell-Skripte von WRECKSTEEL mit KI erzeugt wurden. Allgemein seien mehrere untersuchte Schadprogramme erkennbar KI-generiert, und die Behörde rechnet damit, dass die Angreifer den KI-Einsatz weiter ausbauen.
Mutmaßlich per Vibe Coding gebaute Ransomware verschlüsselt einen Dateiserver (MadiLock)#
Der norwegische Incident-Response-Dienstleister Defendable untersuchte im Sommer 2025 einen Angriff mit der bis dahin nicht öffentlich analysierten Ransomware MadiLock auf einen Dateiserver; die Angreifer drangen vermutlich über eine Lücke im SSL-VPN von SonicWall ein und hielten sich mit SoftEther VPN im Netz. Defendable vermutet, dass MadiLock ganz oder teilweise mit einem Sprachmodell entstand, und verweist auf durchgängig sprechende Funktionsnamen und ausführliche Erfolgs- und Fehlermeldungen. Als weiteres Indiz nennt Defendable, dass MadiLock die Originaldateien nur löscht, statt sie zu überschreiben, als habe jemand ein Modell schlicht gebeten, jede Datei nach dem Verschlüsseln zu entfernen.
Mutmaßlich KI-verschleierter SVG-Anhang in Phishingmails an US-Organisationen#
Am 18. August 2025 verschickte eine Phishingkampagne, die Microsoft als begrenzt beschreibt, über das kompromittierte E-Mail-Konto eines Kleinunternehmens vor allem an US-Organisationen einen als PDF getarnten SVG-Anhang, der Zugangsdaten abgreifen sollte; Microsoft Defender for Office 365 erkannte und blockierte die Kampagne. Die Datei versteckt ihre Funktion in einer Folge von Geschäftsbegriffen, die eingebettetes JavaScript zu Code zurückverwandelt, der den Browser auf die Phishingseite umleitet. Microsofts KI-Werkzeug Security Copilot hielt den Code für sehr wahrscheinlich maschinell erzeugt, vermutlich von einem Sprachmodell.
Wurm mit mutmaßlich LLM-generierter Nutzlast befällt hunderte npm-Pakete (Shai-Hulud)#
Wiz nennt Shai-Hulud den ersten erfolgreichen selbstreplizierenden Angriff im npm-Ökosystem; der Wurm kompromittiert hunderte Pakete, darunter @ctrl/tinycolor mit Millionen wöchentlicher Downloads. Wiz hält am 17. September fest, eine der Nutzlasten wirke maschinell erzeugt, während eine zweite Variante das Stilmuster nicht teilt; Unit 42 hält das Bash-Skript des Wurms anhand von Kommentaren und Emojis für wahrscheinlich LLM-generiert. Wiz sieht die Kampagne als direkte Folge der s1ngularity/Nx-Kompromittierung Ende August 2025, über die zunächst GitHub- und dann npm-Token gestohlen wurden.
Mutmaßlich KI-geschriebene Loader infizieren Hotelrezeptionen (RevengeHotels, TA558)#
RevengeHotels greift Hotelrezeptionen an, in der Kampagne von 2025 vor allem in Brasilien und mit spanischsprachigen Ködern; frühere Opfer lagen laut Kaspersky unter anderem in Argentinien, Mexiko und Spanien. Kaspersky hält die JavaScript-Loader und PowerShell-Downloader, die am Ende VenomRAT ausliefern, für maschinell erzeugt, weil fast jede Aktion kommentiert ist, Platzhalter stehen geblieben sind und der Code nicht verschleiert ist.
Angreifer installiert Sicherheitssoftware auf seinem Rechner und verrät seine KI-Nutzung#
Ein Angreifer installiert am 9. Juli 2025 eine Testversion von Huntress auf seinem eigenen Arbeitsrechner und legt damit seinen Browserverlauf vom 29. Mai bis 9. Juli offen: eine Automatisierungsplattform mit Telegram-Bots für Phishingabläufe, Suchen nach kostenlosen KI-Diensten ohne Anmeldung, mehrere Textgeneratoren, mit denen er Daten aufbereitete, und die Jagd nach fremden Evilginx-Instanzen (Werkzeug, das Anmeldeseiten spiegelt und Sitzungscookies mitschneidet). Huntress verknüpft die Infrastruktur mit Zugriffen auf über 2.471 Identitäten in zwei Wochen.
Einzeltäter erpresst mit Claude Code mindestens 17 Organisationen (GTG-2002)#
Ein einzelner Krimineller erpresst mindestens 17 Organisationen aus Gesundheitswesen, Rettungsdiensten, Behörden und Religionsgemeinschaften. Claude Code übernimmt Aufklärung, das Abgreifen von Zugangsdaten und den Netzeinbruch, wählt aus, welche Daten abfließen, berechnet aus den erbeuteten Finanzdaten die Lösegeldhöhe und formuliert die Erpressungsnachricht so, dass sie gezielt die Druckpunkte des jeweiligen Opfers trifft; statt zu verschlüsseln, droht der Kriminelle mit Veröffentlichung und fordert teils über 500.000 Dollar.
Mutmaßlich chinesischer Akteur greift mit Claude vietnamesische Telekomfirmen an#
Anthropic beschreibt einen Akteur, dessen Vorgehen, Sprache und Zielauswahl zu chinesischen APT-Operationen passen und der Claude in einer neunmonatigen Kampagne gegen kritische Infrastruktur in Vietnam als Berater und Programmierer in 12 von 14 Taktiken aus MITRE ATT&CK einsetzte. Mit Claude entwickelte er unter anderem Exploit-Frameworks für WordPress und Code zur Rechteausweitung über Lücken im Linux-Kernel. Laut Anthropic hat er offenbar große vietnamesische Telekommunikationsanbieter, Regierungsdatenbanken und Systeme zur Verwaltung der Landwirtschaft kompromittiert.
Schadcode in Nx lässt KI-Assistenten der Opfer nach Secrets suchen (s1ngularity)#
Mit einem gestohlenen npm-Token veröffentlichten Angreifer am 26. August 2025 manipulierte Versionen des Build-Systems Nx; ihr Installationsskript sammelte Umgebungsvariablen sowie GitHub- und npm-Token ein und lud sie in öffentliche Repositories im Konto des jeweiligen Opfers. War Claude Code, die Gemini-CLI (Googles Agent für die Kommandozeile) oder Amazon Q (Amazons KI-Assistent für Entwickler) installiert, startete das Skript das Werkzeug ohne Berechtigungsabfragen mit einem eigenen Prompt, der es nach Wallets, Schlüsseln und Konfigurationsdateien suchen ließ; laut Wiz gelang das in Hunderten Fällen. Google nennt die Schadsoftware QUIETVAULT und beschreibt ein Opfer, auf dessen Rechner sie das KI-Werkzeug einzuspannen versuchte; dessen GitHub-Token baute der Akteur UNC6426 in weniger als 72 Stunden zu Administratorrechten in AWS aus.
Gekaperte WordPress-Seite trägt mutmaßlich KI-generiertes Schadplugin (woocommerce_inputs)#
GoDaddy Security beschreibt das Schadplugin woocommerce_inputs, das Täter mit wahrscheinlich gestohlenen Administratorzugängen in WordPress-Seiten installieren; es leitet Besucher über Help TDS (ein Dienst, der den Verkehr gekaperter Websites auf Betrugsseiten lenkt) zu Tech-Support-Betrug um und schickt Benutzernamen und Mailadressen an die Täter. Im Juli 2025 fand GoDaddy auf einer infizierten Seite eine Version 3.0.0, die offenbar eigens angepasst und mit KI erzeugt wurde. Ihr Code wuchs von etwa 10 auf 200 KB und soll alle Websites eines Servers infizieren und konkurrierende Schadsoftware entfernen, steckt laut GoDaddy aber voller Fehler und taucht deshalb wohl selten auf.
Mutmaßlich KI-geschriebene Apps schleusen eine Hintertür ein (JustAskJacky, TamperedChef)#
Laut G DATA werden auf professionell wirkenden Websites kostenlose Programme angeboten, die tun, was sie versprechen, und zugleich eine Hintertür enthalten: die Ratgeber-App JustAskJacky, die sich über die Windows-Aufgabenplanung mehrmals täglich startet und Befehle ihres Steuerservers abarbeitet, und eine Rezept-App namens TamperedChef, die in Leerzeichen und Tabulatoren der Rezepte versteckte Befehle ausführt. Für TamperedChef sieht G DATA deutliche Hinweise darauf, dass ein Sprachmodell den Code schrieb, der sauber gegliedert und ausführlich kommentiert ist, bis hin zu Erläuterungen, die den Einsatz von Steganografie offenlegen. Trend Micro führt beide Apps unter dem Namen EvilAI, hält auch JustAskJacky für KI-geschrieben und registrierte in der Woche ab dem 29. August 2025 die meisten Treffer in Indien, den USA und Frankreich.
npm-Paket leert Krypto-Wallets, Code mutmaßlich von Claude (@kodane/patch-manager)#
Safety fand im npm-Paket @kodane/patch-manager, das sich als Cache-Verwaltung für die npm-Registry ausgab, einen Wallet-Drainer, der sich nach der Installation als dauerhafter Hintergrundprozess einrichtet und das Guthaben gefundener Wallets der Blockchain Solana an eine fest eingetragene Adresse überweist. Der Autor veröffentlichte ab dem 28. Juli 2025 binnen zwei Tagen 19 Versionen; bis npm das Paket am 30. Juli sperrte, wurde es mehr als 1.500 Mal heruntergeladen, und auf dem offen zugänglichen Steuerserver sah Safety zwei kompromittierte Rechner. Laut Safety scheint das Paket von Claude geschrieben zu sein, erkennbar unter anderem an Emojis im Quellcode, ausführlichen Kommentaren und dem Namenszusatz „Enhanced“.
Mutmaßlich KI-gestützte Schadsoftware versteckt Rootkit in Pandabildern (Koske)#
Die Schadsoftware Koske steigt über eine fehlkonfigurierte JupyterLab-Instanz (Notebook-Umgebung für Python) ein und liefert zwei Pandabilder als Polyglot-JPEGs (Dateien, die zugleich gültiges Bild und ausführbarer Code sind), aus denen zwei Komponenten hervorgehen: ein im Speicher kompiliertes Rootkit und ein Shellskript, das sich über Cron und Systemd festsetzt, die DNS-Einstellungen überschreibt und die iptables-Regeln leert. Die Miner von Koske unterstützen 18 Kryptowährungen; die Auswahl richtet sich nach der Hardware. Aqua sieht in den ausführlichen Kommentaren, der Modularität und der Anpassungsfähigkeit klare Zeichen KI-gestützter Entwicklung.
Schadsoftware holt sich ihre Befehle zur Laufzeit von Qwen2.5-Coder (LAMEHUG, APT28)#
CERT-UA meldet eine Schadsoftware gegen den ukrainischen Sicherheits- und Verteidigungssektor, die zur Laufzeit über die Hugging-Face-API das Sprachmodell Qwen2.5-Coder-32B abfragt, um aus Textbeschreibungen Windows-Befehle für Aufklärung und Dokumentendiebstahl zu erzeugen und sofort auszuführen. Laut dem Jahresbericht von CSIRT GOV, dem Notfallteam beim polnischen Inlandsgeheimdienst ABW, lief eine als KI-Bildgenerator getarnte LAMEHUG-Version auch gegen Ziele in Polen.
KI-Chatbots helfen Affiliates bei Verhandlungen mit Opfern (GLOBAL GROUP)#
Die Ransomware-Gruppe GLOBAL GROUP, gestartet am 2. Juni 2025 von dem Akteur hinter der Ransomware Mamona, listet binnen sechs Wochen 17 Opfer in den USA, Großbritannien, Australien und Brasilien aus Gesundheitswesen, Industrie und Dienstleistung. Das Verhandlungsportal setzt KI-Chatbots ein, damit nicht englischsprachige Affiliates die Gespräche mit den Opfern selbst führen können; EclecticIQ sichtete ein Transkript mit einer Forderung von einer Million Dollar, rund 9,5 Bitcoin, binnen 48 Stunden.
Gefälschtes Spieleprogramm verteilt mit ChatGPT entwickelte Schadsoftware (ScopeCreep)#
Ein offenbar russischsprachiger Akteur entwickelte laut OpenAI mit ChatGPT schrittweise eine mehrstufige Windows-Schadsoftware in Go und ließ sich beim Aufbau seines Steuerservers helfen. Verteilt wurde ScopeCreep über ein öffentliches Repository, das sich als Crosshair-X ausgab, ein beliebtes Programm, das in Videospielen ein eigenes Fadenkreuz einblendet; wer die Fälschung startete, holte weitere schädliche Dateien vom Server des Angreifers, die im Browser gespeicherte Zugangsdaten, Zugangstoken und Cookies abgreifen und an ihn schicken sollen. OpenAI sperrte die Konten, und der Code-Hoster nahm die Fälschung vom Netz.
Angreifer lädt über ungeschütztes Open WebUI ein mutmaßlich KI-erzeugtes Miner-Skript hoch#
Bei einem Sysdig-Kunden steht ein Trainingssystem mit Open WebUI (Weboberfläche für den Betrieb von Sprachmodellen) ohne Authentifizierung und mit Administratorrechten im Netz. Ein Angreifer lädt darüber ein Python-Skript mit 64 übereinanderliegenden Verschleierungsschichten hoch, das die Kryptominer T-Rex und XMRig nachlädt; ein Erkennungswerkzeug hält die Nutzlast mit einer Wahrscheinlichkeit von 85 bis 90 Prozent für KI-erzeugt oder stark KI-unterstützt.
Chinesischer Student belästigt Kommilitonen per SMS mit KI-geschriebenem Programm#
Laut dem Netzsicherheitsbüro des chinesischen Ministeriums für Öffentliche Sicherheit drang ein Student namens Hu in ein System seiner Hochschule ein und erbeutete mehr als 20.000 Datensätze seiner Kommilitonen. Über eine zuvor entdeckte Schwachstelle in einem Mini-Programm (einer Anwendung, die innerhalb einer größeren App läuft) registrierte er mit KI-geschriebener Software massenhaft Konten auf die gestohlenen Telefonnummern und ersetzte die SMS-Bestätigungscodes durch obszöne Inhalte, die an die Betroffenen gingen. Hu hat die illegale Beschaffung von Daten aus Computersystemen gestanden.
Täter baut mit ChatGPT Stealer, Steuerserver und Phishingseiten (EncryptHub, LARVA-208)#
Ein fehlkonfiguriertes Verzeichnis auf dem Steuerserver von EncryptHub gab Konfigurationsdateien und den Telegram-Bot preis, und am Ende lagen Outpost24 auch die ChatGPT-Konversationen des Täters vor. Sie zeigen, wie er mit ChatGPT Clipper (Schadsoftware, die kopierte Wallet-Adressen in der Zwischenablage austauscht) und Cookie-Stealer, Telegram-Bots, Steuerserver, Phishingseiten, Mailserver und Onion-Dienste baut, Verhandlungen übersetzen und die Forenanzeigen texten lässt, mit denen er am 11. März 2025 zwei Exploits zum Verkauf stellte. Prodaft zählt für dieselbe Gruppe mindestens 618 kompromittierte Organisationen seit Juni 2024.
Operator lässt ChatGPT mitten im Einbruch eine Tarnnachricht schreiben (Black Basta)#
In den geleakten internen Chats der Erpressergruppe Black Basta findet GuidePoint Security ein Beispiel vom 21. Februar 2024: Der Operator mit dem Kürzel nn berichtet, die Person am Rechner habe gemerkt, dass etwas nicht stimmt, als er sich auf das Gerät schaltete, und sei in Panik geraten; er habe daraufhin schnell von ChatGPT eine glaubwürdige Tarnnachricht aufsetzen lassen, die den Zugriff als Untersuchung des Domänencontrollers durch einen Techniker ausgibt. GuidePoint hält es für wahrscheinlich, dass der Akteur der Person damit eine sauber formulierte Nachricht vorzeigen konnte, und für möglich, dass sie sich daraufhin beruhigte und der Einbruch weiterging.
Ransomware-Gruppe zerstört Daten mit mutmaßlich LLM-erzeugtem PowerShell-Skript (APT INC)#
Die auf große Opfer ausgerichtete Ransomware-Gruppe APT INC zerstörte laut CrowdStrike mit einem ungewöhnlichen PowerShell-Skript Daten auf einem physischen Rechner. Wegen des Kommentarformats, der Ähnlichkeit mit der Ausgabe von Sprachmodellen und fehlender öffentlicher Vorlagen hält CrowdStrike es für wahrscheinlich, dass ein Sprachmodell den Code erzeugt hat.
Schüler kapern Rakuten-Konten mit ChatGPT-gestütztem Programm für Mobilfunkverträge#
Die Tokioter Polizei hat drei Schüler im Alter von 14 bis 16 Jahren festgenommen, die sich mit einem selbst geschriebenen Programm und gekauften Zugangsdaten automatisch bei Rakuten Mobile angemeldet und dort Mobilfunkverträge abgeschlossen haben sollen; vorgeworfen werden ihnen 105 Anschlüsse auf elf fremde Konten zwischen Mai und August 2024. Beim Schreiben des Programms nutzten sie laut der Zeitung Yomiuri ChatGPT, um effizienter zu arbeiten und die Verarbeitung zu beschleunigen. Einer der Schüler sagte aus, seit Dezember 2023 mehr als 1.000 Verträge abgeschlossen zu haben, deren Anschlüsse über Telegram verkauft wurden; den Erlös schätzt die Polizei auf rund 7,5 Millionen Yen in Kryptowährung.
Watering-Hole-Angriff in China verteilt wohl KI-geschriebene Python-Plugins (UTG-Q-015)#
Das chinesische Sicherheitsunternehmen Qianxin beschreibt in seinem Jahresbericht 2024 die Gruppe UTG-Q-015. Sie kompromittierte Ende 2024 die IT-Community CSDN, weitere Websites bis hin zu Behördenseiten und eine seit Langem verbreitete Komponente für Teilen-Schaltflächen und zeigte Besuchern aus den Büronetzen von über hundert gezielt ausgewählten Einrichtungen ein täuschend echtes Phishing-Fenster. Unter den nachgeladenen Plugins fand Qianxin mit PyInstaller gepackte Python-Programme mit zahlreichen sauberen chinesischen und vereinzelt englischen Kommentaren und hält es für sehr wahrscheinlich, dass der Angreifer die Skripte mit großen Sprachmodellen erzeugen ließ.
Polizei in Jamtara fasst Syndikat, das mit ChatGPT Android-Schadsoftware baut (DK Boss)#
Die Cyberpolizei von Jamtara nimmt sechs Männer eines Syndikats fest, das unter dem Namen DK Boss schädliche Android-Apps baut, die sich als Antrags-Apps für staatliche Förderprogramme und als Bank-Apps ausgeben, SMS und Anrufe an eine zentrale Steuerungsoberfläche umleiten und für 20.000 bis 25.000 Rupien an andere Banden verkauft werden. Sichergestellt wurden Daten von rund 2.700 Opfern mit über 270.000 abgefangenen Nachrichten; Punkt 13 der Pressemitteilung hält fest, die Gruppe habe ChatGPT für die Entwicklung der Schadsoftware genutzt.
Mutmaßlich KI-erstellte HTML-Dateien schmuggeln Remote-Access-Trojaner ein (XWorm)#
HP Sure Click stoppte im dritten Quartal 2024 eine Kampagne, die den Remote-Access-Trojaner XWorm per HTML-Smuggling verteilte (die Schadsoftware steckt kodiert in der HTML-Datei selbst); im Browser geöffnet, lädt die Datei im Hintergrund ein Programm herunter, das im Explorer wie eine Verknüpfung aussieht, tatsächlich aber ein kompiliertes AutoIt-Skript ist und XWorm erst dann in den Speicher holt, wenn der Nutzer es von Hand startet. Laut HP deutet einiges darauf hin, dass die HTML-Dateien mit generativer KI erstellt wurden, nämlich Kommentare selbst zu einfachen Anweisungen und ein Seitendesign, das fast genau der Ausgabe von ChatGPT 4o auf die Bitte um eine Download-Seite gleicht.
Ransomware-Affiliate sichert Zugang mit wohl KI-geschriebener Python-Hintertür (RansomHub)#
Bei einem Incident-Response-Einsatz im vierten Quartal 2024 fand GuidePoint die Python-Hintertür eines Affiliates der Ransomware RansomHub: Er war über gefälschte Browser-Updates (SocGholish) eingedrungen, legte die Hintertür rund 20 Minuten später ab, verteilte sie per RDP auf weitere Rechner und nutzte sie als Proxy ins Netz, bevor er die gesamte Umgebung verschlüsselte. Den entschleierten Code nennt GuidePoint äußerst sauber geschrieben, mit sprechenden Methodennamen, gründlicher Fehlerbehandlung und ausführlichen Debug-Meldungen, wie sie oft in KI-generierten Programmen vorkommen. Selbst für nicht umgesetzte Teile habe der Autor, „oder wahrscheinlich eine KI“, Log-Ausgaben eingebaut.
Ransomware-Gruppe nennt über 85 Opfer und schreibt ihren Code mit KI-Hilfe (FunkSec)#
FunkSec veröffentlicht im Dezember 2024 über 85 angebliche Opfer, mehr als jede andere Ransomware-Gruppe in diesem Monat. Die öffentlichen Skripte eines unerfahrenen algerischen Autors tragen ausführliche Kommentare in perfektem Englisch, die Check Point für LLM-erzeugt hält; ähnliche Muster zeigt das Verschlüsselungsprogramm in Rust, und in eigenen Mitteilungen führt die Gruppe die Entwicklung ihrer Ransomware selbst auf KI-Assistenten zurück.
2024
TradingView-Köderskript aus ChatGPT-Entwürfen führt zum Remote-Access-Trojaner NetSupport#
Laut Gen kopierten ahnungslose Nutzer von seriösen Plattformen, auf denen jeder Inhalte teilen kann, ein Schadskript, das zum Einschalten eines Entwicklermodus für TradingView („Enable dev-mode for TradingView“) aufforderte und dazu drängte, Terminalbefehle auszuführen, die am Ende Schadsoftware installieren; die Angriffskette führt zum Remote-Access-Trojaner NetSupport. Über die Zwischenablage-Prüfung von Norton, Avast und AVG verfolgte Gen die Entstehung des Skripts in drei Stufen; die ersten beiden Versionen waren demnach eindeutig Entwürfe aus ChatGPT, die Angreifer dann zur Endfassung verfeinerten.
Acht mögliche KI-Agenten unter acht Millionen Zugriffen auf einen SSH-Honeypot#
Reworr und Dmitrii Volkov von Palisade Research betreiben einen SSH-Honeypot im offenen Internet, dessen Begrüßungsbanner, Befehlsausgaben und Systemdateien Prompt-Injections enthalten. Wer auf die untergeschobene Anweisung eingeht, zählt als möglicher KI-Agent; ob wirklich ein Modell antwortete, prüfen die Autoren zusätzlich über die Antwortzeit, weil ihre eigenen Testagenten meist binnen 1,7 Sekunden reagierten. In rund drei Monaten zählen sie 8.130.731 Interaktionsversuche und darunter acht mögliche KI-Agenten.
Spearphishing gegen OpenAI-Mitarbeiter, ChatGPT zur Aufklärung (SugarGh0st, SweetSpecter)#
OpenAI erhielt im Mai 2024 von einer glaubwürdigen Quelle den Hinweis, dass der mutmaßlich chinesische Akteur SweetSpecter Spearphishing-Mails an dienstliche und private Adressen einzelner Mitarbeiter schickte: Der Absender gab sich als ratsuchender ChatGPT-Nutzer aus, und im Anhang mit dem Namen some problems.zip steckte eine LNK-Verknüpfung, die beim Öffnen ein Dokument mit angeblichen Fehler- und Dienstmeldungen von ChatGPT zeigt und im Hintergrund den Remote-Access-Trojaner SugarGh0st entschlüsselt und ausführt. Laut OpenAI erreichten die Mails die dienstlichen Postfächer nie, und der Angriff blieb erfolglos. Über dieselbe Infrastruktur wurden ChatGPT-Konten für Aufklärung, Schwachstellenrecherche und Skriptbau genutzt, etwa zu verwundbaren Log4j-Versionen und zum Hochladen einer Webshell mit sqlmap (Werkzeug, das SQL-Injection automatisch ausnutzt).
Mutmaßlich KI-geschriebene Skripte in gefälschter Rechnung laden AsyncRAT nach#
Anfang Juni 2024 isolierte HP Sure Click einen als Rechnung getarnten HTML-Anhang einer französischsprachigen E-Mail; die Datei gibt erst nach Eingabe eines Passworts ein mit AES verschlüsseltes Archiv frei. Ein VBScript darin startet eine Kette aus JavaScript und PowerShell, an deren Ende der Remote-Access-Trojaner AsyncRAT läuft. Weil VBScript und JavaScript unverschleiert und Zeile für Zeile kommentiert sind und auch Aufbau sowie Funktions- und Variablennamen in dieses Bild passen, hält HP es für sehr wahrscheinlich, dass der Angreifer sie mit Hilfe generativer KI schrieb.
Angreifer schleusen mutmaßlich KI-generierten Schadcode in WordPress.org-Plugins ein#
Über fünf Entwicklerkonten bei WordPress.org, deren Passwörter aus Datenlecks anderer Dienste stammten, spielten Angreifer im Juni 2024 Schadcode in Plugins wie Social Warfare und Blaze Widget ein; auf Websites, die das Update installierten, legte der Code ein Administratorkonto an und schickte dessen Zugangsdaten an einen Server der Angreifer, und spätere Versionen luden einen Kryptominer und einen Wallet-Drainer nach. Laut Wordfence deuten nicht funktionierende, schlecht überarbeitete Abschnitte und fehlende Wiederverwendung darauf hin, dass KI Teile des Codes erzeugte. Im April 2025 schrieb Wordfence, der Schadcode aus diesem Angriff sei KI-generiert gewesen.
Phishingkampagnen laden Schadsoftware über mutmaßlich LLM-geschriebene Skripte nach#
Symantec beobachtete Phishingkampagnen, deren Skripte Schadsoftware nachladen und laut der Analyse des Herstellers wohl mit Sprachmodellen erzeugt wurden. In einer Kampagne gegen Unternehmen vieler Branchen startet eine LNK-Datei aus einem passwortgeschützten ZIP-Anhang ein wahrscheinlich LLM-generiertes PowerShell-Skript; als Endnutzlast lieferte die Kette unter anderem den Rhadamanthys-Stealer und die Hintertür CleanUpLoader. In einer zweiten Kette, getarnt als Personalmitteilung, lädt eine HTML-Datei mit sehr wahrscheinlich LLM-generiertem JavaScript einen Loader für Dunihi (H-Worm) nach.
Mutmaßlich LLM-geschriebener Loader geht an Organisationen in Deutschland (TA547)#
Im März 2024 verschickt der Initial Access Broker TA547 an dutzende Organisationen in Deutschland LNK-Dateien, die als Metro-Rechnung getarnt sind und ein PowerShell-Loader-Skript für den Rhadamanthys-Stealer ausliefern. Die grammatikalisch perfekten, auffallend detaillierten Zeilenkommentare hält Proofpoint für typische LLM-Ausgabe; es ist die erste Kampagne, in der Proofpoint TA547 mit Rhadamanthys beobachtet hat.
Mutmaßlich LLM-geschriebene Befehle lesen Entra-ID-Kennungen aus (Scattered Spider)#
CrowdStrike beschreibt, wie Scattered Spider im zweiten Halbjahr 2023 bei einem nordamerikanischen Finanzdienstleister über das Azure-AD-PowerShell-Modul sämtliche unveränderlichen Entra-ID-Kennungen der Nutzer herunterlädt; über eine Hintertür in Entra ID kann sich der Akteur anschließend als jeder dieser Nutzer anmelden. Die dafür benutzten PowerShell-Befehle ähneln laut CrowdStrike dem, was große Sprachmodelle wie ChatGPT erzeugen, und das Muster aus einem Kommentar, dem eigentlichen Befehl und einem Zeilenumbruch je Befehl entspricht der Ausgabe des Modells Llama 2 70B.
Angreifer ruft ChatGPT auf, während er Azure-Zugangsdaten abzieht (Indrik Spider)#
CrowdStrike Services bearbeitete im Februar 2023 einen Vorfall, an dem die Gruppe Indrik Spider und die Ransomware LockBit RED von Bitwise Spider beteiligt waren; Indrik Spider zog dabei Zugangsdaten aus Azure Key Vault ab, dem Cloud-Speicher für Secrets. Die Protokolle zeigen, dass der Angreifer während der Arbeit im Azure-Portal ChatGPT aufrief, vermutlich um sich in Azure zurechtzufinden, und daneben Suchmaschinen wie Google und Bing sowie GitHub nutzte, um das Abziehen der Key-Vault-Zugangsdaten zu verstehen. CrowdStrike liest die Suchanfragen und ChatGPT-Aufrufe als Zeichen, dass die Gruppe in der Cloud wahrscheinlich noch ungeübt ist und generative KI nutzt, um ihre Wissenslücken zu schließen.
Fünf Staatsakteure aus Russland, Nordkorea, Iran und China nutzen GPT-4 zur Vorarbeit#
Microsoft und OpenAI dokumentieren fünf staatliche Akteure aus Russland, Nordkorea, Iran und China, die GPT-4 nutzen: vier für Recherche zu Zielen oder Technik, alle fünf für Skriptarbeit, drei davon zusätzlich für Phishingtexte, zwei auch für Übersetzung. Belegt ist durchweg Vorarbeit wie Recherche zu Satelliten- und Radartechnik, kein Vorgehen gegen ein Ziel; Microsoft hält fest, keine besonders neuartigen KI-gestützten Angriffstechniken beobachtet zu haben.
2023
Vier IT-Sicherheitsleute optimieren Ransomware mit ChatGPT und erpressen Hangzhouer Firmen#
Ein Unternehmen in Hangzhou meldet am 20. November 2023 verschlüsselte Server; die Täter fordern 20.000 Tether (an den Dollar gekoppelte Kryptowährung). Die Polizei nimmt vier Verdächtige mit Qualifikationen in IT-Security fest, die gestehen, die Schadsoftware selbst geschrieben, mit ChatGPT optimiert und das Unternehmen erpresst zu haben; die South China Morning Post nennt das den ersten derartigen Fall in China. Im Mai 2025 meldet Xinhua das rechtskräftige Urteil des Volksgerichts im Bezirk Shangcheng über drei bis siebeneinhalb Jahre Haft, nennt als Opfer eine traditionsreiche medizinische Einrichtung, deren 89 Server ausfielen und die zahlte, sowie zwei weitere Firmen und zitiert den Staatsanwalt, die Gruppe habe den Schadcode mit KI-Hilfe überarbeitet.
Beschuldigter leert Firmenkonten mit einem von ChatGPT geschriebenen Abbuchungsprogramm#
Die Provinzpolizei Zhejiang stellt am 24. August 2023 fünf typische Fälle aus ihrer Ermittlungskampagne gegen Cyberkriminalität vor, und der erste ist der früheste Eintrag dieser Liste: Im April 2023 fällt der Netzpolizei Hangzhou auf, dass sich Zahlungskonten von Unternehmen ungewöhnlich verhalten. Der in Thailand festgenommene Beschuldigte erlangte über eine Systemschwachstelle die Zahlungsschlüssel, schrieb danach mit ChatGPT ein Abbuchungsprogramm, leerte die Konten nacheinander und wusch die Beute über Kryptowährungen; den Einbruch selbst schreibt die Polizei seinem eigenen Können zu.
Einordnung
Der Angriff selbst liegt oft deutlich vor dem Tag, an dem ein Fall öffentlich wurde. Black Basta, EncryptHub, BlueNoroff und BREEZE COMET lassen sich auf 2023 und 2024 datieren; ans Licht kamen sie erst Monate bis Jahre später. Bei Black Basta und EncryptHub zeigte sich der KI-Einsatz nur durch Pannen der Täter, durch geleakte interne Chats im einen Fall und ein offenes Verzeichnis mit den eigenen ChatGPT-Gesprächen im anderen. Nach der Tatzeit sortiert, wäre die Liste in ihrer Frühphase dichter besetzt.
Angreifer nutzten KI schon, bevor es Agenten gab. Im Februar 2023 öffnete ein Angreifer mitten in einem Einbruch ChatGPT; laut CrowdStrike wollte er sich im Azure-Portal zurechtfinden. Im April 2023 fielen der Polizei in Hangzhou auffällige Zahlungskonten auf; der Täter hatte sich laut den Ermittlern mit ChatGPT das Programm schreiben lassen, mit dem er erbeutete Zahlungsschlüssel reihenweise zu Geld machte. Ab dem zweiten Halbjahr 2023 stießen Forscher auf Schadcode, den sie für LLM-generiert hielten; zunächst erkannten sie ihn allein am Stil der Kommentare. 2025 ließ eine Ransomware-Gruppe Chatbots bei den Verhandlungen mit ihren Opfern helfen. Im Juli 2025 rief Schadsoftware zur Laufzeit selbst ein Modell auf, der erste Fall dieser Art in der Liste, und im November berichtete Anthropic, ein Agent habe 80 bis 90 Prozent einer Spionagekampagne allein erledigt. Seit Frühjahr 2026 taucht KI in Fällen jeder Größe auf, bei Gelegenheitstätern wie bei Staatsakteuren, und seit dem Sommer häufen sich Angriffe mit hunderten Opfern, bei denen KI-Agenten einen Großteil der Arbeit übernehmen.
Bisher steht in der Liste kein Angriff mit belegtem KI-Anteil, der einen physischen Prozess gestört hätte. Zugriff auf Industrietechnik hatten Angreifer laut CISA und vier weiteren US-Behörden aber schon. Ihrer Warnung vom August 2026 zufolge lasen und schrieben die Angreifer mit KI-generierten Skripten Datenbausteine von Siemens-S7-Steuerungen, die in den USA standen und aus dem Internet erreichbar waren. Die Behörden halten es für wahrscheinlich, dass die Zugriffe der Aufklärung dienten und spätere Störungen vorbereiten sollten; Opfer und Akteur nennen sie nicht, und woran sie die KI-Herkunft der Skripte erkennen, sagen sie auch nicht. Im polnischen Sabotagefall vom Dezember 2025 betrifft die KI-Einschätzung von CERT Polska nur ein Wiper-Skript, und das fand sich bei einem Fertigungsunternehmen, das der Angreifer nebenbei angriff. Für die zerstörten RTUs (Remote Terminal Units) in den Wind- und Solarparks nennt der Bericht keinen KI-Anteil. Beim Angriff auf mexikanische Behörden machte Claude laut Dragos selbst eine SCADA-Schnittstelle des Wasserversorgers von Monterrey als Ziel aus, gelangte per Password Spraying aber nicht in die OT-Umgebung.
Verschoben hat sich vor allem die Kosten-Nutzen-Rechnung der Angreifer. Ein technisch schwacher Akteur kompromittierte laut OALABS mit einer gestohlenen Claude-Instanz mindestens 14 Firmen, und in einem von Unit 42 untersuchten Einbruch verketteten Agenten in weniger als zehn Stunden über 50 Angriffstechniken; Unit 42 schätzt die Handarbeit dafür auf rund zwei Wochen. Dass Agenten im Spiel waren, sagte der Angreifer selbst, als er mit Unit 42 verhandelte. Ob KI auch die Obergrenze dessen angehoben hat, was ein Angreifer kann, beantwortet die Liste nicht eindeutig. Microsoft und OpenAI hielten 2024 fest, keine besonders neuartigen KI-gestützten Angriffstechniken beobachtet zu haben, und Anthropic schrieb im September 2026, keine Operation seines Berichts habe auf einer völlig neuen Technik beruht; geändert habe sich vor allem, was ein Angriff koste. Amazon sah einen Akteur weitgehend scheitern, sobald er über die einfachsten automatisierten Wege hinauswollte. Die Missbrauchsberichte der KI-Anbieter stützen sich allerdings auf deren eigene Telemetrie und nennen meist weder Opfer noch Indikatoren. Zur Einschätzung, dass KI vor allem die Kosten eines Angriffs senkt, passen manche Einträge nicht ganz. Der französischsprachige Einzeltäter GTG-50029 nutzte laut Anthropic eine bis dahin nicht dokumentierte Race Condition beim Neuinstallieren von WordPress aus, und bei den Angriffen über zwei frisch offengelegte PaperCut-Lücken lagen laut GreyNoise knapp vier Stunden zwischen dem Anlegen des Arbeitsverzeichnisses und der ersten Codeausführung bei einem realen Opfer.
Vollautonome Fälle, bei denen kein Mensch das Ziel vorgab, stehen in dieser Liste bisher fast nur als Unfall aus Laborumgebungen: Über Fehlkonfigurationen gelangten Modelle ins echte Internet, Agenten brachen aus ihrer Sandbox aus, ein Modell nutzte den Netzzugang eines Trainingslaufs, um sich fremde Zugangsdaten anzueignen, oder ein Agent verschaffte sich im Training selbst Rechenzeit und einen Fernzugang nach draußen. Betroffen sind Modelle von fünf KI-Laboren, getestet bei den Laboren selbst, bei Testpartnern und bei einem staatlichen Prüfinstitut. Hinzu kommt eine Agentenflotte, die versuchte, Daten aus Alibabas Kartendienst Amap abzurufen; laut Tencent lief sie bei der Evaluierung fremder Modelle. Welches Modell es war, sagt der Konzern nicht. Außerhalb des Labors stehen nur wenige Grenzfälle in der Liste: ein Agent, der für einen gewöhnlichen Nutzer eine Alltagsaufgabe erledigte und dabei eine Schwachstelle ausnutzte, der Pentest-Agent eines Sicherheitsdienstleisters, der einen unbeteiligten Anbieter für sein Ziel hielt und dessen Systeme angriff, und Agenten, die Forscher oder Betroffene OpenAI zuschreiben, ohne dass OpenAI es bestätigt, etwa bei der RubyGems-Paketflut und bei Wikimedia. Wo Kriminelle Agenten einsetzen, geben sie, soweit bekannt, die Ziele weiterhin selbst vor.
Viele der am besten belegten Fälle stammen von unabhängigen Forschern, und oft gehen sie auf Fehler der Angreifer in der eigenen operativen Sicherheit zurück. Sie ließen Verzeichnisse mit Sitzungsprotokollen offen, trugen den Agenten in Commit-Metadaten als Mitautor ein oder hinterließen in der Shell-Historie der Opfer die Kommentare, mit denen das Modell sein eigenes Vorgehen beschrieb. Manche dieser Spuren gab es beim klassischen Handwerk nicht; auf Dauer wird man sich aber nicht auf sie verlassen können. Wer die Anbieterberichte gelesen hat, weiß, wie man Emojis, Kommentare und Metadaten entfernt; bei Kimsuky deuten stehengebliebene Tippfehler schon auf Nachbearbeitung von Hand. Die Liste bildet deshalb eher ab, wie nachlässig Angreifer bisher mit KI umgegangen sind, und weniger, wie viel KI tatsächlich im Einsatz ist. Umgekehrt beruhen viele KI-Zuschreibungen nur auf Stilmerkmalen wie Kommentaren und Emojis, manche auch nur auf einer vorläufigen Einschätzung des Opfers oder auf Angaben der Täter, sodass auch Fälle darunter sein können, in denen keine KI im Spiel war.
Was nicht in der Liste steht
- Betrug mit Deepfakes, geklonten Stimmen und KI-getexteten Ködern, bei dem die KI nur Stimme, Gesicht oder Wortlaut liefert.
- Angriffe gegen oder über KI-Systeme, etwa Prompt-Injection gegen Agenten, Lücken in KI-Frameworks oder das Abschöpfen fremder Modelle. Dort ist die KI das Ziel.
- Labordemonstrationen und Proofs of Concept aus der Forschung ohne reales Opfer, auch autorisierte Agentenangriffe im Rahmen von Programmen zur Meldung von Schwachstellen.
- Sammelberichte der KI-Anbieter und Branchenrundschauen ohne abgegrenzten Einzelfall mit erkennbarem Opfer.
- Einflusskampagnen, Überwachung und Waffenentwicklung, auch wenn KI dort die Arbeit macht. Angegriffen wird in diesen Fällen kein IT-System. Anthropics Bericht vom September 2026 etwa führt neben seinen Cyberfällen neun Einflusskampagnen, sechs Fälle konventioneller Waffenentwicklung und fünf zum biologischen Missbrauch auf.
- Fälle, in denen präparierte Inhalte wie Projektdateien, Skills oder Webseiten den KI-Assistenten des Opfers zu Handlungen verleiten; ein Grenzfall dieser Art steht mit Vorbehalt in der Liste. Ruft dagegen Schadcode den Assistenten selbst mit eigener Anweisung auf, wie bei s1ngularity, steht der Fall in der Liste.
Verwandte Sammlungen
- Threat Actors’ Use of Artificial Intelligence von Rachel James: eine weitere privat gepflegte Sammlung, die Hackingvorfälle mit KI-Beteiligung zusammenträgt; sie ordnet nach Akteur statt nach Vorfall und liefert eine maschinenlesbare Tabelle.
- Felony Bench zählt dieselben Laborvorfälle, gruppiert sie aber nach Anbieter statt nach Datum und führt eine Punktzahl je Unternehmen. Gezählt wird nur, was Dritte trifft; ein Ausbruch aus der Sandbox allein genügt dort nicht.
- MITRE ATT&CK T1588.007, die Technik für die Beschaffung von KI-Fähigkeiten, mit dokumentierten Anwendungsbeispielen seit Mai 2026.
- AI Incident Database, die KI-Schäden aller Art sammelt. Mehrere Fälle dieser Liste haben dort eine Kennung.
- AI Incidents and Hazards Monitor (AIM) der OECD, der Vorfälle und Gefährdungen durch KI aus der Medienberichterstattung erfasst, filterbar nach Land, Branche und Schadensart.
- Awesome AI Agent Incidents, eine Linkliste zur Sicherheit von KI-Agenten mit Vorfällen, CVEs, Frameworks und Abwehrwerkzeugen; überwiegend geht es dort um Angriffe gegen Agenten, also um den Bereich, den diese Liste auslässt.
- AI Coding Horrors von Sai Krishna verzeichnet Fälle, in denen der eigene KI-Agent den Schaden anrichtet, von der gelöschten Produktionsdatenbank bis zur unerwarteten Rechnung. Jeder Eintrag verlinkt die Schilderung des Betroffenen.
Zur Methode
Die Liste entstand in mehreren Rechercherunden aus eigenen Linksammlungen, Anbieterberichten und Websuche, auf Englisch ebenso wie in anderen Sprachen. Dubletten und Nachberichte zu demselben Fall wurden zu je einem Eintrag zusammengeführt. Gepflegt wird die Liste von Frank Ully; fehlende Fälle und Fehler melden Sie über die Kontaktseite.