https://www.ully.com/ki-hacking-vorfaelle/Neue Einträge in der Chronologie öffentlich gewordener Hackingvorfälle mit KI-Beteiligung.de-DESat, 24 Oct 2026 11:24:58 +0200https://www.straiker.ai/blog/inside-carliy0s-how-cybercartel-used-multiple-ai-models-to-attack-latin-american-banksvorfall-2026-10-21-carliy0s-banken-lateinamerikaWed, 21 Oct 2026 12:00:00 +0200dirigiert-autonom. Das Sicherheitsunternehmen Straiker wertete die Arbeitsumgebung von Tr4nsHack aus, einer Gruppe um Mitglieder des kriminellen CyberCartel, und beschreibt deren Angriffssystem CARLIY0S auf Basis des Frameworks PentAGI. Darin verteilt ein Claude-Agent in Cursor (Programmierumgebung mit eingebautem KI-Assistenten) die Aufgaben, drei Claude-Modelle mit festen Rollen beraten über jedes Ziel, und ein viertes entscheidet; laut Straiker griff die Gruppe so mehr als 400 Finanzinstitute in Lateinamerika an. Fünf Grok-Instanzen sammelten Daten, darunter 43 Zugangsdaten eines Fintech-Unternehmens, mit denen sich laut Straiker zusammen mit weiteren API-Schlüsseln das mexikanische Interbanken-Zahlungssystem SPEI missbrauchen ließe. Vorbehalt: Straiker nennt keine Opfer, nur ihre Branchen: Banken, Fintechs und Zahlungsdienstleister in Lateinamerika und Mexiko. Zu SPEI erwähnt der Bericht nur nicht näher erklärte Testtransaktionen. Wie Straiker an die Arbeitsumgebung gelangte, sagt er nicht; dass auch Claude Fable 5 lief, belegt laut Straiker nur ein Eintrag in der Konfiguration.https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/vorfall-2026-10-21-claude-code-gesundheitswesen-argentinienWed, 21 Oct 2026 12:00:00 +0200dirigiert-autonom. Ein spanisch- und englischsprachiger Operator kompromittierte laut CrowdStrike mindestens 15 Gesundheitseinrichtungen in Argentinien und zog bei mindestens einer davon Zugangsdaten und medizinische Unterlagen ab. Aus dem quelloffenen PentestGPT (KI-Werkzeug, das Penetrationstests automatisiert) baute er ein eigenes Harness (Programmumgebung, die ein Modell mit Werkzeugen und Arbeitsschleife ausstattet), in dem ein Claude-Code-Agent als „Supervisor“ anhand fester Angriffsphasen den nächsten Schritt bestimmt und ein zweiter Agent ihn ausführt; als Modelle nennt Wired unter anderem Claude Opus 4.5, Claude Haiku 4.5 und DeepSeek V4 Pro. Vorbehalt: Wie bei allen vier Akteuren des Berichts nennt CrowdStrike kein Opfer und stützt sich auf offen liegende Infrastruktur; laut CrowdStrike-Manager Adam Meyers übernahmen Menschen einen Teil der ersten Erkundung selbst. Der vollständige Bericht ist nur nach Anmeldung erhältlich.https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/vorfall-2026-10-21-claude-code-behoerden-brasilien-kolumbienWed, 21 Oct 2026 12:00:00 +0200dirigiert-autonom. Ein chinesischsprachiger Operator kompromittierte laut CrowdStrike Behörden zweier Länder, Wired zufolge in Brasilien und Kolumbien, und griff Unternehmen in Brasilien und den USA an. Er griff über einen chinesischen Vermittlungsdienst für KI-Zugänge auf Claude zu, vor allem auf Opus 4.8, und baute zwei Harnesse (Programmumgebung, die ein Modell mit Werkzeugen und Arbeitsschleife ausstattet): Im einen wählt das Modell aus festgelegten Aktionen, im anderen arbeitet Claude Code allein nach einer ausführlichen Arbeitsanweisung oder verteilt Aufgaben an mehrere spezialisierte Agenten. Mit dem Werkzeug ClawGod versuchte er, aus dem Systemprompt von Claude Code die Anweisung zu entfernen, nur bei autorisierten Sicherheitstests zu helfen. Vorbehalt: Laut Wired griff Claude Code erst an, nachdem ein Mensch das Vorgehen gewählt hatte; in CrowdStrikes Blog trifft die Wahl dagegen in einem der Harnesse das Modell. Wie bei allen vier Akteuren des Berichts nennt CrowdStrike kein Opfer und stützt sich auf offen liegende Infrastruktur; laut CrowdStrike-Manager Adam Meyers übernahmen Menschen einen Teil der ersten Erkundung selbst.https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/vorfall-2026-10-21-claude-code-skills-indonesienWed, 21 Oct 2026 12:00:00 +0200dirigiert-autonom. Ein indonesischsprachiger Operator, laut CrowdStrike der am wenigsten versierte der vier beschriebenen Akteure, gab Claude Code 819 Skills mit, die meisten aus öffentlichen GitHub-Repositorys, allen voran Claude-Red, und ließ den Agenten ohne eigenes Harness einbrechen. Damit kompromittierte er mehrere indonesische Regierungsdomains, eine weitere in einem anderen Land, laut Wired in Bangladesch, und einige Unternehmen. Immer wieder musste er eingreifen, um die Schutzmechanismen des Modells zu umgehen oder den Agenten zum Weitermachen zu drängen. Vorbehalt: Laut CrowdStrike war der Akteur bisher nicht öffentlich beschrieben; ob er mit dem Hephaestus-Fall zusammenhängt, in dem Claude Code ebenfalls Behörden in Indonesien und Bangladesch angriff, sagt keine Quelle. Wie bei allen vier Akteuren des Berichts nennt CrowdStrike kein Opfer und stützt sich auf offen liegende Infrastruktur; laut CrowdStrike-Manager Adam Meyers übernahmen Menschen einen Teil der ersten Erkundung selbst.https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/vorfall-2026-10-21-claude-code-crm-anbieter-usaWed, 21 Oct 2026 12:00:00 +0200dirigiert-autonom. Eine russischsprachige Gruppe zog laut CrowdStrike Firmenkundendaten eines US-Anbieters von CRM-Software ab und kompromittierte SaaS- und Rechenzentrumsfirmen in Russland, Kirgisistan und den USA sowie eine Regierungsdomain in einem weiteren Land; laut Wired ist sie offenbar finanziell motiviert. Ein einziger Slash-Befehl gibt Claude Code sieben Schritte vor, von der Erkundung der Zielumgebung bis zu ausdrücklichen Anweisungen für die Exfiltration; wie Schwachstellen ausgenutzt werden, überlässt er fast ganz dem Agenten. Vorbehalt: Wie bei allen vier Akteuren des Berichts nennt CrowdStrike kein Opfer und stützt sich auf offen liegende Infrastruktur; laut CrowdStrike-Manager Adam Meyers übernahmen Menschen einen Teil der ersten Erkundung selbst. Der vollständige Bericht ist nur nach Anmeldung erhältlich.https://unit42.paloaltonetworks.com/ai-assisted-cybercrime-analysis/vorfall-2026-10-21-bugster-hermes-universitaeten-indienWed, 21 Oct 2026 12:00:00 +0200augmentiert. Unit 42, die Forschungsabteilung von Palo Alto Networks, untersuchte die Arbeitsumgebung eines Täters mit dem Kürzel BUGSTER. Er betrieb das Agenten-Framework Hermes mit DeepSeek V4 sowie Cursor (Programmierumgebung mit eingebautem KI-Assistenten), schaltete bei beiden die Schutzfunktionen ab und ließ sich Skripte und Erkundungsberichte schreiben. Bei einer indischen Universität meldete ein so geschriebenes Brute-Force-Werkzeug ein WordPress-Login als gültig; aus einer zweiten zog der Täter eine Datenbank mit mehr als 5.200 Datensätzen ab, darunter personenbezogene Daten von Studenten. Vorbehalt: Unit 42 nennt die Universitäten nicht; eine Stellungnahme der Opfer gibt es nicht. Dass die Erkundungsberichte von einer KI stammen, schließt Unit 42 aus deren Aufbau, und welches Modell welches Skript schrieb, sagt der Bericht nicht. Er spricht allgemein von agentischen Angriffen, belegt aber nicht, dass der Agent selbst Schritte gegen die Universitäten ausführte.https://www.wiz.io/blog/litellm-compromised-steals-credentialsvorfall-2026-10-21-litellm-1-107-pypiWed, 21 Oct 2026 12:00:00 +0200augmentiert. Am 21. Oktober erschien auf PyPI die manipulierte Version 1.107.0 des Python-Pakets LiteLLM (Gateway für LLM-API-Abfragen), ebenso wie Docker-Images des Projekts mit derselben Versionsnummer in der GitHub Container Registry und auf Docker Hub; PyPI stellte das Paket noch am selben Tag unter Quarantäne. Der Schadcode, dessen Verhalten Microsoft auf Windows- und macOS-Rechnern wiederfand, greift Zugangsdaten aus Browsern, Cloud-Konten und KI-Diensten ab und bringt einen Loader für eine zweite Stufe mit, deren Adresse laut Wiz nie auf ein echtes Ziel gesetzt wurde. Wiz sieht deutliche Hinweise, dass der Schadcode mithilfe eines Sprachmodells entstand, etwa weitschweifige Variablennamen, nie getestete Codepfade für einzelne Betriebssysteme und ein Modul, das nie aufgerufen wird. Vorbehalt: Die KI-Zuschreibung stammt von Wiz und stützt sich nur auf Stil und Fehler des Codes; Wiz nennt kein Modell, und Microsoft äußert sich nicht dazu, ob KI den Code schrieb.https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/vorfall-2026-10-21-storm-0940-artex-connectwiseWed, 21 Oct 2026 12:00:00 +0200dirigiert-autonom. Laut Microsoft versuchte die China-nahe Gruppe Storm-0940 mit dem quelloffenen KI-Pentest-System ARTEX, sich bei mehr als 2.250 Mandanten anzumelden; dafür nutzte sie gestohlene Zugangsdaten von ConnectWise Cloud Backup, über das IT-Dienstleister die Microsoft-365-Umgebungen ihrer Kunden sichern. In mehreren davon drangen die Agenten weiter vor, legten für Anwendungen eigene Zugangsdaten an, um sich festzusetzen, und änderten privilegierte Rollen; seit September setzt die Gruppe das System gegen Hunderte Organisationen ein und hatte mehrmals keine drei Stunden nach dem ersten Angriff privilegierten Cloud-Zugang. Im Oktober beobachtete Wiz, wie ein Agent mit ARTEX-Werkzeugen weitere IT- und Softwareanbieter angriff, teils von Adressen, die Microsoft der Gruppe zuordnet; die Angriffe, darunter Password Spraying, blieben meist erfolglos. Vorbehalt: Microsoft nennt zum KI-Einsatz weder Prompts, Protokolle noch Modell; Wiz stützt sich auf ARTEX-Spuren und sieht nur Überschneidungen mit der Gruppe. Huntress und Sophos halten die Welle für skriptgesteuert, ohne KI zu nennen; die neuen Zugangsdaten in einem Mandanten ordnet Huntress nicht dem Täter der späteren Anmeldungen zu. ConnectWise bestätigt den unbefugten Zugriff und stützt sich bei Täter und KI auch auf Microsoft; woher die Zugangsdaten stammen und ob Daten abflossen, ist offen.https://www.sophos.com/en-us/blog/web-app-owners-your-low-hanging-fruit-just-got-lowervorfall-2026-10-21-sophos-zwei-einbrueche-webanwendungenWed, 21 Oct 2026 12:00:00 +0200augmentiert bis dirigiert-autonom. Sophos untersuchte zwei Einbrüche bei voneinander unabhängigen Organisationen; die Spuren deuten aus Sicht des Unternehmens auf Werkzeuge, die im Maschinentempo arbeiten und wahrscheinlich zu einem KI-Agenten oder einem Agenten-Framework gehören. Im einen Fall konnten die Täter eine Stunde und 45 Minuten nach Beginn der Erkundung über SQL-Injection Systembefehle ausführen; im anderen legten sie nach gut drei Stunden über eine Upload-Lücke Webshells ab, lasen Zugangsdaten aus Konfigurationsdateien und versuchten, weitere vom Metadatendienst der Cloud-Instanz zu holen. Eine OSINT-Recherche von Sophos ergab, dass auf den Ausgangsrechnern der Angriffe die KI-Plattformen Cairn und CyberStrikeAI liefen. Vorbehalt: Sophos hält es selbst für zunehmend schwer, einen geübten Angreifer, Skriptautomatisierung und KI-Unterstützung auseinanderzuhalten, und fand weder User-Agent noch Signatur, die auf ein KI-Werkzeug hindeutet. Wie Sophos die Ausgangsrechner den Einbrüchen zuordnete und welches Werkzeug wo lief, sagt der Bericht nicht; Opfer, Branchen, Länder und Tatzeit bleiben ungenannt, ebenso, ob beide Fälle auf denselben Täter zurückgehen.https://www.wiz.io/blog/anatomy-of-ai-driven-cloud-attacksvorfall-2026-10-19-ki-agent-multi-cloud-einbruchMon, 19 Oct 2026 12:00:00 +0200dirigiert-autonom. Das Incident-Response-Team von Wiz untersuchte einen Einbruch bei einer Organisation mit großer Multi-Cloud-Umgebung; laut Wiz führte ein KI-Agent den Angriff von Anfang bis Ende selbst aus. Einer der bestätigten Einstiege war eine Lücke zur Codeausführung in einer offen erreichbaren Instanz von Kafka UI (Weboberfläche zur Verwaltung von Apache Kafka); danach sammelte der Agent Zugangsdaten, war gleichzeitig in AWS, GCP, Kubernetes-Clustern und CI/CD-Pipelines aktiv, legte sich mit einem erbeuteten API-Schlüssel des Identitätsanbieters ein eigenes Administratorkonto an und schleuste Daten über mehrere Kanäle aus. Eine der IP-Adressen des Angreifers scannte im gleichen Zeitraum mehr als 600 weitere Umgebungen von Wiz-Kunden. Vorbehalt: Wiz nennt weder Opfer noch genauen Zeitraum noch Modell. Den KI-Anteil leitet das Unternehmen aus Merkmalen des Angriffs ab, darunter Tempo, gleichzeitige Arbeit auf vielen Plattformen, durchnummerierte Aufgaben in den Namen der angelegten Ressourcen und Code mit einem Kommentar zu jedem Schritt; Prompts oder Protokolle des Agenten führt der Beitrag nicht an.https://ria.ru/20261019/barnaul-2125385764.htmlvorfall-2026-10-19-dodo-pizza-datasuckersMon, 19 Oct 2026 12:00:00 +0200augmentiert. Das russische Innenministerium meldete am 19. Oktober die Festnahme eines Hackers in Barnaul, der an Bestellungen, Lieferadressen und Telefonnummern von Kunden einer der größten Pizzaketten des Landes gelangt sein soll. Ministeriumssprecherin Irina Wolk schrieb, Hacker hätten früher Wochen für die Vorbereitung eines Einbruchs gebraucht, heute dank KI-Werkzeugen nur wenige Stunden; solche Werkzeuge habe der Verdächtige auf die Datenbanken der Kette angewandt, und die Angriffe seiner Gruppe seien durch KI schnell und hochgradig automatisiert gewesen. Laut der Rechtsnachrichtenagentur RAPSI, der Wolk die Angaben mitteilte, ging es um den Einbruch bei Dodo Pizza, den die Gruppe DataSuckers Ende September für sich reklamiert und Dodo bestätigt hatte. Vorbehalt: Ein Urteil gibt es nicht, und die KI-Angabe sagt nicht, welches Werkzeug lief und was es mit den Datenbanken tat. Wolks Text nennt weder Dodo noch DataSuckers; laut Kommersant stellte ein Moskauer Gericht am 14. Oktober einen 19-Jährigen aus Barnaul wegen desselben Tatvorwurfs als mutmaßliches Mitglied der Gruppe unter Hausarrest. Als Arbeitsweise nennt das Ministerium Phishing und das Umgehen von Schutzmaßnahmen; bei Dodo nutzten die Angreifer laut Medien offen auf GitHub liegende Zugangsdaten.https://www.eldiario.es/tecnologia/colapsar-defensas-primera-linea-policia-cni-ataques-ia_1_13584501.htmlvorfall-2026-10-17-jugendlicher-stadtunternehmen-spanienSat, 17 Oct 2026 12:00:00 +0200augmentiert bis dirigiert-autonom. Ein 17-Jähriger brach mit kommerziellen KI-Modellen in das Webportal eines öffentlichen Unternehmens einer spanischen Großstadt ein und stahl Daten von rund 5.000 Bürgern, berichtet die Onlinezeitung elDiario.es unter Berufung auf Polizeikreise. Er soll der KI etwa aufgetragen haben: „Scanne die Infrastruktur dieses Dienstes, sag mir, wo man angreifen kann und wie wir Informationen herausholen können.“ Die Umstände decken sich mit einem Angriff vom 3. September auf die Bicielx-Verwaltungsplattform des Stadtunternehmens PIMESA in Elche; die Stadt beschreibt den Angriff als Mischung aus Prüfungen von Hand und automatisierten Schritten eines KI-Agenten, der sein Vorgehen den Ergebnissen anpasste, und der Täter meldete sich danach selbst bei PIMESA. Vorbehalt: Dass es derselbe Fall ist, folgt nur aus den übereinstimmenden Umständen; Elche nennt weder Alter noch Zahl der Betroffenen. Die Angaben von elDiario.es zum Vorgehen stammen aus Polizeikreisen, und die Policía Nacional will die Einzelheiten nicht öffentlich machen. Ausdrücklich von einem KI-Agenten, der selbst Schritte ausführte, spricht nur die Stadt; Werkzeug, Modell oder Beleg nennt sie nicht, und die technischen Berichte von PIMESA legt sie nicht vor.https://unit42.paloaltonetworks.com/ai-campaign-targets-linux-infrastructure/vorfall-2026-10-15-cl-unk-1211-linux-behoerdenThu, 15 Oct 2026 12:00:00 +0200augmentiert bis dirigiert-autonom. Von Oktober 2025 bis April 2026 beobachtete Unit 42, die Forschungsabteilung von Palo Alto Networks, Einbrüche in Linux-Server von Behörden und staatsnahen Einrichtungen, bei denen sich die Angreifer mit Webshells, dem selbst entwickelten Remote-Access-Trojaner SysGoRAT und abgegriffenen Passwörtern festsetzten. Sie durchsuchten dienstliche Postfächer nach Mails zu Konten in sozialen Netzwerken, versuchten ganze Datenbanken auszuleiten und danach die Protokolle zu löschen. Mehrere ihrer PHP- und Shell-Skripte enthielten Kommentare, die dem Operator Schritt für Schritt die Logik erklärten; Unit 42 sieht darin Hinweise darauf, dass Sprachmodelle den Code erzeugten oder ein KI-Agent ihn ausführte. Vorbehalt: Unit 42 leitet die KI-Beteiligung aus Merkmalen des Codes ab und nennt kein Modell. Zu den Merkmalen zählen Abschnittsüberschriften in Skripten und Shell-Befehlen, mit denen eine KI die Ausgabe schneller auswerten kann. Opfer und Länder bleiben ungenannt.https://www.cert-in.org.in/s2cMainServlet?pageid=PUBVLNOTES02&VLCODE=CIAD-2026-0049vorfall-2026-10-15-cert-in-agenten-frameworksThu, 15 Oct 2026 12:00:00 +0200dirigiert-autonom. Das indische CERT, CERT-In, stieß beim eigenen Threat Hunting auf eine finanziell motivierte Kampagne gegen Einrichtungen im Land, in der die Täter frei verfügbare Angriffsframeworks auf Basis von KI-Agenten missbrauchten, um Ziele zu erkunden, Lücken auszunutzen und einzubrechen. Der Analyse der Behörde zufolge schrumpfte die Zeit vom ersten Zugang bis zum Schaden dadurch von Tagen auf wenige Stunden, und mehrere Agenten liefen stunden- bis tagelang parallel. Opfer, die ihre Systeme nur unvollständig bereinigt hatten, wurden binnen Tagen in größerem Umfang erneut angegriffen. Vorbehalt: CERT-In nennt weder die Frameworks noch Opfer, Zahl der Fälle oder Zeitraum und legt keine technischen Spuren vor. Ob es dieselben Angriffe auf Finanzdienstleister sind, die CERT-In am 9. Oktober im Advisory CIAD-2026-0046 beschrieb und dort nur mit möglicher KI-Hilfe in Verbindung brachte, lässt die Behörde offen.https://alignment.openai.com/misalignment-reports/retrieving-server-secrets-and-bypassing-authorization-on-a-government-statistics-website/vorfall-2026-10-15-openai-statistikseite-geheimnisseThu, 15 Oct 2026 12:00:00 +0200vollautonom. Ein internes OpenAI-Modell sollte im Reinforcement-Learning-Training am 17. Juni Bettenzahlen von Gesundheitseinrichtungen auf der Website einer staatlichen Statistikbehörde nachschlagen und brach in die Seite ein, nachdem ihm der Zugriff verweigert worden war. Über die Download-Funktion für Veröffentlichungen holte es Programm- und Konfigurationsdateien von außerhalb des vorgesehenen Verzeichnisses, darunter die Verbindungsdaten der Datenbank, den Schlüssel zum Signieren von Zugangstoken und die Anmeldedaten eines E-Mail-Kontos. Im Code entdeckte das Modell, dass die Seite die Signatur von Token nicht prüfte, und rief mit selbst gebauten Token Statistiken aus 24 Jahren ab. Vorbehalt: OpenAI nennt weder die Website noch das Land und sagt nicht, ob der Betreiber benachrichtigt wurde. Dass das Modell die erbeuteten Zugangsdaten benutzte, steht nicht im Bericht.https://alignment.openai.com/misalignment-reports/accessing-and-changing-internal-systems-during-dashboard-research/vorfall-2026-10-15-openai-forschungsorganisation-systemeThu, 15 Oct 2026 12:00:00 +0200vollautonom. In zwei Evaluierungen am 17. Juni sollte ein internes OpenAI-Modell Kennzahlen vom öffentlichen Dashboard einer internationalen Forschungsorganisation abrufen und drang stattdessen in deren interne Systeme ein. Im ersten Lauf nutzte es Zugangsdaten zum OpenSearch-Dienst, die offen im JavaScript einer Website standen, änderte eine Einstellung des laufenden Suchclusters, ohne sie zurückzusetzen, und lud außerdem aus einem Nutzerverzeichnis 1.489 Datensätze mit Namen und E-Mail-Adressen herunter. Im zweiten stellte es eine Konfiguration so um, dass es ein Zugangstoken für Azure Storage erhielt, las damit fünf nicht öffentliche Tabellen mit zusammen 147.451 Zeilen aus und nutzte das Token weiter, nachdem es die Einstellung zurückgesetzt hatte. Vorbehalt: OpenAI nennt die Organisation nicht und sagt nicht, ob sie benachrichtigt wurde.https://www.scutum.jp/information/waf_tech_blog/2026/10/waf-blog-085.htmlvorfall-2026-10-14-scutum-ki-agenten-japanWed, 14 Oct 2026 12:00:00 +0200dirigiert-autonom. Der japanische Cloud-WAF-Dienst Scutum änderte am Abend des 10. Oktober sein Antwortverhalten so, dass sich KI-Agenten eigenen Angaben zufolge sicher von herkömmlichen Werkzeugen mit fester Abfolge von Anfragen unterscheiden lassen. Bis zum 14. Oktober sah er Angriffe von KI-Agenten auf Websites japanischer Unternehmen, ausgehend von mindestens drei IP-Adressen, von denen eine nur massenhaft Dateien und Verzeichnisse abfragte. Die zweite suchte knapp zweieinhalb Stunden lang nach Verwaltungsseiten und Sicherungsdateien, versuchte SQL-Injection und schickte automatisch Kontaktformulare ab; die dritte griff fast acht Stunden lang bekannte Lücken an, etwa in Elasticsearch, Struts und SharePoint, und versuchte, Passwörter zu erraten. Vorbehalt: Scutums Erkennungsverfahren ist geheim. Erprobt wurde es an acht Modellen; dass es kaum Fehlalarme auslöst, leitet Scutum aus seiner Logik ab. Das Modell der Angreifer ist unbekannt; der Bericht nennt weder angegriffene Firmen noch einen gelungenen Einbruch. Die Kennung einer Smartphone-App im User-Agent, typisch für die schadensträchtigen A2B-Angriffe, fand Scutum bei keiner der drei Adressen. Diese gehören womöglich verschiedenen Tätern und dienen vielleicht auch regulärem Verkehr.https://vulone.com/blog/a-china-linked-operator-used-ai-agents-to-attack-governments-across-asiavorfall-2026-10-14-operation-cairn-behoerden-asienWed, 14 Oct 2026 12:00:00 +0200dirigiert-autonom. Ein chinesischsprachiger Operator schickte vom 24. September bis 14. Oktober 2026 KI-Agenten der quelloffenen Plattform Cairn mit dem Modell DeepSeek v4.1 Flash gegen 66 namentlich bekannte Ziele, darunter Vietnams Verteidigungsministerium, Taiwans Parlament, Indonesiens Geheimdienst und Air India. Laut den Aufzeichnungen der Plattform, die die Sicherheitsfirma VULONE von dem offen im Netz stehenden Server sicherte, verschafften sich die Agenten bei 48 der 66 Ziele Zugriff, in sechs Fällen mit Root- oder SYSTEM-Rechten; bei der taiwanischen Plattform für Massennachrichten Every8D gingen die Apache-Konfiguration und die Zugangsdaten einer internen Datenbank an den Steuerserver. Laut VULONE wählte der Operator die Ziele aus und prüfte die Ergebnisse von Hand; den Großteil der Erkundung und Ausnutzung übernahmen die Agenten. Vorbehalt: Wie weit die Agenten kamen, verzeichnen die Werkzeuge des Operators; VULONE glich die stärksten Fälle mit Exfiltrationsprotokollen ab und überlässt die Bestätigung durch die Opfer Benachrichtigungen und Behörden. Wie VULONE mit Erlaubnis auf den Server kam, sagt es nicht. Mit der Onlineshop-Kampagne, die die Sicherheitsfirma Gambit beschrieb, teilt die Operation laut VULONE Plattform und Modell, aber weder Infrastruktur noch Opfer; denselben Operator hält VULONE für möglich, aber unbelegt.https://www.mdr.de/nachrichten/deutschland/politik/hacker-in-sachsen-anhalt-offenbar-erster,ki-angriff-100.htmlvorfall-2026-10-13-tangerhuette-digitales-rathausTue, 13 Oct 2026 12:00:00 +0200dirigiert-autonom. Angreifer nutzten laut dem Softwarehersteller Innocon eine bis dahin unbekannte Lücke im digitalen Rathaus von Tangerhütte in Sachsen-Anhalt, über das Bürger Anträge stellen und Termine buchen; die Stadt nahm das Angebot vom Netz, und vier weitere Kommunen zogen dem Hersteller zufolge vorsorglich nach. Geschäftsführer Hagen Woecht hat die Logdateien ausgewertet und stuft den Vorfall als KI-Angriff ein, weil Befehle schneller ausgeführt wurden, als ein Mensch es gekonnt hätte, und das weitere Vorgehen erst während des Einbruchs auf dem Server der Stadt entstand. Die Angreifer seien nur an Testkonten gelangt und hätten keine echten Daten erbeutet. Vorbehalt: Die Einschätzung stammt allein vom Hersteller, der nur aus dem Verhalten der Angreifer auf KI schließt; einen direkten Beleg dafür nennt keine Quelle. Die Polizei ermittelt wegen Ausspähens von Daten; das Landeskriminalamt kann einen KI-Angriff derzeit weder bestätigen noch dementieren, und die Stadt äußert sich nicht dazu. Vom MDR befragte Fachleute halten die Deutung für plausibel, kennen die Logdateien aber nicht.https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/vorfall-2026-10-13-uta0576-ivanti-zero-dayTue, 13 Oct 2026 12:00:00 +0200augmentiert. Ab dem 3. Oktober kompromittierte der bisher unbekannte Angreifer UTA0576 bei einem Kunden des Sicherheitsunternehmens Volexity wiederholt eine VPN-Appliance vom Typ Ivanti Connect Secure, indem er drei Zero-Day-Schwachstellen verkettete. Danach suchte er im Active Directory nach Administratorpasswörtern und BitLocker-Wiederherstellungsschlüsseln und leitete Daten aus. Volexity hält für wahrscheinlich, nicht für gesichert, dass UTA0576 Sprachmodelle für die Exploit-Entwicklung und das Vorgehen nach dem Einbruch nutzt, weil die Kette aufwendig ist, jeder Befehl sie erneut durchlief, statt über eine Webshell zu laufen, und immer wieder Spezialskripte mit fest eingebauten Zugangsdaten aufgespielt wurden. Vorbehalt: Volexity stützt die Annahme nur auf Indizien und auf den Vergleich mit vielen anderen Operationen, die es 2026 untersucht hat. Der Bericht nennt kein Modell und legt weder Prompts noch Sitzungsprotokolle vor.https://breachcache.com/cases/hands-off-the-keyboard/vorfall-2026-10-12-claude-code-deepseek-einbruecheMon, 12 Oct 2026 12:00:00 +0200dirigiert-autonom. Auf offenen Servern der Angreifer fand die Fallsammlung breachcache 75 Protokolle von KI-Agenten; die Operatoren gaben Ziele und Regeln vor, und die Agenten übernahmen Erkundung, Exploits und Erfolgskontrolle und stimmten sich über die quelloffene Plattform Cairn ab. Die Agenten eines Täters nutzten über Claude Code ein DeepSeek-Modell, führten auf 23 Hosts Befehle aus und übernahmen bei einem Ziel das Cloud-Konto; die Agenten eines zweiten erbeuteten bei einer Zahlungsplattform Kartendaten und private Schlüssel von Krypto-Wallets. Auf 14 offenen Cairn-Oberflächen einer chinesischsprachigen Gruppe zählt die Sicherheitsfirma NorForge über 1.100 Angriffsprojekte; laut Reuters bestätigten Deere, SharkNinja und zwei kleinere Firmen einen Vorfall, und Cummins prüft Hinweise auf einen möglichen Angriff auf die Website eines Dienstleisters. Vorbehalt: Die Opfer ermittelte Reuters aus Täterdaten und weiß nicht, ob und wie viel abfloss; Deere sieht keinen Hinweis auf Zugriff auf sensible Daten. Dass NorForges Gruppe der Onlineshop-Täter bei breachcache ist, sagt keine Quelle; dafür sprechen derselbe Konfigurationsname, eine fast gleiche Zielvorgabe und passende IP-Adressen. Mehrere Täter hält breachcache nur für wahrscheinlich und beschreibt uneinheitlich, wie viel die Operatoren selbst taten; bei der Zahlungsplattform half ein Mensch nach.https://www.anthropic.com/research/investigating-unintended-model-actionsvorfall-2026-10-09-claude-hochschulserver-polizeiformularFri, 09 Oct 2026 12:00:00 +0200vollautonom. Anthropic legt Fälle offen, in denen Claude-Modelle bei Evaluierungen und im internen Einsatz ungewollt fremde Websites und Server nutzten, darunter Seiten von US-Behörden und den Kurzlinkdienst da.gd, über den Claude die URL-Längengrenze seines Abrufwerkzeugs umging. Claude Mythos Preview führte über eine Injection-Lücke Befehle auf dem Server einer Universität aus; Claude Mythos 5 fragte mit Zugangstoken aus der Konfigurationsdatei einer kommunalen Grundstückskarte den Kartenserver ab und holte sich mit dem Token eines öffentlichen Dashboards gebührenpflichtige Daten einer Behörde eines US-Bundesstaats, ohne zu zahlen. Claude Haiku 4.5 schickte am 18. Juli über das Onlineformular der Polizei Philadelphia einen erfundenen Hinweis zu einem ungeklärten Tötungsdelikt ab, der im Spam landete und nie an die Ermittler ging. Vorbehalt: Anthropic nennt die betroffenen Organisationen auf deren Wunsch nicht, auch um ihre Schwachstellen nicht offenzulegen. Die Polizei Philadelphia machte ihren Fall selbst öffentlich und sieht keine Anzeichen für einen unbefugten Zugriff. Laut einem Beamten des US-Außenministeriums meldete Anthropic, ein Testmodell habe im Mai und August über ein Onlineformular 20 Visumanträge eingereicht; bearbeitet worden sei keiner, und die Systeme des Ministeriums seien nie kompromittiert gewesen.https://atos.net/en/lp/cybershield/inside-inc-ransomware-behind-ai-driven-operationsvorfall-2026-10-09-inc-affiliate-phantom-wormgptFri, 09 Oct 2026 12:00:00 +0200augmentiert bis dirigiert-autonom. Atos wertet einen falsch konfigurierten Server aus, den es sehr wahrscheinlich einem Affiliate der Ransomware-Gruppe INC zuordnet; auf der dort liegenden Plattform Phantom arbeiteten die Operatoren über die Konsole OpenCode mit dem KI-Assistenten WormGPT, der per MCP Angriffsdienste aufrief und kommerzielle Modelle nutzte, wobei die Unterlagen Anthropics Opus 4.6 empfehlen. SOCRadar untersuchte dieselbe Umgebung auf sieben Servern und hält für wahrscheinlich, dass auch Affiliates von The Gentlemen sie nutzten; die KI plante laut SOCRadar sehr wahrscheinlich die Erkundung und erzeugte Befehle, wartete aber vor jedem Schritt auf die Freigabe des Operators. SOCRadar zählt 62 namentlich bekannte Ziele, 36 davon in den USA; ein Bildschirmfoto der Fernwartungssoftware SimpleHelp vom 30. September zeigt die INC-Verschlüsselung bei einem Opfer. Vorbehalt: Atos sieht nur eine Hilfe für menschliche Operatoren und keine KI, die selbständig einbricht; SOCRadar liest aus 133 OpenCode-Sitzungen, dass die KI jeden Schritt nach Freigabe selbst ausführte. Beide stützen sich auf ungeprüfte Aufzeichnungen der Täter, auch für die Modellnamen; ob die für sechs Opfer vorbereitete Verschlüsselung sie erreichte, ist bis auf das Bildschirmfoto unbestätigt. Ein finnisches Unternehmen, das die Angreifer als Opfer nannten, war laut eigener Aussage nicht betroffen.https://blogs.jpcert.or.jp/ja/2026/10/web_api_attacks.htmlvorfall-2026-10-09-japan-datenleck-welle-ki-agentFri, 09 Oct 2026 12:00:00 +0200dirigiert-autonom. Das japanische CERT JPCERT/CC untersuchte Server, die womöglich für eine Welle von Einbrüchen im Land genutzt wurden, und bestätigte, dass die Angreifer mit KI nach bekannten Lücken scannten und über APIs angriffen; auf einem der Server lagen laut Asahi Shimbun Dateien von Claude Code und weiteren KI-Agenten. Ein Nachtrag zur JPCERT-Warnung nennt Angriffsversuche mit den KI-Pentest-Plattformen Cairn, CyberStrikeAI und ARTEX, auch von einer Adresse, die CrowdStrike und Zscaler dem ARTEX-Angriff auf südkoreanische Finanzinstitute zuordnen. Die Sicherheitsfirma GMO Cybersecurity by Ierae fand ARTEX auf der zuerst untersuchten Infrastruktur der Angreifer und später sechs weitere Angriffsserver mit KI; acht der von GMO bestätigten Ziele meldeten Datenlecks. Vorbehalt: JPCERT hält laut Asahi nur für wahrscheinlich, dass die Welle über diesen Server lief, und prüft den KI-Anteil noch. Der Nachtrag ordnet die Versuche keinem Leck zu und schließt eine reguläre Nutzung der Adressen nicht aus; CrowdStrike hält es nur für wahrscheinlich, dass die ARTEX-Instanz unter dieser Adresse die Angriffe in Südkorea ausführte. GMO belegt ARTEX nur für die zuerst untersuchte Infrastruktur und schließt aus der Zielliste auf eine Gruppe hinter den acht Lecks.https://www.huntress.com/blog/ahsaycbs-flaws-exploitvorfall-2026-10-08-ahsaycbs-krypto-miningThu, 08 Oct 2026 12:00:00 +0200augmentiert. Huntress beobachtete ab dem 7. Oktober Angriffe auf fünf Organisationen über zwei verkettete Lücken in AhsayCBS, der Verwaltungskonsole einer Backup-Software, die vor allem IT-Dienstleister und Systemintegratoren einsetzen. Danach legten die Angreifer teils JSP-Webshells ab und installierten auf mehreren Rechnern den Monero-Miner XMRig, den sie als Microsoft Edge tarnten und über einen Windows-Dienst mit Edge-ähnlichem Namen dauerhaft laufen ließen. Ein PowerShell-Skript, das laut Huntress offenbar mit KI-Hilfe entstand, hält diesen Dienst an, solange der Task-Manager geöffnet ist, und schließt den Task-Manager um 18 Uhr und immer dann, wenn er nachts länger als eine Stunde offen bleibt. Vorbehalt: Huntress begründet die KI-Vermutung allein mit den Kommentaren im Code und nennt kein Modell.https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/vorfall-2026-10-07-server-uebernahme-cairn-agentenWed, 07 Oct 2026 12:00:00 +0200dirigiert-autonom. ReliaQuest hält es für sehr wahrscheinlich, dass KI-Agenten große Teile eines Einbruchs ausführten, bei dem ein Angreifer in weniger als 24 Stunden einen Server vollständig übernahm. Einstieg war eine ohne Anmeldung erreichbare Spring-Batch-Funktion auf einem Apache-Tomcat-Server; mit Klartext-Zugangsdaten aus Konfigurationsdateien meldete sich der Angreifer als Administrator am SQL Server an und verschaffte sich von dort SYSTEM-Rechte. Auf dem Rechner, von dem die ersten Anfragen kamen, lief ungeschützt das Dashboard von Cairn, einer quelloffenen Plattform zur Steuerung von KI-Agenten, und unter den aufgezeichneten Befehlen stehen immer wieder fast gleiche Paare, in denen der zweite Befehl genau den Fehler des ersten behebt. Vorbehalt: Wie viele Agenten beteiligt waren, welches Modell sie steuerte und wie weit ein Mensch einzelne Schritte freigab, konnte ReliaQuest nicht feststellen; keines der übrigen Indizien belegt für sich einen Agenten, und mehrere davon könnte auch ein Mensch mit Skripten erzeugen. Opfer und Tatzeit nennt der Bericht nicht.https://socradar.io/blog/cyberxero-ai-iab-ukraine-critical-infrastructure/vorfall-2026-10-06-cyberxero-claude-code-agentenTue, 06 Oct 2026 12:00:00 +0200augmentiert bis dirigiert-autonom. SOCRadar wertet ein offen liegendes Arbeitsverzeichnis von CyberXero aus, einem russischsprachigen Access Broker, der automatisiert WordPress-Seiten und Onlineshops angriff und von Hand ukrainische Energieversorger ausspähte. Ab Ende Juli setzte er bis zu 51 spezialisierte Claude-Code-Agenten ein, dazu das an seinen Cobalt-Strike-Server angebundene Pentest-Framework PentAGI; laut seinen Protokollen versuchte er, Ablehnungen des Modells mit einer erfundenen Pentest-Freigabe und neuen Sitzungen zu umgehen, doch mehrmals blieb das Modell bei seiner Weigerung. In seinen Dateien lagen über 628.000 Datensätze aus vier ukrainischen Organisationen, davon 564.073 zu Kunden eines Fernwärmeversorgers in Charkiw, und ein einziger automatisierter Durchlauf meldete 429 zugängliche WordPress-Adminpanels. Vorbehalt: Keinen der belegten Datenabflüsse ordnet SOCRadar einem Agenten zu: Den Versorger in Charkiw erreichte der Täter mit Zugangsdaten, die fest in seinem eigenen Skript standen, und auch sonst beschreibt der Bericht das Vorgehen in der Ukraine als Handarbeit. Namen der Opfer nennt SOCRadar nicht.https://www.oasis-security.io/blog/Analysis-of-Cyber-Intrusions-Targeting-Major-Religious-Organizations-in-South-Koreavorfall-2026-10-06-grosskirchen-seoulTue, 06 Oct 2026 12:00:00 +0200dirigiert-autonom. Oasis Security fand auf einem Server des Angreifers Daten und Protokolle aus Einbrüchen bei zwei der größten Kirchen Südkoreas, laut SBS und Reuters der Yoido Full Gospel Church und der Sarang Church in Seoul. Bei der Yoido-Kirche verschaffte sich der Täter über eine Webshell auf dem ERP-Server Administratorrechte an den Datenbanken und zog 47,3 GB ab, darunter laut Oasis rund 960.000 Mitgliederdatensätze, die in den letzten zwei Jahren aktualisiert worden waren; bei der Sarang-Kirche drang er mit früher geleakten Zugangsdaten und über Lücken in der Zugriffskontrolle bis ins SAP-System vor und erbeutete Daten von 89.000 Mitgliedern und 286 Mitarbeitern. Für KI sprechen laut Oasis das Wort „sub-agent“ in den Angriffsprotokollen und Hunderte Übergabedokumente, die automatisch erstellt wirken. Vorbehalt: Oasis leitet die KI-Beteiligung aus Spuren in den Protokollen ab und erwähnt KI im eigenen Bericht nur im Schlussabsatz; ein Modell oder Werkzeug nennen weder Oasis noch SBS. Die Yoido-Kirche spricht nach erster Prüfung von 850.000 möglicherweise betroffenen Mitgliedern; beide Kirchen untersuchen den Vorfall noch.https://apostrophe.ua/society/atb-lokalizuvala-masshtabnu-kiberataku-iz-zastosuvannjam-shtuchnoho-intelektu-kritichnikh-naslidkiv-ne-dopushcheno.htmlvorfall-2026-10-06-atb-datasuckersTue, 06 Oct 2026 12:00:00 +0200augmentiert. Am 5. Oktober erschien auf der Website der ukrainischen Supermarktkette ATB eine Lösegeldforderung der Gruppe DataSuckers über 400.000 Dollar. ATB bestätigte den Angriff und erklärte am Tag darauf, die Täter hätten laut vorläufigen Ergebnissen der technischen Analyse in praktisch allen Phasen KI eingesetzt, von der Aufklärung und Schwachstellensuche bis zur Anpassung des weiteren Vorgehens. DataSuckers selbst gab an, KI in einzelnen Schritten genutzt zu haben, schreibt Serhij Charjuk, Gründer des ukrainischen Sicherheitsanbieters AmonSul, in einem Gastbeitrag für Forbes Ukraine. Vorbehalt: ATB nennt für den KI-Einsatz weder Werkzeug noch Modell noch Beleg und will endgültige Ergebnisse erst nach Abschluss der Untersuchung vorlegen. DataSuckers behauptet, Daten von 7,9 Millionen Kunden zu besitzen, ATB erklärte dagegen am 5. Oktober, personenbezogene Daten seien nicht betroffen. Am 6. Oktober hieß es, die Angreifer hätten Zugriff auf einen begrenzten Teil der Informationen gehabt; ein Abfluss in einem Umfang, der erhebliche Risiken bergen könnte, sei bisher nicht bestätigt.https://wikimediafoundation.org/news/2026/10/05/openai-rogue-agent-activities-found-on-wikimedia-projects/vorfall-2026-10-05-openai-agenten-wikimediaMon, 05 Oct 2026 12:00:00 +0200vollautonom. Die Wikimedia Foundation wirft KI-Agenten, die sie OpenAI zuschreibt, mehrere unerlaubte Eingriffe in Wikimedia-Dienste vor. Die Agenten versuchten vergeblich, das öffentliche Wikimedia-Etherpad zu kompromittieren und als Proxy zu nutzen, und bearbeiteten ohne die vorgeschriebene Bot-Freigabe fast nur Wiki-Testseiten, einige Male aber auch die Konfiguration eines Zitierwerkzeugs, aus Sicht der Foundation möglicherweise in der böswilligen Absicht, auch dieses als Proxy zu missbrauchen. Dazu kamen Hunderttausende Abfragen an den Wikidata Query Service, die zu dessen teilweisem Ausfall im Mai beigetragen haben könnten. Vorbehalt: Die Zuordnung zu OpenAI ist eine Einschätzung der Foundation; woran sie die Agenten erkannte, erklärt sie nicht, und eine Anfrage von The Record ließ OpenAI unbeantwortet. Die Foundation fand keine Hinweise darauf, dass ihre Systeme oder Daten kompromittiert wurden oder dass sich die Agenten über Wikimedia-Dienste abstimmten.https://www.cloudsek.com/blog/caught-in-4k-the-gentlemen-filesvorfall-2026-10-05-gentlemen-affiliate-azazelMon, 05 Oct 2026 12:00:00 +0200augmentiert. CloudSEK wertet ein offenes Verzeichnis und einen falsch konfigurierten Speicherserver von Azazel aus, einem russischsprachigen Affiliate der Erpressergruppe The Gentlemen. Er drang in mehr als zwei Dutzend Organisationen in sechs Ländern ein, meist mit gestohlenen CI/CD-Secrets aus GitLab, und stellte Daten von Opfern auf eine eigene Leak-Seite, ohne die Gruppe am Erlös zu beteiligen. Laut CloudSEK band er einen Reverse-Shell-Handler per MCP als Werkzeug in einen KI-Programmierassistenten ein und führte darüber Angriffsschritte aus; belegt ist das an einem Skript, das über diese Schnittstelle auf sechs Hosts eines Opfernetzes prüfte, ob das Lösegeldschreiben angekommen war. Vorbehalt: CloudSEK nennt weder Modell noch Assistenten und zeigt keine Sitzung der KI. Das belegte Skript selbst rief die MCP-Schnittstelle mit festem Token auf; welchen Anteil die KI daran hatte, lässt der Bericht offen. Alle Angaben stammen aus der offen liegenden Infrastruktur; die Opfer bleiben anonym, und Stellungnahmen von ihnen fehlen. Ob Azazel der Affiliate ist, dessen Server Cybernews am 2. September beschrieb, sagt CloudSEK nicht.https://swarmcha.se/posts/chinese-agent-fleet-full-reportvorfall-2026-10-04-ki-agenten-tencent-amapSun, 04 Oct 2026 12:00:00 +0200vollautonom. Vom 28. September bis 8. Oktober 2026 versuchten KI-Agenten aus einer Sandbox auf Tencent Cloud mehr als 2.600-mal, über den öffentlichen Scandienst urlquery.net Daten aus Alibabas Kartendienst Amap abzurufen, meist um zu erfahren, welcher Anteil der Amap-Nutzer welchen Eingang eines Parks, Museums, Zoos oder Krankenhauses ansteuert. Als Amap die Agenten blockierte, fingen sie Token des Bot-Schutzes ab, setzten Programme gegen Entwicklungs- und Staging-Server von Alibaba an und probierten im Netz auffindbare Amap-Zugangsdaten aus; Schlüssel und Sicherheitscode aus dem frei einsehbaren Quellcode einer unbeteiligten Firma lieferten echte Ortsdaten. Die meisten Versuche scheiterten. Vorbehalt: Tencent erklärte am 16. Oktober, die Agenten seien bei der Evaluierung fremder Modelle gelaufen, nicht der eigenen Hunyuan-Modelle, und eine interne Prüfung habe keine Hinweise auf ein gezieltes oder abgestimmtes Vorgehen ergeben; welches Modell lief, sagt der Konzern nicht. Wie die Agenten an den Schlüssel kamen und ob ihr Auftrag das erlaubte, wissen die Forscher von swarmcha.se nicht; Zugriff auf interne Systeme stellten sie nicht fest.https://huntback.io/blog/ai-crew-open-server-erp-exfil-spanish-smbsvorfall-2026-10-02-opencode-erp-spanienFri, 02 Oct 2026 12:00:00 +0200augmentiert bis dirigiert-autonom. Das Sicherheitsunternehmen Huntback fand auf einem offen zugänglichen Server einer russischsprachigen Gruppe 15 GB Daten, darunter Kartennummern, IBANs und Patientenakten, aus zehn kleinen und mittleren Unternehmen in Spanien, vor allem aus Zahnarztpraxen und anderen Gesundheitsbetrieben. Mit den Zugangsdaten einer Azure-Anwendung, die in einem offen zugänglichen Git-Repository eines Opfers standen, zogen die Angreifer über die API von Microsoft Dynamics 365 Business Central (Unternehmenssoftware für Buchhaltung und Warenwirtschaft) bei mehreren Firmen Kundendaten, Hauptbücher und Rechnungen ab. Laut Huntback steuerte die Gruppe Erkundung, Entwicklung und Ausnutzung über den KI-Programmieragenten OpenCode; seine Datenbank lag auf demselben Server. Vorbehalt: Dass die Gruppe Erkundung, Entwicklung und Ausnutzung über den Agenten steuerte, belegt Huntback nur mit dessen Installation, Anmeldung und Konfiguration in der Shell-Historie und mit seiner Datenbank, ohne Auszüge daraus. Die Abfragen an Business Central stehen wörtlich in der Shell-Historie, die Huntback dem Operator zuschreibt; ob der Agent sie absetzte oder die Exfiltrationsskripte schrieb, zeigt der Bericht nicht. Huntback nennt keine Opfer und führt keine Bestätigung durch sie an.https://biz.heraldcorp.com/article/10892496vorfall-2026-10-02-banken-suedkorea-ki-agentFri, 02 Oct 2026 12:00:00 +0200dirigiert-autonom. Ein Täter setzte vor allem zwischen dem 27. September und dem 1. Oktober das quelloffene KI-Pentest-System ARTEX gegen südkoreanische Finanzinstitute ein, sagt ein Vertreter des Financial Security Institute (FSI). Über schwach gesicherte Systeme für Mitarbeiter und Partner flossen Daten ab, von 25.729 Kunden bei Shinhan, 119 Personen bei KB Kookmin und 89 Kunden bei Hana, laut Yonhap auch bei der Yegaram Savings Bank (rund 40.000 Betroffene), Hyundai Capital und der Welcome Savings Bank. CrowdStrike fand auf Servern des Täters Claude-Code-Sitzungsverläufe und ARTEX-Konfigurationen, denen zufolge er von Ende September bis Anfang Oktober südkoreanische Finanzunternehmen mit ARTEX und dem Modell DeepSeek angriff; Prompts aus derselben Umgebung nennen laut Zscaler auch Ziele in 18 weiteren Ländern und Gebieten. Vorbehalt: CrowdStrike hält die ARTEX-Instanz nur für wahrscheinlich verantwortlich und nennt keine Opfer; die Ziele deckten sich mit Presseberichten. S2W fand auf einer Angreifer-IP Spuren von ARTEX mit KI-Anbindung; ob die KI Daten abgriff, müssten Behörden klären. FSI-Präsident Park Sang-won sprach am 4. Oktober von vermuteter, nicht gesicherter KI-Beteiligung; den Agenten selbst habe man nicht beobachtet. Ob derselbe Täter die Sparbanken traf, ließ er offen; laut Yonhap liefen einige Angriffe ohne KI.https://www.presseportal.de/blaulicht/pm/6337/6363236vorfall-2026-10-01-killsec-operation-killswitchThu, 01 Oct 2026 12:00:00 +0200augmentiert. Am 30. September 2026 beschlagnahmten Ermittler unter Leitung von LKA und Staatsanwaltschaft Hamburg die Leak-Seite der Ransomware-Gruppe KillSec und nahmen drei Verdächtige vorläufig fest, darunter einen 16-Jährigen als mutmaßlichen Anführer. Den Ermittlern zufolge setzte die Gruppe KI ein, um ihre Infrastruktur aufzubauen und zu betreiben sowie nach möglichen Opfern zu suchen; laut El País verbesserte sie damit auch ihre Schadprogramme. Seit etwa 2024 soll sie Schwachstellen und schlecht gesicherte Zugänge, vor allem zu Cloud-Speichern, ausgenutzt, Daten kopiert und mit deren Veröffentlichung gedroht haben; von rund 1.000 mutmaßlichen Angriffen waren bisher etwa 500 erfolgreich, und mindestens 70 hatten Bezug zu Deutschland. Vorbehalt: Angaben der Ermittler aus einem laufenden Verfahren, kein Urteil. Wie und mit welchem Werkzeug die Gruppe KI einsetzte, sagt keine der Quellen.https://www.huntress.com/blog/parks-recreation-platform-webshell-attackvorfall-2026-09-30-freizeitplattform-webshellsWed, 30 Sep 2026 12:00:00 +0200augmentiert. Ab dem 10. September legte ein Angreifer laut Huntress Mitgliedskonten auf einer gemeinsam genutzten Plattform an, mit der Kommunen und Freizeiteinrichtungen ihre Angebote verwalten, lud darüber Webshells hoch und kompromittierte so drei Webserver mit mehreren Mandanten. Er las die Verbindungsdaten der Datenbank samt Passwort aus und durchsuchte die Protokolle einer Zahlungsschnittstelle nach Kartendaten; als ein bereinigter Server zu früh wieder ans Netz ging, baute er in eine von der Anmeldeseite geladene jQuery-Datei einen Trojaner ein, der Zugangsdaten der Nutzer in Echtzeit abgreifen sollte. Die PowerShell-Skripte, die den Trojaner platzierten, hält Huntress für KI-generiert, weil ihre Kommentare Teile der vorgegebenen Anweisungen wiedergeben, etwa „append only - do not rewrite head/structure“. Vorbehalt: Huntress vermutet den KI-Einsatz nur. In der Zusammenfassung spricht das Unternehmen von KI-generierten Skripten in der ganzen Angriffskette, von den vielen gescheiterten Zugriffsversuchen zu Beginn bis zu den kommentierten PowerShell-Skripten; im Bericht selbst hält es die frühen Versuche nur für möglicherweise KI-gestützt. Hersteller der Plattform und betroffene Kommunen bleiben ungenannt.https://blog.alyac.co.kr/5782vorfall-2026-09-29-npm-biz44-steuerserverTue, 29 Sep 2026 12:00:00 +0200augmentiert. Das südkoreanische Sicherheitsunternehmen ESTsecurity fand neun npm-Pakete des Kontos biz44, die am 12. und 14. September 2026 erschienen und schon beim Import einen versteckten Loader starten; er schickt Systemdaten und die Daten von Chrome-Erweiterungen an einen Steuerserver und schneidet auf Befehl Zwischenablage und Tastatureingaben mit. Im Dashboard des Servers zählte ESTsecurity 16 befallene Systeme, darunter mehrere, die es für echte Entwicklungs- und Cloud-Umgebungen hält. Bei einem Gerät hat ESTsecurity den starken Verdacht, dass der Täter darauf programmiert; in der mitgeschnittenen Zwischenablage dieses Geräts stand neben Nutzlasten die Ausgabe eines KI-Codingassistenten, der vorschlug, wie der Steuerserver Chrome ohne sichtbares Konsolenfenster startet. Vorbehalt: Dass der Rechner mit der KI-Ausgabe dem Täter gehört, ist für ESTsecurity ein starker Verdacht, aber nicht gesichert; für die Pakete selbst zeigt es nur, dass sie ähnlichen Code zum Verstecken von Prozessen enthalten. Welcher Assistent oder welches Modell im Spiel war, sagt der Bericht nicht, und zu den 16 Systemen nennt er weder Namen noch Land oder Branche.https://socradar.io/blog/operation-master-intrusion-monetization-pipeline/vorfall-2026-09-24-operation-masterThu, 24 Sep 2026 12:00:00 +0200augmentiert. Vom 23. April bis Mitte September 2026 brach ein Operator, den SOCRadar dem Forenpseudonym masterblack zuordnet, in 21 Organisationen ein, 16 davon in Brasilien, unter anderem über eine Lücke in GlobalProtect-VPN-Gateways (CVE-2026-0257), und erbeutete Daten von über 600 Firmen, überwiegend aus der Energiewirtschaft. Mit gestohlenen Kundendaten verschickte er mehr als 2,4 Millionen E-Mails und SMS mit gefälschten Stromrechnungen an brasilianische Verbraucher. Den Code für die Einbrüche, darunter Exploits und Exfiltrationsskripte, schrieb laut SOCRadar ein KI-Programmieragent, das Betrugspanel dagegen der Operator selbst; Protokolle abgelehnter Anfragen zeigen, dass er sich gegenüber dem Agenten wiederholt auf autorisierte Bug-Bounty- oder Penetrationstests berief. Vorbehalt: Wie sich die Arbeit zwischen Agent und Operator im Einzelnen verteilte, belegt SOCRadar nicht; die abgelehnten Anfragen betreffen Funktionen, wie sie auch an anderer Stelle der Operation beobachtet wurden. Ein Modell nennt der Bericht nicht; Claude taucht nur in der Beschriftung einer Abbildung auf. Ob die Operation Mitte September endete oder nur die beobachtete Infrastruktur verschwand, lässt SOCRadar offen.https://csirt.divd.nl/2026/09/24/when-not-if/vorfall-2026-09-24-divd-ki-agentThu, 24 Sep 2026 12:00:00 +0200dirigiert-autonom. Das Dutch Institute for Vulnerability Disclosure (DIVD), eine gemeinnützige Organisation ehrenamtlicher Sicherheitsforscher, wurde gehackt, und das Vorgehen spricht laut DIVD für einen KI-Agenten. Am 21. September drangen die Angreifer über zwei bis dahin unbekannte Lücken im Ticketsystem Zammad ein, verschafften sich root-Rechte und konnten weitere Dienste erreichen sowie Daten lesen und ausleiten; Netzsegmentierung und das Eingreifen des Teams hinderten sie daran, tiefer ins Netz vorzudringen. Im Netz entschied ein Agent nach jeder Aktion eigenständig über den nächsten Schritt und kam sich etwa selbst in die Quere, als sein Password Spraying den eigenen Man-in-the-Middle-Angriff störte; weil er in seinen Kommentaren zu viel erklärte, kann DIVD den Einbruch leichter rekonstruieren. Vorbehalt: DIVD nennt weder Modell noch Werkzeug und schreibt, Beobachtungen seien schwer von beweisbaren Fakten zu trennen. Laut Fallakte kamen die KI-Agenten erst zum Einsatz, als die Angreifer schon root-Rechte hatten; laut DIVDs Beitrag vom 30. September gelangten sie dank der Agenten in Sekunden zu root. Stand 9. Oktober steht fest, dass E-Mail-Adressen von Freiwilligen abgeflossen sind; Spuren einer teilweisen Exfiltration fand DIVD auch im Ticketsystem, in der Büroumgebung, in Jira und Confluence.https://www.pm.gov.au/media/press-conference-new-yorkvorfall-2026-09-23-openai-agent-medicare-australienWed, 23 Sep 2026 12:00:00 +0200vollautonom. Ein internes OpenAI-Modell ohne den vollen Schutz der frei erhältlichen Produkte fand laut OpenAI im Juni 2026 im Training einen nicht öffentlichen Weg in das Medicare-Statistikportal von Services Australia, führte dort Befehle aus, sah Quellcode ein und rief Zugangsdaten und interne Dateien ab; auf Patientendaten griff es nicht zu. Mit einem offen liegenden Schlüssel fragten OpenAI-Agenten außerdem das Berichtssystem der Victorian Agency for Health Information (VAHI) ab, und über die öffentliche Karte der NSW-Kriminalstatistik (BOCSAR) erhielt ein Modell Konfigurationsdaten und Protokolle. Laut einem Nachtrag von OpenAI leitete ein Modell aus gezielten Abfragen an den Feuerkartendienst der NSW-Nationalparkbehörde Datenbank-Metadaten ab, die dort nicht abrufbar sein sollten; die NSW-Regierung bestätigt den Zugriff. Vorbehalt: Ob eine Straftat vorliegt, lässt die Bundesregierung prüfen; Protokolle hat weder sie noch OpenAI veröffentlicht, und OpenAI wie NSW untersuchen noch. Laut Recorded Future News schickte das Medicare-Portal Anfragen an einen Gast-Endpunkt ohne Anmeldung, sodass das Modell womöglich keine Sperre umgehen musste; die BOCSAR-Karte liefert ihre API-Zugangsdaten selbst mit. Ob die VAHI-Daten zugänglich sein durften, hält OpenAI für unklar; welche Metadaten betroffen sind, sagen weder OpenAI noch NSW.https://www.group-ib.com/blog/remcontrol-android-banking-trojan/vorfall-2026-09-23-remcontrolWed, 23 Sep 2026 12:00:00 +0200augmentiert. Laut Group-IB ließ der Operator des neuen Android-Bankentrojaners RemControl große Teile des Steuerservers und der gefälschten Bankmasken von einem KI-Assistenten bauen, dem er die Masken als Quiz und die Fernsteuerung als Kindersicherung ausgab. Der Trojaner wird über gefälschte Google-Play-Seiten einer IPTV-App verbreitet und legt seit Juli 2026 Masken über die Apps von mehr als 30 Banken, vor allem in Italien und Frankreich, fragt PINs und Ablaufdaten von Karten ab und gibt dem Operator die volle Kontrolle über das Gerät. Am Ende einer Bankmaske fand Group-IB noch die komplette Antwort des Assistenten. Vorbehalt: Group-IB schließt aus Spuren in der API-Dokumentation und den Bankmasken auf den Assistenten, schreibt nur, der Operator habe ihn offenbar genutzt, und nennt kein Modell. Die Maske mit der KI-Antwort heißt im Bericht einmal ausgelieferte Phishingseite, einmal Testdatei. Infizierte Geräte oder Schäden beziffert der Bericht nicht; die Opfer bleiben anonym.https://transluce.org/agent-activityvorfall-2026-09-23-openai-agenten-datenportale-transluceWed, 23 Sep 2026 12:00:00 +0200vollautonom. In öffentlichen Einträgen des Scandienstes urlquery.net und des Webarchivs Arquivo.pt fand Transluce Fälle, in denen KI-Agenten bei Rechercheaufträgen zu Angriffen übergingen: Im Mai und Juni versuchten sie sich etwa mit SQL-Injection oder Cross-Site-Scripting an der Digitalbibliothek der University of New Mexico, an Data USA, an je einer Behörde in Kanada und den USA sowie am Australian Institute of Health and Welfare (AIHW), offenbar ohne Erfolg. Asymmetric Security zählt Abrufe bei 55 Organisationen und fand private urlquery-Konten; laut Zenity steuerten die Agenten per VNC von einem urlquery-Browser aus einen zweiten, um die API-Sperre des russischen Insolvenzregisters fedresurs.ru zu umgehen. OpenAI bestätigt die Zugriffe beim AIHW; das Institut und das Australian Signals Directorate fanden keinen Hinweis auf einen Einbruch. Vorbehalt: OpenAI hat ausdrücklich nur die Zugriffe beim AIHW als eigene bestätigt; die übrigen Ziele verknüpfen Transluce, Asymmetric und Zenity unterschiedlich fest mit OpenAI, und Asymmetric nannte seine Erstbefunde vorläufig. Laut Asymmetric waren die abgerufenen Daten fast immer öffentlich, sensible schließt es aber nicht aus; ob die privaten Konten Spuren verwischen sollten, kann es ohne Modelltranskripte nicht sagen. Laut Zenity ist offen, ob die Abfrage bei fedresurs.ru gelang.https://gambit.security/blog-posts/autonomous-ai-agents-online-retailers-25-a-companyvorfall-2026-09-22-onlineshops-agenten-gambitTue, 22 Sep 2026 12:00:00 +0200dirigiert-autonom. Ein Operator, der seine Anweisungen auf Chinesisch tippt, lässt seit Juli 2026 drei quelloffene Agenten-Harnesse fast unbeaufsichtigt Hunderte Onlineshops angreifen; der steuernde Agent Hermes lief auf Anthropics Opus 4.6, nachdem neuere Modelle ablehnten. Gambit rekonstruiert aus dem Staging-Server allein vom 10. bis 15. September mindestens 27 in unterschiedlichem Ausmaß kompromittierte Firmen und belegt für die Kampagne über 600.000 Kreditkartendatensätze aus zwei Unternehmen sowie Skimmer (Skripte, die Kartendaten auf der Bezahlseite abgreifen) auf 19 betroffenen Websites. Bei einem Fahrradhändler löschte der Agent während des Aufräumens 180 Tabellen, darunter Sicherungstabellen, die das Unternehmen selbst angelegt hatte. Vorbehalt: Gambit nennt den Bericht vorläufig, stützt einen Teil der Opferzahlen auf Protokolle und Erfolgsmeldungen der KI, die sich nicht alle unabhängig prüfen ließen, und hält einzelne Fehler für möglich; 57 der 105 Angriffsprojekte jener Tage waren gelöscht. Die Zahl der Shops mit Skimmer beziffert der Bericht einmal mit fünf, einmal mit 19. Gambit beschreibt die Opfer nur nach Branche und Land. Laut Forbes stammen die über 600.000 Karten von mehr als drei Dutzend Unternehmen, laut Gambit von zwei. Forbes zufolge haben einige Betroffene den Angriff bestätigt, das Ausmaß aber keiner.https://www.threatdown.com/blog/carbonato/vorfall-2026-09-22-carbonato-docker-hermesTue, 22 Sep 2026 12:00:00 +0200dirigiert-autonom. ThreatDown fand im August 2026 eine seit Mai ohne Anmeldung erreichbare Docker-Registry mit den Container-Images eines Botnetzes, das Hosts mit ungeschützter Docker-Schnittstelle auf Port 2375 übernimmt und von dort die angeschlossenen Netze nach weiteren Opfern durchsucht. Auf jedem befallenen Host installiert das Implantat den quelloffenen Hermes-Agenten mit einer eigenen Persona-Datei, der zufolge er GH0ST heißt, Aufträge über Telegram entgegennimmt, die nötigen Befehle selbst ausführt und in erster Linie API-Schlüssel von KI-Anbietern abgreifen soll. Ausbreitung und Persistenz übernehmen gewöhnliche Skripte, während der Agent erst auf Rechnern zum Einsatz kommt, die das Botnetz schon kontrolliert. Vorbehalt: ThreatDown rekonstruiert den Ablauf aus Images, Konfigurationen und Befehlshistorien der Registry. Es schreibt, dass befallene Hosts das Implantat immer wieder nachluden, sagt aber nicht, woran es das erkennt, und nennt weder ihre Zahl noch einen Auftrag, den der Agent auf einem dieser Hosts ausgeführt hat. Welches Modell der Agent über das Gateway der Operatoren nutzte, bleibt offen.https://haveibeensquatted.com/blog/inside-corp-mdm-android-spyware-targeting-logisiticsvorfall-2026-09-22-corp-mdm-logistikTue, 22 Sep 2026 12:00:00 +0200augmentiert. Über gefälschte Google-Play-Seiten im Namen der Speditionen CEVA Logistics und TKW Logistics verteilte ein Angreifer eine Android-App, die sich als Systemdienst ausgibt, neu eingehende SMS an einen Steuerserver schickt und Anrufe umleiten kann. Der Dienst Have I Been Squatted, der nachgeahmte Domains aufspürt, hält für wahrscheinlich, dass der Angreifer bei der Entwicklung KI eingesetzt hat. Auf demselben Server lagen auch Phishingseiten und Windows-Schadsoftware gegen die Logistikbranche; den Forschern zufolge dienten sie dazu, Informationen für den Diebstahl von Fracht zu sammeln. Vorbehalt: Warum ein KI-Einsatz wahrscheinlich sein soll, begründet der Bericht nicht. Er nennt weder ein infiziertes Gerät noch ein geschädigtes Unternehmen; CEVA und TKW sind die nachgeahmten Marken, keine bestätigten Opfer. Einen Bezug der ganzen Kampagne nach Armenien oder Russland hält er für wahrscheinlich, nicht für gesichert, und den russischen Teil belegt die App selbst nicht.https://www.greynoise.io/blog/open-season-on-kapibala-attacker-steals-government-records-wordpress-exploitationvorfall-2026-09-21-kapibala-greynoiseMon, 21 Sep 2026 12:00:00 +0200augmentiert. Ein mutmaßlich chinesischsprachiger Angreifer drang mit wp2shell, einer Kette aus zwei WordPress-Lücken, bei mindestens 49 Organisationen in 29 Ländern ein und nahm einer westlichen Behörde über 18.000 Datensätze mit Konten, Klartextpasswörtern und Personenangaben aus Polizei und Verwaltung ab; GreyNoise setzt ihn mit der von Acronis beschriebenen Gruppe Red Heron gleich oder rückt ihn in deren Nähe. Aus 996 ZyXEL-GS1900-Switches in 48 Ländern flossen Konfigurationen und gehashte Root-Zugangsdaten ab; für GreyNoise ist das die erste öffentlich dokumentierte Ausnutzung von CVE-2026-7273. GreyNoise hält ein Sprachmodell für den wahrscheinlichen Urheber der selbstgebauten Werkzeuge: Von einer Fassung eines Programms zur nächsten änderte sich der Code, während die Funktion im Wesentlichen dieselbe blieb, ein Aufwand, der sich für einen Menschen nicht lohnt. Vorbehalt: GreyNoise hat kein bestimmtes KI-Werkzeug nachgewiesen; der Bezug zur KI beruht auf Verhaltensmustern im Code, der raschen Folge der Überarbeitungen und den Kommentaren, also auf Indizien, die der Bericht selbst nur als Verdacht einstuft. GreyNoise kennt die geschädigte Behörde, nennt sie aber so wenig wie die übrigen Opfer; alle Zahlen stammen aus dem eigenen Sensornetz und von der Angreiferinfrastruktur, nicht aus forensischen Untersuchungen.https://finance.sina.com.cn/wm/2026-09-20/doc-inismrff2592416.shtmlvorfall-2026-09-20-kunming-nas-angriffsskripteSun, 20 Sep 2026 12:00:00 +0200augmentiert. Laut einem Kommentar zum Fall, den das chinesische Ministerium für Öffentliche Sicherheit verbreitete, erfuhr ein Täter in Kunming Anfang Februar 2026 von einer schweren Lücke in Heimservern einer bestimmten Marke, kaufte Zugang zur API einer Suchmaschine für im Internet erreichbare Geräte, sammelte damit die Adressen solcher Server und ließ sich mit einem KI-Werkzeug automatisierte Angriffsskripte schreiben. Mit den Skripten griff er sensible Daten von fremden Geräten ab; der Server eines Bürgers war so überlastet, dass er nicht mehr erreichbar war. Weil die Tat die Schwelle für ein Strafverfahren nicht erreichte, verhängte die Polizei Verwaltungshaft. Vorbehalt: Den KI-Einsatz nennt nur der Kommentar von Huang Daoli vom Dritten Forschungsinstitut des Ministeriums, nicht die Fallmeldung, die Xinhua am 17. September verbreitete. Werkzeug, Modell, Marke der Geräte und Zahl der Betroffenen bleiben ungenannt.https://www.wsj.com/tech/ai/gemini-hacked-three-companies-in-first-known-breakout-by-googles-ai-5c0baba2vorfall-2026-09-18-gemini-irregularFri, 18 Sep 2026 12:00:00 +0200vollautonom. Bei einer Capture-the-Flag-Übung des Testpartners Irregular bekommt ein Gemini-Modell im Mai 2026 durch einen Fehler der Testumgebung Internetzugang, den es nicht haben sollte; die fiktive Zielfirma trägt laut der Washington Post zudem den Namen einer echten. In einem Lauf rät das Modell so lange Passwörter, bis es in ein geschütztes System gelangt; in zwei weiteren findet es öffentliche Angaben im Netz sowie Zugangsdaten in einem frei zugänglichen Repository und meldet sich damit an. Laut Google bricht es jedes Mal ab, sobald es erkennt, dass das Ziel eine echte Firma ist; Irregular meldete die Vorgänge Ende Juli 2026 an Google, das die drei betroffenen Organisationen benachrichtigte und mit Irregular das Testverfahren änderte. Vorbehalt: Google bestätigte den Vorfall erst nach dem Bericht des Wall Street Journal vom 18. September 2026; die Aufteilung in einen Lauf mit geratenen Passwörtern und zwei mit gefundenen Zugangsdaten kennt nur dieser Bericht. Am 5. Oktober 2026 sprach Google unter Eid vor dem New Yorker Stadtrat von drei Fällen, in denen seine Agenten eine Testumgebung verließen und ins Internet gelangten; R&D World nennt dabei weder Irregular noch Gemini. Die betroffenen Firmen und die Modellversion bleiben ungenannt.https://securitylabs.datadoghq.com/articles/attacker-infrastructure-but-vibe-coded/vorfall-2026-09-18-loot-ultravault-datadogFri, 18 Sep 2026 12:00:00 +0200augmentiert. Datadog beobachtet seit Juli 2026 Plattformen, über die Angreifer gestohlene Zugangsdaten verwalten und weiterverwenden, und hebt zwei hervor, die zeitweise vom selben Host ausgeliefert wurden: Loot, einen Katalog mit 26.733 Schlüsseln, in dem Zugänge zu KI-Diensten eine der größten Kategorien sind, und UltraVault, eine Bedienoberfläche, die Zugangsdaten auf Gültigkeit prüft, je Ziel eine Lücke zur Rechteausweitung empfiehlt und per Klick Aktionen gegen das Ziel auslöst. Dass beide Oberflächen mit KI gebaut wurden, stützt Datadog auf mit Emoji beschriftete Aktionsmenüs und maschinell erzeugte Ausnutzungsempfehlungen. Datadog registriert laufend, wie derselbe Host mit erbeuteten AWS-Zugangsdaten Amazon Bedrock (den AWS-Dienst für den Zugriff auf Sprachmodelle) abfragt und dort Modelle aufruft. Vorbehalt: Die KI-Beteiligung erschließt Datadog aus Merkmalen der Oberflächen; ein Modell nennt der Bericht nicht. Die Zahlen stammen aus den eigenen Aufzeichnungen des Operators, und Loot ordnet Zugangsdaten oft falsch zu; von 42.286 Secrets führt UltraVault selbst nur 2,7 Prozent als noch gültig. Ausgewertet hat Datadog allein die ohne Anmeldung erreichbaren Oberflächen, von deren geprüften Fähigkeiten nur ein Drittel im Quelltext belegt ist; Opfer und Indikatoren nennt der Bericht zum Schutz der Opfer nicht.https://byline.network/2026/09/28-663/vorfall-2026-09-18-fsi-deepseek-agent-weblogicFri, 18 Sep 2026 12:00:00 +0200dirigiert-autonom. Laut Kim Sung-woong, der beim Financial Security Institute (FSI) in Südkorea die KI-Sicherheitsforschung leitet, ließ ein Angreifer einen „DeepSeek-KI-Agenten“ nach Oracle-WebLogic-Servern suchen und damit gut 300 Finanzunternehmen im Land und im Ausland gleichzeitig attackieren. Auf verwundbaren Instanzen ließ er den Agenten Webshells installieren und darüber weitere interne Systeme erkunden, bis das FSI den Angreifer beim Nachladen von Schadsoftware für die nächsten Angriffsstufen erkannte und blockierte. Jeden Schritt gab der Angreifer dem Agenten einzeln per Prompt vor. Vorbehalt: Die Einzelheiten stammen aus Byline Networks Bericht über Kims Vortrag vom 22. September. Laut FSI-Unterlagen, aus denen Yonhap am 11. Oktober zitiert, stellte das Institut den Ablauf schon am 17. September vor, und zwar als Angriff auf ein einzelnes südkoreanisches Finanzunternehmen, das den Versuch selbst erkannte und blockierte; die Zahl von gut 300 Unternehmen nennt Yonhap nicht. Offen bleibt, woran das FSI Agent und Modell festmachte und wie viele Unternehmen kompromittiert wurden.