KI führt eigenständig Cyber-Attacken aus

Der KI-Agent JadePuffer soll die komplette Angriffskette eigenständig ausführen und sogar auf Fehlschläge reagieren können.
acceptphoto | shutterstock.com



Dass Künstliche Intelligenz (KI) die Cyber-Sicherheit verändert, ist längst bekannt. Bislang war jedoch bei KI-gestützten Cyberattacken regelmäßiger menschlicher Input vonnöten, zum Beispiel, um auf Fehlschläge zu reagieren.   



Jetzt hat das Sicherheitsunternehmen Sysdig den ersten Ransomware-Angriff dokumentiert, der offenbar vollständig von einem LLM-basierten KI-Agenten durchgeführt wurde. Die Experten haben den Eindringling, der die gesamte Angriffskette eigenständig ausführte – vom anfänglichen Eindringen bis zur Verschlüsselung der Daten des Opfers – auf den Namen JadePuffer getauft.



CVE in Langflow ausgenutzt



Der Angriff begann laut Sysdig damit, dass JadePuffer die Sicherheitslücke CVE-2025-3248 im Open-Source-KI-Framework Langflow ausnutzte. Danach wechselte der Agent auf einen Produktionsserver, auf dem MySQL und Alibabas Konfigurationsplattform Nacos liefen, das eigentliche Ziel des Angriffs. Sämtliche Payloads wurden den Forschern zufolge als Base64-kodierter Python-Code über den Endpunkt für Remote Code Execution von Langflow eingeschleust. Den Experten zufolge nutzte der KI-Agent hierfür ein LLM, um seine Aktionen anzupassen und die mehr als 600 koordinierte Payloads auszuführen.



Anschließend sammelte der Agent sensible Informationen, beschaffte sich Authentifizierungsdaten und breitete sich lateral auf andere Systeme im Netzwerk aus. Die Attacke endete damit, dass JadePuffer mehr als 1.300 Konfigurationseinträge auf einem Nacos-Server verschlüsselte und ein Lösegeld in Bitcoin forderte.



Selbstständiges Reagieren auf Fehler



Der Clou bei diesem Agenten: Laut Sysdig passte sich die KI selbstständig an, wenn Probleme auftraten. Schlug ein Angriffsschritt fehl, änderte JadePuffer automatisch seine Vorgehensweise und fand innerhalb von nur 31 Sekunden eine funktionierende Lösung – ein Verhalten, das dem eines menschlichen Angreifers ähnelt.



Laut Sysdig untermauern sowohl dieses Verhalten als auch die Tatsache, dass der Agent „self-narrating“ Code und kontextbezogene Schlussfolgerung verwendete, die Einschätzung, dass der Vorgang LLM-gesteuert war.



Konkret stufen die Forscher JadePuffer deshalb als „agentischen“ Bedrohungsakteur ein: Das bedeutet, dass die Angriffsfunktionen von einem KI-Agenten bereitgestellt wurden und nicht von einem menschengesteuerten Toolkit. (tf)



Dieser Artikel basiert auf Beiträgen von Computersweden und CSO.com.