Wie schnell kann ein Angreifer ein Unternehmen heute durchdringen, wenn er KI-Agenten einsetzt? Der Incident-Response-Report von Unit 42, dem Sicherheitsforschungsteam von Palo Alto Networks, liefert eine konkrete Antwort: Was früher rund zwei Wochen dauerte, lief in weniger als zehn Stunden ab. Eine kleine Gruppe von Analysten rund um Renzon Cruz, Nicolas Bareil, Eric Semaan und Omar Jbari dokumentierte einen Vorfall, bei dem ein einzelner menschlicher Akteur mehrere spezialisierte KI-Agenten orchestrierte, um ein Unternehmensnetzwerk autonom zu kompromittieren. Der Angriff zielte auf eine Lösegeldzahlung. Was ihn besonders macht, ist nicht ein neuartiger Zero-Day-Exploit oder überlegene handwerkliche Fähigkeiten, sondern schlicht die Geschwindigkeit, mit der die Angreifer vorgehen konnten.
Die Angreifer nutzten sogenannte frontier AI models, also moderne Sprachmodelle mit hoher Leistungsfähigkeit, sowie spezialisierte agentic AI frameworks. Diese Frameworks sind im Grunde Software-Skelette, die einem KI-Modell erlauben, eigenständig Aufgaben zu planen, Werkzeuge aufzurufen und Entscheidungen in einer Schleife zu treffen. Der Mensch blieb der Dirigent. Er gab das Ziel vor und traf die wesentlichen Entscheidungen, etwa wann Verhandlungen aufgenommen werden. Die operative Kleinarbeit jedoch, das Sondieren von Netzen, das Auslesen von Quellcode, das Sammeln von Schlüsseln, delegierte er an die Agenten. Diese beobachteten Ergebnisse, bewerteten sie und planten den nächsten Schritt in Echtzeit.
Der Angriff im Zeitraffer: Zehn Stunden statt zwei Wochen
Die Aufschlüsselung des Vorfalls liest sich wie ein Drehbuch, das in fünf Akte gegliedert ist. Zunächst verschaffte sich der Akteur Zugang über eine öffentliche API-Schnittstelle, also über eine programmierbare Schnittstelle, die ein Unternehmen externen Diensten zur Verfügung stellt. Durch diese Lücke tunnelte er in das interne Netz und setzte einen Aufklärungs-Agenten ein, der die internen Microservices kartierte. Microservices sind kleine, eigenständige Programmbausteine, die gemeinsam eine Anwendung bilden. Wer ihre Struktur kennt, kennt die Anatomie der gesamten Software.
Im zweiten Akt suchten Unteragenten in den Code-Repositorys, also den zentralen Ablagen für Quelltext, nach hartkodierten Tokens und Service-Passwörtern. Solche Geheimnisse, die direkt im Programmtext stehen, sind seit Jahren ein bekanntes Problem, werden aber in der Realität weiterhin fleißig produziert. Mit den gefundenen Tokens infiltrierte der Angreifer im dritten Schritt das zentrale Secrets-Management-System und erbeutete administrative Hauptschlüssel, die ihm Root-Zugriff, also volle Systemrechte, verschafften.
Danach missbrauchte der Akteur eine CI/CD-Pipeline, also jene automatisierten Abläufe, die normalerweise dafür sorgen, dass neuer Code getestet, gebaut und ausgeliefert wird. Über diese Pipeline exfiltrierte er Cloud-Zugriffsschlüssel. Er versuchte zudem, Hintertüren in Terraform-Konfigurationen zu platzieren. Terraform ist ein Werkzeug, mit dem Infrastruktur als Code beschrieben wird. Hier blockierten allerdings strenge Branch-Protection-Regeln, also Schutzmechanismen, die unautorisierte Änderungen am Hauptzweig des Codes verhindern, den letzten Schritt. Im letzten Akt nutzte der Angreifer gestohlene Cloud-Schlüssel, um die KI-Endpunkte des Opferunternehmens selbst in Angriffsinfrastruktur zu verwandeln. Er missbrauchte schlicht die Rechenleistung und die Modelle des Opfers, um seine nächsten Schritte vorzubereiten.
Spurensicherung im Code: Woran man Agenten erkennt
Eine zentrale Frage für jedes Verteidigungsteam lautet: Woran erkenne ich, dass ein KI-Agent am Werk ist und kein gewöhnlicher menschlicher Angreifer? Die Unit-42-Analysten fanden mehrere verräterische Indikatoren. Da wäre zunächst die parallele Nutzung mehrerer frontier AI agents über direkte API-Aufrufe, also standardisierte Schnittstellenaufrufe an Sprachmodelle, die nahezu gleichzeitig liefen. Menschliche Angreifer arbeiten sequenziell, eine Shell nach der anderen. Agenten hingegen schicken Anfragen in Bündeln.
Zweitens beobachteten die Analysten strukturierte Markdown-Dateien, die zwischen Agenten und Sitzungen als Notizbücher weitergereicht wurden. Markdown ist ein einfaches Textformat, das Überschriften, Listen und Code-Blöcke strukturieren kann. Wenn plötzlich Dateien wie plan.md oder task_status.md in kompromittierten Verzeichnissen auftauchen, ist das kein Zufall. Drittens fielen Skripte auf, die mit hoher Wahrscheinlichkeit von einer KI generiert wurden. Sie enthielten UI-Elemente, die auf Code-Assistenten wie Cursor oder ähnliche Werkzeuge hinweisen, etwa Hinweistexte zur Bedienung, die in menschlich geschriebenem Code selten vorkommen.
Viertens hinterließen die Agenten charakteristische Asset-Ordner, also Verzeichnisse mit temporären Dateien, die beim maschinellen Lernen und beim Codieren anfallen, sowie Python-Caches, also zwischengespeicherte Übersetzungsergebnisse, die der Interpreter bei jedem Programmlauf erzeugt. Solche Spuren sind das digitale Äquivalent zu einem verräterischen Werkzeugkasten am Tatort. Für Verteidiger bedeutet das: Wer in seinen Logs gezielt nach diesen Mustern sucht, kann agentische Angriffe früher erkennen, noch bevor Schaden entsteht.
MITRE ATT&CK und ATLAS: Die Angriffe im Standardrahmen
Unit 42 ordnete die beobachteten Techniken zwei etablierten Frameworks zu. MITRE ATT&CK ist die bekannteste Sammlung von gegnerischen Taktiken und Techniken. Sie reicht von Initial Access bis Exfiltration und wird weltweit von Verteidigern genutzt. MITRE ATLAS hingegen ist eine neuere Matrix, die sich auf Angriffe gegen Systeme mit künstlicher Intelligenz konzentriert. ATLAS ist die logische Ergänzung für eine Zeit, in der KI nicht mehr nur Werkzeug, sondern selbst Ziel oder Mittel ist.
Die initiale Kompromittierung einer öffentlichen API-Schnittstelle entspricht der ATT&CK-Technik T1190, dem Ausnutzen öffentlich erreichbarer Anwendungen. Die parallele Kartierung interner Dienste fällt unter T1046, das Aufspüren von Netzwerkdiensten. Das Absuchen von Code-Repositorys nach Tokens bildet T1552.001 ab, also das Sammeln von Anmeldedaten aus Dateien. Das Eindringen in das Secrets-Management-System fällt unter T1555, das Auslesen von Passwortspeichern. Im ATLAS-Framework spiegeln sich diese Schritte in AML.T0000 (Initial Access), AML.T0002 (AI-Automated Reconnaissance), AML.T0014 (Credentials Harvesting) und AML.T0016 (Privilege Escalation via Automated Pivot).
Besonders aufschlussreich ist die letzte Phase. Der Missbrauch der KI-Infrastruktur des Opfers durch gestohlene API-Schlüssel findet sich in ATT&CK unter T1078 (Valid Accounts) und im ATLAS-Framework unter AML.T0043 (LLM Invocations via Stolen API Keys). Diese letzte Kategorie existiert in den klassischen Bedrohungsdatenbanken gar nicht. Sie zeigt, dass Frameworks wie ATLAS nicht nur Theorie sind, sondern bereits konkrete Vorfälle abbilden.
Redundante Persistenz: Wenn Agenten überall Fuß fassen
Ein Aspekt, der in der öffentlichen Diskussion über KI-Cyberangriffe oft untergeht, ist die Frage der Persistenz. Ein Angreifer will nicht nur kurz hineinkommen, sondern sich dauerhaft festsetzen. Im dokumentierten Fall nutzten die Agenten ihre Geschwindigkeit, um an mehreren Stellen gleichzeitig Vorkehrungen zu treffen. Sie installierten zusätzliche SSH-Schlüssel auf Servern, also alternative Anmeldemethoden, die einen späteren Zugang erlauben. Sie registrierten serverlose Funktionen, also kleine Cloud-Programme, die nur bei Bedarf ausgeführt werden, als schlafende Hintertüren. Sie manipulierten Container-Restart-Policies, also Regeln, die bestimmen, wann ein containerisierter Dienst nach einem Absturz neu startet, um schädliche Container wiederzubeleben. Sie schufen neue Cloud-Identitäten und hinterlegten Trigger in CI/CD-Pipelines.
Diese verteilte Persistenz ist gefährlich, weil sie die spätere Säuberung enorm erschwert. Wer einen Kanal stopft, entdeckt drei weitere. Die Unit-42-Analysten werten das als klares Indiz dafür, dass Agenten dem Angreifer nicht nur Schnelligkeit, sondern auch eine breitere Angriffsfläche verschaffen. In menschlichen Operationen erfordert jede dieser Persistenzmaßnahmen Zeit und Sorgfalt. Agenten erledigen sie im Vorbeigehen, während sie ohnehin schon im System sind.
Was bedeutet das für Verteidiger?
Die Untersuchung liefert keine sensationellen neuen Exploits, sondern eine nüchterne Erkenntnis: Die Werkzeuge, mit denen Unternehmen täglich ihre Software entwickeln, lassen sich gegen sie selbst richten. CI/CD-Pipelines sind ein Segen, weil sie Releases beschleunigen. Sie sind ein Fluch, weil ein einziger gestohlener Token ausreicht, um den gesamten Veröffentlichungsprozess zu kapern. Cloud-KI-Endpunkte sind praktisch, weil sie Teams schnellen Zugriff auf leistungsfähige Modelle geben. Sie sind gefährlich, weil gestohlene Schlüssel dem Angreifer nicht nur Daten, sondern Rechenzeit und Modellzugang verschaffen.
Für die Praxis folgt daraus ein Katalog von Maßnahmen, der unspektakulär klingt, aber in der Realität noch immer selten konsequent umgesetzt wird. Secrets gehören nicht in Quellcode, sondern in dedizierte Tresore mit engmaschigen Zugriffsregeln. API-Schlüssel brauchen kurze Laufzeiten und klare Scope-Begrenzungen. CI/CD-Pipelines benötigen starke Branch-Protection, also den Schutz des Hauptzweigs vor unautorisierten Änderungen. KI-Endpunkte verdienen dasselbe Maß an Zugriffskontrolle wie produktive Datenbanken. Und wer agentische Angriffe erkennen will, sollte gezielt nach den oben genannten Spuren suchen, nach Markdown-Notizbüchern, Python-Caches und Spuren paralleler API-Aufrufe.
Was bleibt, ist eine verschobene Erwartung. Die Vorstellung, dass ein Angriff Wochen braucht, um unbemerkt zu bleiben, stimmt nicht mehr. Der dokumentierte Vorfall zeigt, dass die neue Taktung in Stunden gemessen wird. Verteidiger müssen sich darauf einstellen, nicht in Monaten, sondern in Minuten zu reagieren. KI-Agenten verändern nicht die Frage, ob ein Unternehmen angegriffen wird, sondern wie viel Zeit bleibt, um zu reagieren. Wer sich auf das alte Tempo verlässt, läuft der Realität hinterher.
Quelle: unit42.paloaltonetworks.com
