Wie stark automatisieren KI-Agenten Angriffe auf japanische Systeme? Ein einfaches Ja oder Nein reicht dafür nicht. Der Bericht „Not Only ARTEX“ von TrendAI, dessen japanische Fassung am 23. Oktober 2026 erschien, untersucht drei Angriffsinfrastrukturen, die 2026 gegen Organisationen in Japan aktiv waren. In der ersten steuern KI-Agenten den gesamten Ablauf, in der zweiten ist KI ein Werkzeug unter menschlicher Führung, in der dritten hilft sie nur bei einzelnen Entwicklungsschritten. Die Fälle unterscheiden sich nicht nur graduell. Sie zeigen, wie verschieden KI-gestützte Cyberangriffe in der Praxis aussehen.
Man kann sich die drei Fälle als drei Werkstätten vorstellen. In der ersten arbeitet ein erfahrener Handwerker, der gelegentlich eine Maschine nutzt. In der zweiten delegiert ein Vorarbeiter viele Aufgaben an einen sehr schnellen Gehilfen, behält aber die Entscheidungen selbst. In der dritten Halle erledigen Roboter den größten Teil der Arbeit, während der Mensch nur die Werkzeuge weiterentwickelt. In allen drei Fällen bleibt eines gleich: Auch die automatisierte Werkstatt braucht eine Tür, die sich öffnen lässt.
Was der Bericht über die Lage in Japan sagt
Im Herbst 2026 häuften sich in Japan Meldungen über Datenabflüsse aus Web-Systemen. Die nationale Cybersicherheitsbehörde veröffentlichte am 9. Oktober 2026 eine Warnung an Unternehmen. Der Vorsitzende des Cyber-Sicherheitsausschusses der Regierungspartei nannte den Cyberraum einen „Ausnahmezustand“. Die Sorge wächst, dass KI Angriffe schneller, breiter und schwerer erkennbar macht. Der Bericht ordnet diese Sorge ein, bestätigt sie aber nicht pauschal.
Die Autoren stützen sich auf Dateien, die Angreifer in öffentlich erreichbaren Serververzeichnissen hinterlassen haben, oft als offene Verzeichnisse bezeichnet. Diese Dateien enthalten Werkzeuge, Skripte, Ziellisten, Ergebnisse, Protokolle und Befehlsverläufe. Es fehlen Protokolle von Opfern, Datenträgerabbilder und Netzwerkaufzeichnungen. Die Analyse zeigt also, was Angreifer vorbereitet, versucht und protokolliert haben. Sie belegt nicht, ob jeder einzelne Versuch erfolgreich war. Diese Unterscheidung zwischen Versuch und Kompromittierung zieht sich durch den gesamten Bericht.
Drei Angriffsinfrastrukturen, drei Grade der Automatisierung
Der Begriff Angriffsinfrastruktur meint die Serverumgebung, die ein Angreifer für seine Operation nutzt. Dazu gehören Aufklärungswerkzeuge, Skripte, Zieldaten, Ergebnisse und die Steuerung der angegriffenen Systeme. Die drei untersuchten Umgebungen unterscheiden sich in zwei Punkten: wie viel des Ablaufs KI übernimmt und wie sicher sich diese Beteiligung belegen lässt. Fall A beschreibt eine autonome KI-Angriffsinfrastruktur, in der ein Agentenrahmen den gesamten Workflow ausführt. Fall B zeigt eine menschlich geführte Operation, in der ein großes Sprachmodell Planung und Werkzeugentwicklung beschleunigt.
Fall C bleibt bei einer begrenzten Rolle der KI, vor allem bei der Entwicklung von Werkzeugen. Die drei Fälle sind nicht mit ARTEX identisch, dem autonomen KI-System für Penetrationstests aus früheren Berichten. Sie liefen alle im Jahr 2026, und ein großer Teil ihrer Aktivität lag vor den bereits veröffentlichten ARTEX-Analysen. Nebeneinander ergeben die Fälle eine klare Abstufung von vollständiger Automatisierung bis zu punktueller Hilfe. In allen drei Infrastrukturen finden sich Dateinamen und Notizen auf vereinfachtem Chinesisch. Der Japan-Bezug wird über Bezeichnungen wie jp_success, jp_attack und jp_cve_attack sichtbar.
Fall A: Wenn KI-Agenten den gesamten Ablauf übernehmen
Fall A ist das deutlichste Beispiel für eine KI, die den Angriff nicht nur unterstützt, sondern trägt. Die Autoren belegen die missbräuchliche Nutzung von CyberStrikeAI, einem Open-Source-Werkzeug für KI-gestützte Penetrationstests, das um KI-Agenten herum gebaut ist. Die exponierte Verwaltungskonsole war auf vereinfachtem Chinesisch beschriftet. Aufklärung, Suche und Prüfung von Schwachstellen, Ausnutzung, Steuerung und Kontrolle der angegriffenen Systeme, Persistenz, Datenabfluss und automatisierte Berichte bildeten einen einzigen, wiederholbaren Ablauf. Die Arbeit war unter Agenten mit unterschiedlichen Rollen aufgeteilt; Einträge wie „credential-search agent 8/44“ belegen eine Konfiguration mit 44 Agenten, die sich die Aufgaben teilten.
Die Plattform erzeugte auch Material in der Sprache des Ziellandes, darunter japanische Formulare und gefälschte Anmeldeseiten. Die offene Konsole enthielt Anzeigen für Erfolgsquoten von Werkzeugen, Token-Verbrauch und die Erstellung von Stapelaufträgen. Das passt zu einer Umgebung, die Arbeit auf viele Agenten verteilt und automatisch ausführt. In kurzer Zeit wurden mindestens 19 erkennbare Organisationen geprüft, darunter mindestens 16 in Japan. Jede hatte einen Bericht im gleichen Format und einen Index der Belege. Das spricht für einen strukturierten Prozess der Plattform, nicht für zufällige Notizen eines Bedieners.
Die Plattform arbeitete viele Ziele parallel ab und drosselte den Angriffsverkehr pro Ziel, um Erkennung zu vermeiden. Aus Sicht eines einzelnen Unternehmens ist eine solche Aktivität schwer zu erkennen. Trotz der Zahl der Ziele blieb echter tiefer Kompromittierungserfolg selten. Für viele Ziele notierte die Plattform selbst „no session, no web shell, no exfiltration“. Die klarste Eindringkette begann an einer nicht authentifizierten, öffentlich erreichbaren Administrationsoberfläche eines alten Web-Systems. Eine neue Schwachstelle war nicht im Spiel. Die KI veränderte Umfang und Wiederholbarkeit des Angriffs, aber sie brauchte weiterhin einen vorhandenen Einstiegspunkt.
Fall B: Menschliche Führung mit KI als Beschleuniger
Fall B zeigt eine andere Arbeitsteilung. Hier führte ein Mensch die Operation, nutzte KI aber umfangreich als Werkzeug. Ein großes Sprachmodell beschleunigte die Planung und die Entwicklung von Werkzeugen; der Bediener traf die Entscheidungen und delegierte ausgewählte Aufgaben. Der direkteste Beleg war eine Ausgabedatei mit einem Angriffsplan, den ein Sprachmodell erzeugt hatte. Darin fanden sich Aufklärungs- und Angriffspläne für Dienste, die KI- und GPU-Ressourcen bereitstellen. Zusätzlich stellte der Angreifer seine Anfrage als legitime Arbeit dar, nämlich als autorisierte Prüfung. Diese falsche Prämisse sollte die Sicherheitsvorgaben des Modells umgehen.
KI-Infrastruktur wurde selbst zum Ziel. Die Listen des Bedieners enthielten KI-Workflow-Plattformen, Plattformen zur Vorverarbeitung für Sprachmodelle und Inferenzdienste. Die Autoren fanden Werkzeuge und Mechanismen, die Zugang zu KI-Diensten anderer übernehmen und mehrere Zugänge für die weitere Nutzung bündeln sollten. Vermutlich ging es um große Mengen an Inferenzkapazität zu niedrigen Kosten. Daneben waren die Einbrüche in alte Web-Systeme ernst: Bei mindestens einem Unternehmen gab es eine vollständige Kette über FTP, Datenbank, Administratorrechte, eine Web-Shell und SSH. Der Angreifer stellte Hintertüren nach einer Bereinigung mehrfach wieder her.
Bei einem weiteren Unternehmen führte ein geografisches Informationssystem mit Standard-Zugangsdaten zu mehreren hunderttausend Kataster- und Geschäftsdaten, Windows-Zugangsdaten und E-Mails. Die Autoren belegen den Abfluss dieser Daten über das gefundene Material und Download-Protokolle auf der Angreifer-Infrastruktur. Ihre Einschätzung bleibt trotzdem klar: Die KI beschleunigte Planung und Werkzeugentwicklung, führte die Angriffe aber nicht selbstständig aus. Der Bediener verließ sich weiterhin auf handgeschriebene Skripte, vorhandene Werkzeuge und eigene Entscheidungen. Ein Teil der Versuche gegen KI- und GPU-Infrastruktur scheiterte sogar vollständig; mehrere hundert Zugriffsversuche auf einen Cluster endeten in Fehlern.
Fall C: Begrenzte KI-Hilfe mit hoher Wahrscheinlichkeit
Im dritten Fall blieb die Rolle der KI auf die Entwicklung von Werkzeugen und Skripten beschränkt. Sie umfasste nicht den gesamten Ablauf und nicht die Angriffsplanung. Die Autoren kommen mit hoher Konfidenz zu dieser Einschätzung, stützen sich dabei aber auf mehrere übereinstimmende stilistische Indikatoren. Direkte Belege wie Prompt-Texte oder API-Schlüssel fanden sie nicht. Deshalb sprechen sie von hoher Wahrscheinlichkeit und nicht von einem bestätigten Einsatz. Der Bediener war erfahren und hatte feste Praktiken für Automatisierung und Belegverwaltung; jede Kampagne besaß geordnete Verzeichnisse.
Die Aktivität dieses Falls zog sich von Januar bis Oktober 2026 und lief über lange Zeit parallel. Die Ziele lagen vor allem in Japan und Südkorea; die Listen enthielten außerdem das Vereinigte Königreich, Frankreich, Italien, Katar und Kolumbien. Angegriffen wurden exponierte VPN-Geräte, darunter das in Japan weit verbreitete Yamaha RTX1210, sowie WebLogic-Server. Die Autoren zählten mindestens 1.300 WebLogic-Kandidaten und mindestens 35 VPN-Einstiegspunkte. Viele VPN-Verbindungen gelangen, die tiefe Kompromittierung blieb jedoch begrenzt. Auch dieser Fall zeigt: Die KI half beim Bau von Werkzeugen, aber der Angriff selbst folgte weiterhin menschlichen Entscheidungen und bekannten Einstiegspunkten.
Was das für Verteidigung und Asset-Inventar bedeutet
Die drei Fälle zeigen ein ähnliches Muster. KI erhöht Tempo und Umfang von Angriffen, sie ersetzt aber nicht die Suche nach einer offenen Tür. In Fall A arbeiteten viele Agenten parallel und drosselten ihre Aktivität, um nicht aufzufallen. In Fall B beschleunigte ein Sprachmodell die Planung, während der Mensch die Kontrolle behielt. In Fall C half KI beim Werkzeugbau, ohne den Ablauf zu übernehmen. Für die Verteidigung ist deshalb weniger wichtig, ob irgendwo KI im Spiel ist. Wichtiger ist, welche Systeme überhaupt erreichbar sind und wie sie geschützt werden.
Die Cybersicherheits-Warnung für Japan 2026 macht deutlich, wie sehr solche Angriffe inzwischen als betriebliches Risiko gelten. Drei Punkte aus dem Bericht sind für die Praxis wichtig. Erstens bleiben alte, exponierte Web-Systeme und Administrationsoberflächen ein bevorzugter Einstieg. Zweitens gehören KI-Dienste, Workflows und GPU-Umgebungen in ein vollständiges Asset-Inventar, weil sie selbst zum Ziel werden können. Drittens sagt ein einzelner erfolgreicher Verbindungsaufbau noch nichts über den tatsächlichen Schaden; die Unterscheidung zwischen Versuch, Verbindung und tiefer Kompromittierung bleibt wichtig.
Praktisch heißt das: exponierte Verwaltungsseiten abschalten oder strikt absichern, Standard-Zugangsdaten ersetzen, VPN-Geräte zeitnah aktualisieren und alte Web-Systeme nicht aus dem Blick verlieren. KI-Agenten für Cyberangriffe mögen die Werkstatt automatisieren, doch sie arbeiten weiterhin mit dem, was sie vorfinden. Eine geschlossene Tür, ein zweiter Faktor und ein gepflegtes Verzeichnis der eigenen Dienste sind unspektakulär, aber wirksam. Automatisierung ändert das Tempo des Wettlaufs. Die Grundregeln der Verteidigung bleiben.
Quelle: trendaisecurity.com
