Bei einem Cyberangriff denken viele an einen Einbruch: Jemand findet eine Lücke im Zaun, schneidet ein Loch hinein und verschwindet mit der Beute. Der Fall, den CQ Prime Research, die Forschungsabteilung von Cequence Security, jetzt beschreibt, läuft anders. Der Angreifer bricht nicht ein. Er zieht sich die Uniform eines vertrauenswürdigen Besuchers an und bittet an der Pforte um die Schlüssel. Wer nur auf die Uniform achtet, winkt ihn durch. Das ist die Lücke.
Zwischen Ende September und Ende Oktober hat ein einzelner Scanner mehr als 30 verschiedene KI-Bots nachgeahmt, darunter Crawler und Assistenten von OpenAI, Anthropic, Perplexity und Meta. Er fragte Dateien an, in denen Passwörter, API-Keys und Cloud-Zugangsdaten liegen. Fast alle Anfragen scheiterten oder wurden blockiert. Der Scanner war aber wochenlang rund um die Uhr aktiv. An einem Tag im Oktober erreichte sein bösartiger KI-Bot-Traffic 48 Prozent der von Cequence geschützten Organisationen.
Ein echtes Lieferfahrzeug hat eine feste Route, einen erkennbaren Fahrer und eine Nummer, unter der man anrufen kann. Ein gefälschtes kann dieselbe Uniform tragen. Es verrät sich durch Details: Alle Fahrer tragen plötzlich dieselbe Telefonnummer, und ein Fahrer behauptet, innerhalb von acht Sekunden für vier verschiedene Firmen unterwegs zu sein. Solche Muster hat das Forschungsteam gefunden.
Wie der Scanner 32 KI-Bots in Sekunden durchprobiert
Der Scanner arbeitet in Schüben. Er schickt 50 bis 190 Anfragen in etwa acht Sekunden und zieht zum nächsten Ziel weiter. Das läuft rund um die Uhr, Ziel für Ziel. Dabei wechselt er durch etwa 32 Bot-Profile, auffällig gleichmäßig. Echte Bots verhalten sich nicht so. Ein Crawler von OpenAI bleibt ein Crawler von OpenAI. Er wird nicht in wenigen Sekunden gleichzeitig zum Assistenten von Anthropic, Meta und Perplexity.
Der User-Agent ist die Zeile, mit der sich ein Programm beim Webserver vorstellt. Wer einen Bot nur an dieser Zeile erkennt, erkennt in diesem Fall nichts. Das Forschungsteam fand einen zweiten Hinweis: Der Angreifer nutzte für alle falschen Claude-Identitäten dieselbe Kontaktadresse, die eigentlich zum Crawler von Anthropic gehört. Auch als er verschiedene Claude-Agenten spielte, blieb die Adresse gleich. Das spricht nicht für einen echten Agenten, sondern für kopierten Text.
Will Glazier, Direktor für Threat Research und Data Science bei CQ Prime, beschreibt das Muster so: Angreifer testen die Entscheidungen, mit denen ein Unternehmen Zugriffe erlaubt oder verweigert. Sie probieren aus, welchen Agenten eine Firma vertraut, und imitieren die, von denen sie erwarten, dass sie durchgelassen werden. Die Uniform ist nicht beliebig. Sie wird nach dem Pförtner ausgewählt.
Was der Scanner anfordert
Zuerst schickt der Scanner eine Reihe unsinniger Pfade. Das ist eine bekannte Technik, um Websites zu finden, die auf jede Anfrage antworten. Wer auf alles mit einer Seite reagiert, sieht nicht genau hin. Danach fragt der Scanner gezielt nach Dateien, die nicht für die Öffentlichkeit gedacht sind: Konfigurationsdateien, Dateien mit Cloud-Zugangsdaten und private SSH-Schlüssel. Die Liste umfasst etwa 90 Pfade. Der Scanner nennt in keinem Fall einen eigenen Namen oder eine Kontaktadresse.
Die Ziele stammen aus Handel, Finanzsektor, Telekommunikation, Energieversorgung und Softwarebranche. Fast alle Anfragen wurden blockiert oder scheiterten. Collin Hogue-Spears von der Sicherheitsfirma Black Duck ordnet das nüchtern ein: Die Anfragen hätten den Angreifer verraten. Was Cequence dokumentiert habe, sei der Test, nicht der Einbruch. Ein Scan ist kein Datenabfluss. Er ist aber auch kein harmloses Hintergrundrauschen. Er zeigt, wo jemand systematisch nach offenen Türen sucht.
Für IT-Sicherheitsteams ist die Zahl 48 Prozent an einem einzigen Tag ein Weckruf. Sie heißt nicht, dass 48 Prozent der Systeme kompromittiert wurden. Sie heißt, dass fast die Hälfte der geschützten Organisationen innerhalb von 24 Stunden denselben bösartigen KI-Bot-Traffic sah. Ein einzelner Angreifer kann mit wenig Aufwand ein breites Netz auswerfen. Ob er auffällt, ist die eine Frage. Ob jemand hinsieht, die andere.
Warum echte KI-Bots sich anders verhalten
Legitime Dienste, die das Internet scannen, identifizieren sich selbst. Sie nennen eine Kontaktadresse, kommen aus dokumentierten Adressbereichen und bleiben über eine Sitzung hinweg bei ihrer Identität. Private SSH-Schlüssel oder Cloud-Zugangsdaten würden sie nie anfordern. Ein Lieferfahrer, der an der Pforte nach dem Safe fragt, ist kein Lieferfahrer. Die Regel ist einfach und gilt für Maschinen wie für Menschen.
Das Problem beginnt, wenn Unternehmen die Identität eines Bots nur anhand seiner Behauptung prüfen. Ein Agent sagt, er sei ein Crawler. Das Unternehmen glaubt ihm, weil der Name in einer Allow-List steht. Diese Annahme ist das Einfallstor. CQ Prime empfiehlt, Agenten über signierte Anfragen, veröffentlichte Adressbereiche oder direkte Integrationen zu verifizieren. Nicht der Name entscheidet, sondern ein Nachweis, den der Bot nicht einfach behaupten kann.
Dazu kommt die Beobachtung des Verhaltens. Ein KI-Assistent, der eine Konfigurationsdatei oder eine Datei mit Zugangsdaten anfordert, verhält sich nicht wie ein Assistent. Er verhält sich wie ein Scanner. Solche Abweichungen lassen sich in Logs erkennen, wenn man weiß, wonach man sucht. Der Angreifer hat sich durch sein Verhalten verraten, nicht durch technische Raffinesse.
Die größere Gefahr sind Agenten mit Zugang
Der Scanner ist ein opportunistischer Angreifer. Er klopft an viele Türen und hofft, dass eine offen steht. Die größere Gefahr sind nach Einschätzung der Forscher Agenten, die bereits Zugang haben. Bei Finanzinstituten machten KI-Agenten, die im Auftrag von Kunden handeln, weniger als eine von 4.000 Anfragen aus. Die Agenten, die Banken am meisten Sorgen bereiten, melden sich nicht als Bot. Sie loggen sich mit den Zugangsdaten des Kunden über einen gewöhnlichen Browser ein und geben sich nicht zu erkennen.
Shane Barney, Sicherheitschef bei Keeper Security, beschreibt die Lage zugespitzt: Banken versuchten derzeit herauszufinden, welche KI-Bots in ihre Netze gehören. Kriminelle seien schon einen Schritt weiter. Sie versuchten nicht mehr, in Systeme einzubrechen. Sie loggen sich einfach ein, verkleidet als vertrauenswürdige KI-Agenten. Das ist der Unterschied zwischen dem Einbrecher, der am Fenster rüttelt, und dem Besucher, der einen gültigen Schlüssel hat.
Welche KI-Agenten Zugriff bekommen, ist keine Nebensache der IT. Es ist eine Grundsatzentscheidung. Wer einem Agenten erlaubt, im Namen eines Kunden zu handeln, muss wissen, wer diesen Agenten kontrolliert. Wer einen Agenten nur an seinem Namen erkennt, hat im Zweifel keine Kontrolle. Die Identität eines Bots ist kein Etikett. Sie ist eine Behauptung, die überprüft werden muss.
Was Unternehmen gegen gefälschte KI-Bots tun können
Die erste Regel ist unspektakulär und wirksam: KI-Agenten, API-Keys und Service-Konten brauchen dieselbe operative Disziplin wie menschliche Administratoren. Barney empfiehlt, implizites Vertrauen auf jedem Zugriffspfad zu entfernen. Das heißt nicht, jedem Agenten zu misstrauen. Es heißt, dass kein Agent allein aufgrund seines Namens oder seiner Behauptung durchgelassen wird.
Die zweite Regel betrifft die Prüfung. Unternehmen sollten Agenten über signierte Anfragen, veröffentlichte Adressbereiche oder direkte Integrationen verifizieren. Sie sollten überwachen, ob das Verhalten zur behaupteten Identität passt. Ein Crawler, der Konfigurationsdateien anfordert, ist kein Crawler. Ein Assistent, der private Schlüssel sucht, ist kein Assistent. Solche Muster gehören in die Alarmierung, nicht in eine Fußnote.
Die dritte Regel betrifft die Ablage von Geheimnissen. Statische Zugangsdaten in Dateien, die von Scannern erreichbar sind, sind ein offenes Fenster. Barney rät, langfristig gültige lokale Zugangsdaten durch zentrale, Zero-Knowledge-Tresore für Geheimnisse zu ersetzen. Ein solcher Tresor gibt Zugangsdaten nur nach einer überprüften Anfrage heraus, nicht an jeden, der den richtigen Pfad errät. Das ist aufwendiger als eine Datei mit Passwörtern. Es ist auch weniger bequem. Deshalb wird es oft erst nach dem Vorfall gemacht.
Was der Fall zeigt
Simple Muster haben den Angreifer verraten. Ein Bot, der in acht Sekunden vier verschiedene Firmen verkörpert, ist kein normaler Crawler.
Quelle: darkreading.com
