Sysdig meldet: Ein KI‑Agent soll Ransomware autonom ausgeführt haben.
In Kürze
- CVE‑2025‑3248 in Langflow ausgenutzt
- Automatisierte Fehlerkorrektur in Sekunden
- 1.342 Konfigurationseinträge verschlüsselt
Sysdig meldet einen Ransomware-Angriff, der nach eigenen Angaben vollständig von einem KI‑Agenten durchgeführt wurde
Der Sicherheitsanbieter nennt den Angreifer JADEPUFFER und spricht von einem „agentischen Bedrohungsakteur“ — also einem Angreifer, dessen Aktionen von einem KI‑Modell gesteuert wurden, nicht direkt von einer Person.
Wie der Angriff begann
Der Einstieg erfolgte über eine bekannte Sicherheitslücke (CVE‑2025‑3248) in Langflow, einem weit verbreiteten Werkzeug zum Erstellen von KI‑Anwendungen. Für diese Schwachstelle gab es bereits im April 2025 einen Patch; die US‑Behörde CISA hatte die Lücke außerdem als aktiv ausgenutzt markiert und zum sofortigen Update aufgerufen. In diesem Fall war der Patch offenbar nicht eingespielt worden.
Über die Lücke verschaffte sich der Agent Zugangsdaten, installierte persistente Backdoors und bewegte sich später zu einem Produktionsserver mit einer MySQL‑Datenbank.
Warum Sysdig von einem KI‑Agenten ausgeht
Sysdig stützt seine Einschätzung auf mehrere Hinweise im Ablauf. Ein Beispiel: Der Agent versuchte, ein Administratorkonto anzulegen — der erste Versuch schlug fehl. Nur 31 Sekunden später sendete der Agent automatisiert eine korrigierte Arbeitsanweisung, mit der das fehlerhafte Konto entfernt und ein funktionierendes Konto erstellt wurde. Laut Sysdig wäre für Menschen dieser Fehlerkorrektur‑Zyklus deutlich länger ausgefallen.
Außerdem generierte der Agent Code, der in normaler Sprache kommentiert war und erklärte, warum bestimmte Datenbanken zuerst gelöscht werden sollten — ein Muster, das bei KI‑generierten Aktionen auffällig sein kann.
Was der Agent anrichtete
Dem Bericht zufolge verschlüsselte der Agent 1.342 Konfigurationseinträge und löschte die Originaltabellen. Anschließend tauchte eine Erpressernachricht mit einer Lösegeldforderung in Bitcoin und einer Proton‑Mail-Adresse auf. Der Entschlüsselungsschlüssel wurde jedoch nur einmal angezeigt und weder gespeichert noch verschickt — eine Zahlung hätte die Daten offenbar vermutlich nicht wiederhergestellt.
Die angegebene Bitcoin‑Adresse entsprach einer bekannten Beispieladresse aus Entwicklerdokumentationen; Sysdig vermutet, dass das Modell diese Adresse aus seinem Trainingsmaterial übernommen hat.
Einordnung der Technik
Die eingesetzten Techniken selbst sind weitgehend bekannt — Ausnutzung einer Schwachstelle, Missbrauch schwacher oder offener Zugangsdaten, Verschlüsselung von Daten. Neu war laut Sysdig, dass ein KI‑Modell all diese Schritte autonom und in sehr kurzer Zeit aneinandergereiht hat. Das senkt die Einstiegshürde für solche Angriffe insofern, als die menschliche Steuerung durch automatisierte Abläufe ersetzt wird.
Bislang gibt es jedoch keine unabhängige Bestätigung des Vorfalls durch das betroffene Unternehmen, Behörden oder andere Sicherheitsfirmen. Sysdig bietet zugleich Produkte an, die auf die Erkennung automatisierter Angriffe abzielen.
Was Experten sagen und welche Maßnahmen empfohlen werden
Shane Barney von Keeper Security kommentiert den Fall nüchtern: Es handele sich weniger um Science‑Fiction als um ein Versagen bei der Verwaltung von Zugangsdaten — nur eben in Maschinengeschwindigkeit. Eine Untersuchung von Keeper zeigt, dass 72 % der Organisationen Missbrauch von Zugangsdaten nicht in Echtzeit erkennen und privilegierten Zugriff oft erst Stunden nach dem Beginn bemerken. Genau diese Verzögerung werde gefährlich, wenn ein automatisierter Agent binnen Minuten oder Sekunden Administratorrechte erlangt.
Empfohlene Gegenmaßnahmen, die in dem Kontext genannt werden:
- Privilegierten Zugriff zeitlich begrenzen und auf spezifische Aufgaben einschränken.
- Geheimnisse (Passwörter, Schlüssel) in geschützten Secrets‑Vaults ablegen und regelmäßig rotieren.
- Aktive Sitzungen in Echtzeit überwachen statt erst nach einem Vorfall Alarme auszuwerten.
(Ende des Berichts)
Quellen
- Quelle: Sysdig
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
