Anfang Juli hat das Threat-Research-Team von Sysdig einen Angriff dokumentiert, der einen Wendepunkt in der Cybersecurity-Branche markieren könnte. Erstmals wurde eine vollständige Ransomware-Attacke vom Erstzugriff bis zur Erpressung nachweislich von einem KI-Agenten durchgeführt. Die Sicherheitsforscher nennen den Angreifer JADEPUFFER, einen sogenannten „agentic threat actor“. Statt eines klassischen Toolkits kam ein KI-Agent zum Einsatz, der einzelne Angriffsschritte selbstständig plante, ausführte und auf Hindernisse reagierte. Auch The Register und BleepingComputer ordnen den Fall als ersten öffentlich dokumentierten End-to-End-Angriff dieser Art ein.
Vom Erstzugriff bis zu Erpressung
Ausgangspunkt war eine öffentlich erreichbare Instanz von Langflow, einer Open-Source-Plattform für KI- und Automatisierungs-Workflows. Wie The Hacker News berichtete, verschaffte sich der KI-Agent über eine bekannte Schwachstelle (CVE-2025-3248) Zugriff und extrahierte systematisch sensible Informationen: API-Schlüssel für LLM-Dienste, Cloud-Zugangsdaten, Private Keys von Kryptowallets einschließlich Seed-Phrasen sowie Datenbank-Credentials. Zusätzlich wurden die Postgres-Datenbank und ein angebundener MinIO-Objektspeicher ausgelesen.
Anschließend bewegte sich der Agent zu einem produktiven MySQL-Server mit Alibaba Nacos und meldete sich dort mit Root-Rechten an. Wie diese Zugangsdaten erlangt wurden, ist bislang ungeklärt. Danach verschlüsselte JADEPUFFER 1.342 Konfigurationseinträge mittels AES_ENCRYPT, löschte Original- und Verlaufstabellen und hinterließ eine klassische Lösegeldforderung mit Bitcoin-Adresse und Proton-Mail-Kontakt.
(Quelle: Sysdig)
Bemerkenswert ist weniger die Angriffstechnik selbst, die handwerklich eher solide Mittelklasse als Hochsicherheitsrisiko ist, als ihre Ausführung: Der Agent reagierte selbstständig auf Fehlschläge und wechselte nach einem erfolglosen Login-Versuch innerhalb von 31 Sekunden zu einer alternativen Vorgehensweise. Gleichzeitig machte er einen Fehler, den menschliche Angreifer kaum begangen hätten: Der verwendete Verschlüsselungsschlüssel wurde nicht gespeichert. Selbst nach einer Lösegeldzahlung wären die Daten deshalb technisch nicht wiederherstellbar gewesen.
Der Vorfall zeigt: KI-Agenten sind noch keine perfekten Angreifer. Sie können aber bereits heute komplette Angriffsketten eigenständig durchführen.
Erweiterte Angriffsfläche durch KI- und Automatisierungsinfrastruktur
Der Fall zeigt zwei Entwicklungen, die für IT-Verantwortliche unmittelbar relevant sind.
- Angriffsoberfläche verschiebt sich:
Selbst betriebene KI- und Automatisierungsplattformen wie Langflow, n8n oder ähnliche Low-Code-Tools sind oft schnell aufgesetzt, aber selten mit derselben Sorgfalt gehärtet und gepatcht wie klassische Unternehmensanwendungen. Genau solche Systeme werden gezielt als Einfallstor genutzt, weil sie häufig weitreichende Zugriffsrechte und Zugangsdaten für nachgelagerte Systeme bündeln. - Tempo und die Skalierbarkeit von Angriffen verändert sich.
Ein KI-Agent arbeitet rund um die Uhr und parallel auf vielen Zielsystemen. Er senkt damit die Einstiegshürde für komplexe Mehrstufenangriffe auch für weniger versierte Angreifer. Für Security-Teams bedeutet das kürzere Reaktionsfenster und Angriffsmuster, die sich schneller anpassen als gewohnt.
Technische und organisatorische Gegenmaßnahmen
Für IT-Verantwortliche ergeben sich daraus vier konkrete Ansatzpunkte:
- KI-Systeme inventarisieren
Prüfen Sie, welche Plattformen öffentlich erreichbar sind und ob bekannte Schwachstellen zeitnah geschlossen werden. - Secrets schützen
API-Keys und Zugangsdaten gehören in ein zentrales Secrets-Management statt in Konfigurationsdateien. - Monitoring erweitern
Die Angriffserkennung sollte auch automatisierte Muster erkennen, etwa ungewöhnlich schnelle Login-Sequenzen oder Massenänderungen an Konfigurationen. - KI-Plattformen erweitern
Langflow, n8n und vergleichbare Systeme sollten fester Bestandteil von Penetrationstests sein. Ein spezialisierter KI-Penetrationstest prüft neben der Infrastruktur auch Modelle, Prompts und Tool-Anbindungen.
Einordnung und Ausblick
JADEPUFFER zeigt, wohin sich Cyberangriffe entwickeln: KI wird nicht mehr nur als Werkzeug von Angreifern eingesetzt, sondern übernimmt zunehmend selbst die Steuerung kompletter Angriffsketten. Auch wenn dieser erste dokumentierte Angriff noch Fehler machte, sinkt die technische Einstiegshürde für komplexe Angriffe deutlich.
DigiFors unterstützt Unternehmen dabei mit Penetrationstests, die auch KI- und Automatisierungsplattformen einschließen, sowie mit SOC-Services, die Erkennungslogik gezielt an neue, agentenbasierte Angriffsmuster anpassen.
Sind Ihre KI-Systeme sicher?
Mit einem KI-Penetrationstest von DigiFors identifizieren Sie Schwachstellen frühzeitig.
