Hacker lassen KI-Agenten mit DeepSeek und GLM in zehn Organisationen einbrechen

Worum es geht

Sicherheitsforscher von Unit 42, der Analyseabteilung des US-Sicherheitskonzerns Palo Alto Networks, haben eine Angriffswelle aufgedeckt, bei der KI-Agenten den Großteil der Arbeit übernommen haben. Darüber berichtet das Fachportal Cybersecuritynews. KI-Agenten sind Programme, die einem Sprachmodell nicht nur Fragen stellen, sondern es selbstständig planen, Werkzeuge bedienen und Schritt für Schritt auf ein Ziel hinarbeiten lassen. Die Angreifer sprechen Chinesisch. Sie haben im August und September 2026 insgesamt 25 Operationen gegen mindestens 19 Ziele gefahren und dabei zehn Organisationen erfolgreich kompromittiert, also in ihre Systeme eingedrungen.

Unit 42 führt die Aktivität unter der Bezeichnung CL-STA-1238 und hält sie mit mittlerer Sicherheit für eine China-nahe Kampagne zum Sammeln von Informationen, also für Spionage. Angegriffen wurden Organisationen aus der Halbleiterfertigung, aus dem Umfeld der US-Verteidigungspolitik und aus der Zivilgesellschaft.

Besonders ist dabei nicht die Technik der Angreifer, sondern wie wenig sie selbst tun mussten. Gebaut haben sie nichts Neues. Sie nahmen ein öffentlich verfügbares Open-Source-Werkzeug für Penetrationstests namens Cairn und schlossen es an zwei chinesische KI-Modelle an: DeepSeek und GLM von Zhipu. Penetrationstests sind beauftragte Hackerangriffe, mit denen Firmen ihre eigene Sicherheit prüfen lassen.

So arbeitet das Angriffswerkzeug Cairn

Cairn setzt auf mehrere KI-„Agent-Worker“, die sich ein gemeinsames „Blackboard“ teilen. Das ist eine Art digitale Pinnwand: Bestätigte Erkenntnisse landen dort als Fakten, geplante nächste Schritte als Absichten. Jeder Worker liest und beschreibt diese Pinnwand.

Das Programm wiederholt immer dieselbe Schleife:

• Reason (Nachdenken): Das Modell schaut sich an, was es bisher weiß, und entscheidet, was es als Nächstes versucht.
• Explore (Erkunden): Es führt genau eine Aktion aus und notiert das Ergebnis.

Die Schleife endet, wenn das Ziel erreicht ist, keine Möglichkeiten mehr übrig sind oder ein Mensch eingreift.

Die Angreifer mussten pro Ziel nur die Hauptdomain der Organisation und ein einzeiliges Ziel eingeben, oft auf Chinesisch. In einem Fall lautete die Anweisung, das Ziel „so schnell wie möglich zu knacken“. Einmal lieferten sie zusätzlich Adressen von VPN-Zugängen und vorher erbeutete Gruppenpasswörter mit. Daraus entwarf das Modell selbst einen Plan mit drei bis sieben Stufen: Aufklärung, Angriffe auf Webanwendungen, Sammeln von Zugangsdaten, Rechteausweitung (vom normalen Nutzer zum Administrator aufsteigen) und laterale Bewegung (sich vom ersten gehackten Rechner aus durchs Netzwerk weiterhangeln). So konnte ein kleines Team viele Organisationen gleichzeitig angreifen.

Welche Modelle zum Einsatz kamen

Nach Einschätzung von Unit 42 haben die Angreifer die Modelle regelrecht miteinander verglichen. Scheiterte das schnellere und günstigere DeepSeek V4 Flash an einem schwierigen Ziel, wechselten sie zum stärkeren V4 Pro. Ein Zeitlimit gab es nicht: Manche Durchläufe dauerten 20 Minuten, andere mehr als 50 Stunden.

Sicherheitssperren ließen sich leicht umgehen

KI-Modelle haben normalerweise Guardrails, eingebaute Sperren, die schädliche Anfragen ablehnen sollen. Hier haben sie praktisch nichts gebracht. Schon die Standard-Prompts von Cairn weisen das Modell an, eine Aufgabe niemals abzulehnen. Die Angreifer fügten noch einen chinesischen Hinweis hinzu, es handle sich um einen autorisierten Sicherheitstest, und legten für jede Operation eine Datei namens AUTHORIZATION.md an. Weder GLM noch DeepSeek verweigerten den Dienst. Laut Cybersecuritynews erinnert das an einen Fall Anfang des Monats, bei dem ein per Jailbreak (Trick, mit dem man die Sperren eines Modells aushebelt) entsperrter DeepSeek-Agent einen europäischen Telekommunikationsanbieter angegriffen hat.

Opfer und erbeutete Daten

Sieben der Ziele gehörten zur Lieferkette der Halbleiter- und Hightech-Fertigung. Drei hatten mit Verteidigung zu tun, darunter ein Raumfahrttechnik-Unternehmen und eine politische Denkfabrik. Vier waren Menschenrechts- oder zivilgesellschaftliche Gruppen, etwa eine kanadische Menschenrechtsorganisation und eine US-Lehrergewerkschaft.

Einige Beispiele aus dem Bericht:

• Bei einem Industrie-Normungsgremium brachte Password Spraying (man probiert wenige gängige, schwache Passwörter bei sehr vielen Konten aus) Dutzende gültige Zugangsdaten und Zugriff auf interne Verzeichnisdaten. Die Angreifer überschrieben dort sogar ein laufendes Abstimmungsdokument zu einem Standard.
• Anderswo führte ein per Durchprobieren geknacktes Passwort zu unberechtigten Administratorkonten und einem dauerhaft gültigen API-Token, also einem digitalen Generalschlüssel für Schnittstellen.
• Eine Lücke in einem Content-Management-System legte mehr als eine Million Mitgliederdatensätze, rund 31.000 CRM-Kontakte und Passwort-Hashes von Mitarbeitern offen.
• Ein offener Registrierungs-Endpunkt verriet etwa 500 Nutzerdatensätze, darunter Konten mit .mil- und .gov-Adressen.
• Außerdem betroffen waren Mitarbeiterdaten eines Lithografie-Herstellers, rund 150.000 interne Dokumente eines Industrieautomatisierers und Schülerdaten einer gemeinnützigen Bildungsorganisation.

Die ausgenutzten Schwachstellen waren durchweg alt und bekannt: umgehbare Anmeldungen, unsichere direkte Objektreferenzen (man ändert eine Nummer in der Adresszeile und sieht fremde Daten), Rechteausweitung über „Mass Assignment“, schwache oder voreingestellte Passwörter, offen erreichbare Cloud-Schnittstellen und längst veröffentlichte CVEs, also öffentlich katalogisierte Sicherheitslücken. Das Fazit des Berichts: Die KI hat die Angriffe schneller und breiter gemacht, aber nicht raffinierter.

Kein Einzelfall

Cybersecuritynews ordnet den Fall in eine Reihe ähnlicher Vorfälle ein, etwa die ARTEX-KI-Agenten, die Angriffe auf Active Directory automatisieren, oder einen einzelnen Hacker, der mit zwölf koordinierten Agenten Hunderte Ziele attackierte. Wie ähnlich die Muster sind, zeigt ein Bericht von The Hacker News über eine andere Kampagne: Microsoft schreibt dort der China-nahen Gruppe Storm-0940 einen Lieferkettenangriff auf ConnectWise Cloud Backup zu, bei dem das Agenten-Framework ARTEX „mit Maschinengeschwindigkeit“ Hunderte Organisationen anging, in der Spitze mit 2.900 Anmeldeversuchen pro Minute. Laut Zscaler war ARTEX ebenfalls für DeepSeek, GLM und Grok konfiguriert, und GLM sollte die Arbeit von DeepSeek gegenprüfen. Microsoft schreibt dazu:

„Agenten unterliegen nicht den Einschränkungen von Menschen – sie können rund um die Uhr, an Wochenenden und Feiertagen arbeiten und mehrere Einbruchswege gleichzeitig versuchen.“

Was Verteidiger tun können

Die gute Nachricht: Die Grundlagen der IT-Sicherheit helfen weiterhin. Unit 42 empfiehlt starke, einzigartige Passwörter zusammen mit phishing-resistenter Mehr-Faktor-Authentifizierung (zum Beispiel Hardware-Schlüssel statt SMS-Codes), so wenige aus dem Internet erreichbare Systeme wie möglich, schnelles Einspielen von Patches für bekannte CVEs und ein Auge auf auffälligen Datenverkehr von einzelnen IP-Adressen. Cairn hat nämlich Hunderttausende Anfragen in schneller Folge von einer einzigen Quelle aus erzeugt, das ist ziemlich auffällig. Als Indikatoren nennt der Bericht unter anderem einen Cairn-Server in Hongkong (154.44.31[.]4) und einen Staging- und Ausgangsserver in den USA (82.29.129[.]54).

Einordnung

Der Fall zeigt deutlich, dass autonome KI-Angriffe im Alltag angekommen sind. Ein frei verfügbares Werkzeug und günstige offene Modelle genügen, damit eine kleine Gruppe viele Ziele parallel und ohne Pause angreift. Neue Superwaffen sind das allerdings nicht: Alle Einbrüche liefen über altbekannte Lücken. Wer seine Hausaufgaben gemacht hat, war also geschützt. Unbequem wird es für Organisationen mit wenig IT-Personal, etwa Vereine, Gewerkschaften oder NGOs, denn genau die traf es hier.

Kritisch zu sehen sind zwei Punkte. Erstens ließen sich die Schutzmechanismen von DeepSeek und GLM mit einer einfachen Behauptung („ist autorisiert“) austricksen, und die Forscher rechnen damit, dass solche Kampagnen zunehmen, je fähiger offene Modelle mit schwachen Sperren werden. Zweitens beruht die Zuordnung zu China auf „mittlerer Sicherheit“, sie ist also eine begründete Einschätzung, kein Beweis. Wie viel genau die Menschen hinter den Angriffen noch selbst gesteuert haben, lässt der Bericht ebenfalls teilweise offen.