Hacker lassen KI-Agenten spionieren – und verraten sich durch offenen Server

Worum es geht

Die Sicherheitsfirma CloudSEK aus Singapur hat am 11. November 2026 einen Bericht mit dem Titel „Off the Rails: Inside an Exposed Silent Lynx Server“ veröffentlicht. Darin beschreibt sie, wie die Hackergruppe Silent Lynx einen autonomen KI-Agenten eingesetzt hat, um Regierungen in Zentralasien auszuspionieren. Hauptopfer war Tadschikistan: Mehr als 2.000 Regierungsdokumente wurden abgegriffen, darunter Schreiben an oder über das Verteidigungsministerium. Über die Ergebnisse berichteten unter anderem Reuters und The Record, außerdem das indonesische Portal Industry.co.id und InfotechLead.

Das Besondere: Laut dem Bericht ist es eines der ersten detailliert dokumentierten Beispiele, in denen ein frei verfügbarer KI-Agent von Anfang bis Ende in einer echten Spionageoperation mitgearbeitet hat – von der Erkundung über das Einsammeln der Daten bis zum Verwischen der Spuren. Ironischerweise flog alles auf, weil die Angreifer ihren eigenen Server nicht abgesichert hatten.

Wer ist Silent Lynx?

Silent Lynx wird seit längerem mit Angriffen auf Regierungen in Zentralasien und Umgebung in Verbindung gebracht. The Record zufolge hatte die Gruppe bereits Kirgisistan, Turkmenistan, Tadschikistan, Armenien, Belarus und Russland im Visier.

CloudSEK ist sich nach eigenen Angaben sehr sicher, dass der gefundene Server zu Silent Lynx gehört – der Code und die Build-Pfade der Schadsoftware stimmen mit früher veröffentlichten Proben überein. Bei der Herkunft aus Kasachstan spricht die Firma nur von mittlerer Sicherheit. Indizien dafür: Die Betreiber sprachen Russisch, es gab Testverkehr über einen privaten Internetanschluss von Kazakhtelecom, und die Aktivität fand nur zu Bürozeiten in der Zeitzone UTC+5 statt. Sowohl CloudSEK als auch The Record betonen, dass es keine Belege für eine Verbindung zur kasachischen Regierung gibt. Laut InfotechLead hatten sich kasachische und tadschikische Regierungsvertreter gegenüber Reuters zunächst nicht geäußert.

So arbeitete der KI-Agent

Hermes ist ein Open-Source-Framework für autonome Agenten – also ein frei verfügbares Programmgerüst, das ein Sprachmodell nicht nur antworten, sondern selbstständig handeln lässt. Solche Agenten haben ein Langzeitgedächtnis, können Aufgaben an Sub-Agenten (Unterhelfer, die Teilaufgaben parallel erledigen) verteilen, zeitgesteuerte Aufgaben per Cron (einem Zeitplaner unter Linux) ausführen und bedienen Kommandozeile und Browser.

Auf dem Server der Hacker hieß der Agent „Strix“. Er bekam die Rolle eines Spezialisten für Cyberangriffe zugewiesen – laut InfotechLead lautete eine Anweisung, als „elitärer Offensiv-Sicherheitsspezialist und Red Teamer“ aufzutreten – und sollte Sicherheitswarnungen ignorieren. Red Teams sind eigentlich Fachleute, die im Auftrag eines Unternehmens Angriffe simulieren, um Schwachstellen zu finden.

Die Konfiguration war bewusst aggressiv: CloudSEK fand, dass gefährliche Befehle wie das Löschen von Datenbanktabellen ohne Rückfrage ausgeführt werden durften und dass eine Schutzgrenze gegen endlose Aufgabenwiederholungen abgeschaltet war. Gesteuert wurde der Agent auf Russisch über einen Telegram-Bot – also bequem vom Handy aus.

Als Sprachmodelle dienten laut CloudSEK DeepSeek V4.1 Flash als Hauptmodell und Gemini 2.5 Flash für parallele Sub-Agenten-Aufgaben. Beide wurden über OpenRouter angesprochen, einen Dienst, der viele KI-Modelle über eine gemeinsame Schnittstelle zugänglich macht.

Zusammengestellt nach dem CloudSEK-Bericht.

InfotechLead ergänzt: Hermes wurde ab etwa Mitte August 2026 für die Erkundung eingesetzt, rund zwei Wochen später war das elektronische Dokumentensystem kompromittiert. Danach soll der Agent ein eigenes Programm geschrieben haben, das Dokumente herunterlädt, sortiert und in kleinere Stücke zerlegt, damit sie unauffälliger abfließen können.

Die Opfer und die Einfallstore

Zentrales Ziel war das nationale Eisenbahnnetz Tadschikistans. Von Mitte August bis mindestens 10. Oktober 2026 hatten die Angreifer dort Zugriff auf Domänenebene – vereinfacht gesagt: Administratorrechte über das gesamte Firmennetz. Hineingekommen sind sie über Netzwerkgeräte eines Internetanbieters, die noch mit Standardpasswörtern liefen, und über alte, ungepatchte Windows-Server.

Von dort meldeten sie sich mit dem ganz normalen Konto eines Bahnmitarbeiters am Portal des staatlichen elektronischen Dokumentensystems an. Weil dort die Zugriffsrechte nicht pro Dokument geprüft wurden, konnten sie weit über den Bahnbereich hinaus Unterlagen abrufen – insgesamt mehr als 2.000, laut CloudSEK mit Datum bis 2026 und vielfach mit Bezug zum Verteidigungsministerium.

In Usbekistan übernahmen die Angreifer einen Server samt Datenbank, der das Projekt „Smart Forestry“ trägt. Für Turkmenistan fand CloudSEK Phishing-Köder – etwa gefälschte Bahntickets –, die im Oktober 2026 erstellt und getestet wurden. Ob die Angriffe dort erfolgreich waren, ist laut The Record offen.

Verraten vom eigenen Server

Der größte Fehler kam von den Hackern selbst: Ihr Server stellte auf Port 8088 ein Verzeichnis ohne jede Anmeldung ins Internet. Darin lagen mehr als ein Dutzend Gigabyte in Hunderttausenden Dateien – Phishing-Baukästen, Schadsoftware, gestohlene Dokumente sowie das komplette Gedächtnis und die Protokolle des Hermes-Agenten.

Der Agent hatte Anfang Oktober 2026 zwar eine Aufräumaktion durchgeführt, übersah dabei aber genau dieses offene Verzeichnis. Seine eigenen Mitschriften enthielten sogar vollständige SSH-Protokolle (Aufzeichnungen über Fernzugriffe auf Rechner), bevor diese gelöscht wurden. Industry.co.id bringt es auf den Punkt: Der KI-Agent hat die Arbeit beschleunigt, aber keine Disziplin in der eigenen Sicherheit ersetzt – eine einzige Fehlkonfiguration genügte, um die ganze Operation offenzulegen.

Einordnung

Der Fall ist bemerkenswert, weil er nicht aus einem Labortest oder einer Demo stammt, sondern aus einer echten Spionagekampagne – und weil dank des offenen Servers ungewöhnlich genau nachvollziehbar ist, was der Agent tat. InfotechLead weist darauf hin, dass Reuters zuvor bereits über Kriminelle berichtet hatte, die KI-Agenten zum Kapern mehrerer Websites nutzten; hier geht es nun um mutmaßlich staatsnahe Spionage mit sensiblen Regierungsdokumenten. Solche Werkzeuge könnten es kleinen Gruppen erlauben, deutlich größere Operationen zu stemmen, ohne mehr Personal zu brauchen.

Gleichzeitig zeigt der Fall, dass KI hier keine neuen Superwaffen geschaffen hat: Die genutzten Lücken sind klassisch – Standardpasswörter auf Routern, veraltete Protokolle wie SMBv1, ungepatchte Server und fehlende Rechteprüfung auf Dokumentebene. Die KI machte diese Lücken nur schneller auffindbar und ausnutzbar. Die beste Verteidigung bleibt also Grundhygiene.

Auffällig ist auch, dass die Angreifer kommerziell zugängliche Modelle von DeepSeek und Google über einen gewöhnlichen Vermittlungsdienst nutzten – ein Hinweis darauf, dass Schutzmechanismen der Anbieter bei agentischer Nutzung offenbar nicht gegriffen haben. Wie die Anbieter darauf reagieren, ist aus den Quellen nicht bekannt. Und wer selbst KI-Agenten mit Terminalzugriff, API-Schlüsseln und Chat-Bots betreibt, sollte den Fall als Warnung lesen: Solche Systeme brauchen strenge Absicherung – inklusive der Frage, ob irgendein Arbeitsordner offen im Netz liegt. Offen bleibt zudem die Zuordnung: Die Verbindung nach Kasachstan ist nur mittel gesichert, eine staatliche Beteiligung unbelegt.