KI-Agent als Einbrecher: CyberStrikeAI übernimmt Domäne in drei bis vier Tagen

Worum es geht

Das Sicherheitsteam Securelist des Herstellers Kaspersky hat am 2. November 2026 einen Bericht über Angriffe veröffentlicht, bei denen ein Sprachmodell die Rolle des Einbrechers weitgehend übernahm. Die Angreifer nutzten dafür CyberStrikeAI, ein frei verfügbares Open-Source-Framework. Getroffen wurden Bildungseinrichtungen in mehreren Ländern Afrikas und Lateinamerikas. Die Angriffe liefen zwischen September und Oktober 2026.

Das Besondere: Ein großes Sprachmodell (LLM) lief auf dem Server der Angreifer. Es entschied, welche Werkzeuge eingesetzt werden, formulierte die passenden Befehle und wertete die Ergebnisse aus, um den nächsten Schritt zu planen. Der Blog aicybr.com hat den Kaspersky-Bericht ausgewertet und daraus Empfehlungen für Verteidiger abgeleitet. Auf diese Zusammenfassung stützt sich dieser Artikel.

So arbeitet CyberStrikeAI

CyberStrikeAI ist in der Programmiersprache Go geschrieben. Es verbindet drei Dinge: einen KI-Orchestrator, also ein Sprachmodell als Einsatzleiter, einen Command-and-Control-Server (C2, die Fernsteuerzentrale der Angreifer) und sogenannte Implantate, kleine Fernsteuerprogramme auf den gekaperten Rechnern. Kaspersky beschreibt vier Rollen:

• Operator: Ein Mensch gibt das grobe Ziel vor und behält die Kontrolle.
• Orchestrator auf dem Server: Das Sprachmodell wählt Werkzeuge, baut Befehle, prüft Ergebnisse und plant die nächsten Schritte.
• C2-Dienst: Er leitet Aufgaben und Ergebnisse zwischen Modell und befallenen Rechnern hin und her.
• Implantat: Es führt die Befehle auf dem Opferrechner aus und erledigt Datei- und Systemoperationen.

Das Modell greift über Werkzeug-Schnittstellen auf die Fernsteuerfunktionen zu, darunter das Model Context Protocol (MCP). Das ist ein offener Standard, über den KI-Modelle externe Programme bedienen können. Das Implantat selbst ist unauffällig. Es verhält sich wie ein klassisches Fernwartungsprogramm und kommuniziert über HTTP/S, TCP oder WebSocket. Es enthält kein eigenes Sprachmodell und ruft keine KI-Dienste auf. Kaspersky beobachtete zudem einen „Human in the Loop“-Mechanismus: Vom Modell vorgeschlagene Aktionen konnten erst nach Freigabe oder Korrektur durch den menschlichen Operator ausgeführt werden.

Der eigentliche Wandel liegt also nicht in neuen Angriffstechniken, sondern im geringeren Koordinationsaufwand. Ein Angreifer beschreibt ein Ziel, und das Modell erledigt die Routinearbeit: das Netz erkunden, Zugangsdaten abgreifen, sich von Rechner zu Rechner bewegen. Was erreichbar ist, hängt weiterhin von den vorhandenen Werkzeugen und Berechtigungen ab.

Der rekonstruierte Angriff Schritt für Schritt

In einem Fall konnte Kaspersky den Ablauf genau nachzeichnen:

Vom Start des Agenten bis zur Übernahme eines Domänen-Administratorkontos vergingen drei bis vier Tage. Ein solches Konto ist praktisch der Generalschlüssel für ein Windows-Firmennetz. Die Zeiten gelten nur für diesen einen Vorfall und lassen sich nicht auf andere Angriffe übertragen. Die ersten bösartigen Befehle liefen im Kontext des SQL-Server-Prozesses. Deshalb sind der Datenbankserver, sein Dienstkonto und seine Verbindungen zu anderen Systemen die wichtigsten Spuren.

Im Bericht tauchen bekannte Techniken auf. Zum Einnisten nutzten die Angreifer unter Windows geplante Aufgaben und Autostart-Einträge in der Registry, darunter eine Aufgabe namens „SystemUpdate“. Unter Linux setzten sie auf Crontabs und Shell-Startdateien. Zugangsdaten holten sie sich über Zugriffe auf LSASS, den Windows-Prozess, der Anmeldedaten im Speicher hält. Später folgten DCSync, bei dem sich ein Angreifer als Domänencontroller ausgibt und Passwort-Hashes abruft (MITRE ATT&CK T1003.006), und Golden Tickets, gefälschte Kerberos-Tickets, die praktisch unbegrenzten Zugang gewähren.

Was Verteidiger tun sollten

aicybr.com leitet aus dem Bericht sechs Schwerpunkte ab. Der wichtigste Punkt: Das Verhalten nach dem Einbruch ist altbekannt und lässt sich mit vorhandenen Werkzeugen erkennen.

1. Auffällige Datenbankdienste prüfen: Wenn sqlservr.exe Kommandozeilen, Skript-Interpreter oder unbekannte Programme startet, ist das ein Alarmsignal. SQL Server sollte mit einem eigenen Konto mit minimalen Rechten laufen und in einem abgeschotteten Netzsegment stehen.
2. Einnistung über Systemgrenzen hinweg korrelieren: Neue geplante Aufgaben oder Autostart-Einträge zusammen mit erzeugendem Prozess, Konto und anschließendem Netzwerkverkehr betrachten. Der Name „SystemUpdate“ taugt als Suchansatz, kann aber leicht geändert werden.
3. Diebstahl von Zugangsdaten als Abfolge erkennen: Zugriff auf LSASS, danach Dump-Dateien oder Registry-Änderungen. Microsoft empfiehlt LSA-Schutz und Credential Guard. Wo das nicht geht, kommt eine Defender-Regel zum Blockieren von Diebstahl aus LSASS infrage, nach Tests.
4. SMB- und WMI-Aktivität mit privilegierten Anmeldungen verknüpfen: Fernverwaltung, die von einem Datenbankserver ausgeht, ist verdächtig, wenn dieser Server keine Verwaltungsrolle hat. Empfohlen werden getrennte Admin-Konten, abgestufte Verwaltung und eigene Admin-Arbeitsplätze.
5. Ausgehenden Verkehr überwachen: Unerwartete HTTP/S-, TCP- und WebSocket-Verbindungen von Servern prüfen. Wichtig: Wer nur nach Aufrufen kommerzieller KI-Schnittstellen sucht, übersieht diesen Angriff komplett, weil das Modell beim Angreifer läuft.
6. Datenbankzugriffe und Exporte auditieren: Massenabfragen und Exporte mit dem normalen Arbeitsprofil des Servers vergleichen.

Weil die Angreifer zwei Wochen pausierten, sollten Protokolle außerdem mehrere Wochen aufbewahrt werden. Bei Verdacht auf einen Domänen-Einbruch empfiehlt die Quelle diese Schritte: betroffene Systeme isolieren, Beweise sichern, das Ausmaß der Rechte klären, Zugangsdaten gestaffelt von einem sauberen Admin-System aus wechseln und kompromittierte Rechner aus vertrauenswürdigen Images neu aufsetzen. Ergänzend wird auf Leitlinien der US-Behörde CISA zu Active-Directory-Kompromittierungen verwiesen.

Wer steckt dahinter?

Kaspersky ordnet die Angriffe keiner bekannten Gruppe zu. In Skripten fanden sich chinesischsprachige Kommentare. Kaspersky wertet sie aber ausdrücklich als Fundstück und nicht als Beweis für die Identität der Täter. Das Framework ist frei verfügbar, im Prinzip kann es also jeder nutzen.

Einordnung

Der Fall zeigt, was Fachleute seit Längerem erwartet haben: KI-Agenten machen aus bekannten Einbruchstechniken einen schnelleren, weitgehend automatisierten Ablauf. Neu sind nicht die Techniken, sondern Tempo und geringer Personalaufwand. Eine Stunde für Ausbreitung, Passwortdiebstahl und Datenexport lässt Verteidigern wenig Zeit zum Reagieren. Wichtig für Sicherheitsteams ist die Architektur: Das Modell läuft auf der Infrastruktur der Angreifer, auf den Opferrechnern ist nur ein gewöhnliches Fernsteuerprogramm aktiv. Klassische Erkennung über Prozesse, Konten, Fernverwaltung und Datenabfluss bleibt deshalb der wirksamste Hebel.

Offen bleibt, wie groß der Anteil der KI am Erfolg tatsächlich war. Ein Mensch bereitete den Einbruch manuell vor und konnte Aktionen freigeben oder korrigieren. Ebenso unklar ist, wie viele Organisationen insgesamt betroffen sind. Dass ein öffentlich verfügbares Framework für echte Angriffe genutzt wird, dürfte die Debatte über offensive KI-Werkzeuge weiter anheizen.