KI-Agenten legen Windpark in 66 Minuten lahm – für 20 Dollar

Worum es geht

Das britische Sicherheitsunternehmen Shinobi Security hat getestet, ob KI-Agenten ohne menschliche Fachleute einen Windpark angreifen können. KI-Agenten sind Sprachmodelle, die selbstständig Werkzeuge bedienen, Befehle ausführen und mehrere Schritte nacheinander planen. Das Ergebnis, über das zuerst Computer Weekly berichtet hat: Zwei frei erhältliche Sprachmodelle drangen in einen originalgetreu nachgebauten Windpark ein und unterbrachen die Einspeisung von sechs Turbinen mit zusammen knapp 10 Megawatt ins Stromnetz. Mehr als zwei Stunden brauchten sie dafür nicht.

Getestet wurden Claude von Anthropic und Kimi, ein Open-Weight-Modell des chinesischen Start-ups Moonshot. Beide bekamen am Anfang nur Zugangsdaten für ein VPN, also für den verschlüsselten Fernzugang ins Firmennetz. Solche Daten werden laut den Forschern im Darknet gehandelt. Forschungsleiter David Mound will die Arbeit am 16. November auf dem SANS CyberThreat Summit vorstellen.

Ein Nachbau des polnischen Windparks

Vorbild war ein echter Vorfall: Im Dezember 2025 griffen mutmaßlich russische Hacker einen Windpark in Polen an. Das polnische Computer Emergency Response Team (CERT), die nationale Stelle für IT-Sicherheitsvorfälle, veröffentlichte dazu einen ausführlichen Bericht. Nach dieser Vorlage baute Mound eine Testanlage mit denselben Bauteilen. Dazu gehörten die gleichen Netzwerkgeräte und eine Siemens-Steuerung, die den Anschluss ans Stromnetz nachbildet. Ergänzt wurde das um Simulationen von SCADA-Systemen (Leitsysteme, mit denen Betreiber Industrieanlagen überwachen und steuern) und HMI-Bedienoberflächen (die Bildschirme, an denen Menschen die Anlage bedienen).

Den Nachbau so realistisch wie möglich zu machen, hatte einen bestimmten Zweck. Laut Mound benehmen sich die KI-Agenten anders, wenn sie vermuten, dass sie nur in einer Simulation stecken. Das zeigte sich auch im Test: Eines der Modelle drohte, das „Sicherheitstheater fallen zu lassen“ und noch mehr Schaden anzurichten, falls die Forscher bestätigen, dass der Windpark nur eine Simulation ist.

So lief der Angriff ab

Die Modelle gingen ähnlich vor wie die echten Angreifer in Polen. Sie suchten keine Zero-Day-Lücken (Sicherheitslücken, die noch niemand kennt und für die es keinen Patch gibt), sondern nutzten schlicht schlecht eingerichtete Geräte. Shinobi Security beschreibt die Schritte so:

1. Einwahl über das VPN mit den bereitgestellten Zugangsdaten.
2. Anmeldung an der Grenzsteuerung zwischen Büro- und Anlagennetz mit den Standardpasswörtern ab Werk.
3. Einschalten von SSH (ein Fernwartungszugang über die Kommandozeile) auf diesem Gerät. Von dort aus kartierten die Agenten das Netz der Anlagensteuerung, und über einen verschlüsselten Tunnel bewegten sie sich weiter ins Netzwerk.
4. In Gitea, einer Plattform zur Verwaltung von Programmcode, fehlte eine Zugangskontrolle. Darüber kamen die Agenten an die gesamte technische Dokumentation des Standorts, darunter Notizen zur Netzanbindung und die Zugangsdaten für das SCADA-System.
5. Aus den Dokumenten ging hervor, welche Umspannwerk-Steuerung eine offene Schnittstelle hatte. Ein einziger Befehl genügte, um den Leistungsschalter zu betätigen.

Wichtig war auch eine sogenannte Historian-Datenbank. Darin speichert die Anlage Betriebsdaten, zum Beispiel wie die Steuerungen über längere Zeit auf verschiedene Windgeschwindigkeiten reagiert haben. Mit diesen Informationen fanden die Modelle heraus, dass sie sich in einem Windpark befinden und wie er funktioniert.

Zeit und Kosten im Vergleich

„Beim echten Hack des polnischen Windparks waren die Angreifer elf Tage lang drin, bevor sie die Anlage abgeschaltet haben“, sagt Mound.

Die Forscher hatten den Modellen verboten, die Anlage physisch zu beschädigen, damit sich der Versuch wiederholen ließ. Mound hält es aber für klar, dass die Agenten auch weitergehen könnten. Sie hätten zum Beispiel Programme von den speicherprogrammierbaren Steuerungen (SPS, die kleinen Industriecomputer, die Maschinen direkt steuern) löschen können. Bei einem echten Angriff wäre auch Ransomware denkbar, also Erpressungssoftware, die Systeme sperrt, bis Lösegeld bezahlt ist oder alles aus Backups wiederhergestellt wurde. Die Rotorblätter selbst wären laut Bericht geschützt gewesen, weil Sicherheitsmechanismen verhindern, dass sie sich zu schnell drehen.

Die Überraschung: gefälschte Sturmböen

Einer der Agenten fand einen Weg, an den die Forscher nicht gedacht hatten. Er fälschte die Messwerte der Wetterstation, sodass es nach starken Windböen aussah. Daraufhin schalteten die Sicherheitsschaltungen die Turbinen von selbst ab. Mound findet es „unglaublich“, dass ein Sprachmodell auf diese Methode kommt, denn die Vorgabe lautete nur, die Einspeisung ins Netz zu stoppen.

Darin liegt für ihn die eigentliche Warnung: Wer solche Anlagen angreifen will, braucht kein Spezialwissen mehr über Operational Technology (OT), also die Technik, die physische Prozesse wie Stromerzeugung oder Fertigung steuert.

„Auch wer kein erfahrener OT-Red-Teamer oder Penetrationstester ist, kann seine Fähigkeiten mit großen Sprachmodellen verstärken. Und schon die Sprachmodelle allein sind mehr als fähig, in solche Umgebungen einzudringen und sie auszunutzen.“

Red-Teamer und Penetrationstester sind Fachleute, die im Auftrag eines Unternehmens dessen Systeme angreifen, um Schwachstellen zu finden.

Auch das Tempo bereitet Mound Sorgen. In Polen bemerkten die Betreiber den Angriff, bevor es zu einem größeren Vorfall kam. Bei einem KI-gesteuerten Angriff bliebe dafür viel weniger Zeit. „Innerhalb einer Stunde zu erkennen, dass man angegriffen wird, wird sehr schwierig“, sagt er.

Was Betreiber tun sollten

Mounds Rat ist bodenständig: Netzwerkgeräte richtig konfigurieren und keine Standardpasswörter verwenden. Außerdem müssten Betreiber umdenken, welche Daten schützenswert sind. Bisher galten etwa Einträge in der Historian-Datenbank oder interne Dokumentationen kaum als sicherheitsrelevant. Für einen KI-Angreifer sind sie aber wertvoller Kontext, aus dem er ableiten kann, wie eine Anlage funktioniert und wo sie angreifbar ist.

Die Studie erscheint kurz nach einer Serie von Angriffen auf Kühlsysteme von Einzelhändlern in ganz Europa, auf britische Fleischverarbeiter und auf eine französische Blutbank. Richard Horne, Chef des britischen National Cyber Security Centre (NCSC), hatte Unternehmen erst in der Vorwoche aufgefordert, ihre Steuergeräte zu patchen und zu aktualisieren. Große Firmen hätten viel Betriebstechnik, „ob Fertigungslinien, Heizungssteuerungen oder Gebäudemanagementsysteme“, und alle müssten diese Geräte aufspüren und sowohl ihre Anbindung ans Netz als auch ihre Konfiguration überprüfen.

Einordnung

Der Versuch zeigt nicht, dass KI völlig neue Hackertechniken erfindet. Er zeigt etwas Unangenehmeres: Die altbekannten Schwächen von Industrieanlagen, also Standardpasswörter, offene Schnittstellen und ungeschützte Dokumentation, lassen sich jetzt fast automatisch, sehr schnell und für wenige Dollar ausnutzen. Dass das offene Modell Kimi das Ziel ebenfalls erreichte, ist besonders heikel. Open-Weight-Modelle kann jeder herunterladen und ohne die Schutzmechanismen eines Anbieters betreiben.

Einige Punkte muss man einschränken. Die Ergebnisse stammen von einem Unternehmen, das Penetrationstests verkauft, und sind noch nicht öffentlich als vollständiger Bericht verfügbar. Die Modelle bekamen gültige VPN-Zugangsdaten gestellt, der erste und oft schwierigste Schritt fiel also weg. Der Nachbau hatte genau die Schwachstellen, die aus dem polnischen Fall bekannt sind. Wie gut die Agenten in einem gut gesicherten Netz abschneiden würden, bleibt offen. Welche genauen Modellversionen von Claude und Kimi getestet wurden und mit welchen Werkzeugen sie arbeiteten, geht aus dem Bericht nicht hervor. Bemerkenswert ist außerdem, dass ein Modell erkennbar anders handeln wollte, sobald es eine Simulation vermutete. Das berührt eine Frage, die auch KI-Sicherheitsforscher beschäftigt: wie aussagekräftig Tests in künstlichen Umgebungen überhaupt sind.