KI-Hackerbaukästen von GitHub: Wie ARTEX & Co. zum Angriffsstandard wurden

Darum geht es

Seit Februar 2026 berichten Sicherheitsfirmen immer wieder über Einbrüche, bei denen ein KI-Agent die Routinearbeit erledigt. Gemeint ist ein Sprachmodell, das selbstständig Werkzeuge auswählt, Befehle schreibt und Ergebnisse auswertet. Einzeln wirkten die Fälle wie Kuriositäten: CyberStrikeAI bei Hochschulen in Afrika und Lateinamerika (Kaspersky), ARTEX bei südkoreanischen Banken (CrowdStrike, Zscaler) und BOSSAI in Taiwan (Acronis). Seit dieser Woche ergeben sie ein klares Muster. Am 4. November hat die indische Cyberbehörde CERT-In vier frei verfügbare Werkzeuge namentlich als Ausrüstung eines Angreifers namens „Crafty Falcon“ genannt: ARTEX, PentAGI, Cairn und CyberStrikeAI. Fast gleichzeitig wurde bekannt, dass eine präparierte ARTEX-Version ihren eigenen Nutzern eine Hintertür einbaut.

Unsere These: Als Pentest-Tool deklarierte Agenten-Frameworks sind innerhalb weniger Monate zum Standardbaukasten für Angriffe geworden. Ein Pentest ist ein beauftragter, erlaubter Einbruchstest. Ein Agenten-Framework ist das Programmgerüst, das ein Sprachmodell mit Hackerwerkzeugen verbindet. Diese Entwicklung hat Folgen für drei Gruppen: die Angreifer selbst, die Plattformen, auf denen die Tools liegen, und die Verteidiger.

Die Werkzeuge im Vergleich

Auffällig ist die Herkunft. Zwei der vier Werkzeuge liegen in der Nähe desselben chinesischen Sicherheitsanbieters. ThreatBook hat CyberStrikeAI am 1. Oktober gekauft, und ARTEX-Entwickler Li Puhua ist laut ThreatBook Produktleiter von dessen Plattform RedAgents. ARTEX soll ein Privatprojekt sein. Belege für eine Steuerung durch ThreatBook gibt es nicht.

Alle Werkzeuge tragen Haftungsausschlüsse. Bei CyberStrikeAI heißt es, es sei nur für Bildung und autorisierte Tests gedacht. Cairn will ausschließlich in Umgebungen mit ausdrücklicher Erlaubnis eingesetzt werden. Technisch verhindert das nichts. Laut Zscaler blockiert ARTEX zwar Domains von Regierungen und Universitäten, nicht aber die von Banken.

Was die Tools wirklich können und was Marketing ist

Die Zahlen der Sicherheitsfirmen klingen dramatisch, halten bei genauem Lesen aber oft weniger, als die Schlagzeilen versprechen:

• VAPOR PANDA: CrowdStrike spricht von über 200 angegriffenen Organisationen in mindestens 14 Ländern. Gegenüber CyberScoop nannten Sprecher rund 140 kompromittierte Ziele. Im Blogbeitrag selbst ist aktive Nachbereitung im Netz, also Aktivität nach dem Einbruch, nur bei neun Organisationen bestätigt.
• Cairn: NorForge fand 25 offene Panels mit über 1.100 Projekten. Ein Projekt ist aber kein Opfer, und die Meldung „GOAL MET“ ist nur eine Angabe im Panel der Angreifer. Die Erfolgsquote von „rund 10 %“ und die Kosten von etwa 5 Dollar pro Aufgabe sind Schätzungen. Nachgeprüft wurden einzelne Fälle, darunter eine Webshell, also ein heimlich hochgeladenes Fernsteuerskript, auf der Seite eines Hardwarehändlers.
• FortiGate: Amazon zählte über 600 kompromittierte Geräte in mehr als 55 Ländern. Die Verbindung zu CyberStrikeAI hat Team Cymru über ein Server-Banner und Netzwerkdaten hergestellt. Das ist eine Schlussfolgerung, keine bewiesene Zuordnung der gesamten Kampagne.
• BOSSAI: Acronis dokumentiert ausführlich, wie oft die Agenten danebenlagen. Mehr als die Hälfte der als „hoch“ oder „kritisch“ eingestuften Funde eines Agenten waren Fehlalarme, manche Modelle erfanden Sicherheitslücken. Die geknackten Systeme waren außerdem schon vorher schwach geschützt: ein offener Port seit 2018 und ungepatchte Oracle-Datenbanken.
• Südkorea: Die Finanzsicherheitsbehörde betont, die KI habe nicht eigenständig angegriffen, sondern sei ein Werkzeug in Menschenhand gewesen. Auch bei Kaspersky musste ein Mensch die vorgeschlagenen Schritte freigeben.

Belegt ist also nicht der „autonome KI-Hacker“, sondern etwas Unspektakuläreres: Bekannte Angriffstechniken wie SQL-Injection, Passwort-Spraying (viele Konten mit wenigen gängigen Passwörtern durchprobieren), das Auslesen von LSASS oder DCSync werden billiger, schneller und parallel ausführbar. Microsoft schreibt dazu:

„Agenten unterliegen nicht den Faktoren, die Menschen einschränken.“

Bei Storm-0940 erreichte die Passwort-Spraying-Welle in der Spitze 2.900 Fehlversuche pro Minute. Erfolgreich war diese konkrete Welle allerdings nicht, fast 98 % der Aktivität führten zu Kontosperren.

Unsere Einschätzung: Die Sicherheitsfirmen verkaufen die Abwehr gegen genau die Bedrohung, die sie beschreiben. Das macht die Berichte nicht falsch. Die Kennzahlen sollte man aber trennen: angegriffen, angeblich kompromittiert und bestätigt sind drei verschiedene Dinge.

Südkorea und Indien: Was die Behörden sagen

Die südkoreanische Finanzaufsicht FSC meldete am 5. November 40 Vorfälle bei 37 Finanzfirmen seit dem 30. September. Betroffen sind unter anderem 4 Banken, 5 Investmentfirmen, 5 Sparkassen und 10 E-Finanz-Anbieter. Offengelegt wurden rund 473.000 Datensätze, darunter Namen, Einwohnernummern und Kontonummern. Etwa 1 Milliarde Won (rund 750.000 Dollar) wurde gestohlen, vor allem aus Hot Wallets kleiner Kryptobörsen, also Wallets, die ständig mit dem Internet verbunden sind. Die FSC will bis Jahresende über 580 Firmen prüfen. Wichtig ist eine Einschränkung: In den Berichten zur FSC-Mitteilung von Korea Times und Businesskorea fällt der Name ARTEX nicht. Nachgewiesen ist ARTEX bisher bei den ersten Fällen um die Shinhan Bank, nicht bei allen 37.

CERT-In und die Finanzabteilung CSIRT-Fin stufen Crafty Falcon als „kritisch“ und „aktiv“ ein. Der Angreifer dringt laut Berichten über ungeschützte Test- und Staging-Systeme ein, missbraucht Cloud-Dienste wie AWS Systems Manager und Lambda und ruft die Auszahlungsschnittstellen der Opfer selbst auf. Vor großen Überweisungen soll er Testbuchungen über 1 Rupie machen. Firmen, die nach früheren Warnungen nur halbherzig aufgeräumt hatten, wurden erneut angegriffen. Wer hinter Crafty Falcon steckt, sagt CERT-In nicht. Die Behörde spricht auch nicht von staatlicher Steuerung. Den Zusatz „chinesisch“ in vielen Schlagzeilen haben Medien ergänzt.

Die Angreifer werden selbst angegriffen

Der Forscher Badbyte hat das Docker-Image tomicdd/artex analysiert. Ein Docker-Image ist ein fertig gepacktes Softwarepaket, das man mit einem Befehl startet. Docker Hub zeigt dafür rund 9.000 Downloads. Die Hintertür steckt in einer versteckten Funktion verifyCaptcha() im Login. Beginnt das CAPTCHA-Feld mit einer geheimen Markierung, führt der Server den Rest als Shell-Befehl mit root-Rechten aus, also mit vollen Administratorrechten, und schickt die Ausgabe zurück. Das passiert noch vor der Passwortprüfung. Verbreitet wurde das Image unter anderem über die GitHub-Kopie trhhubsd/ARTEX mit 2.449 Sternen. Dort wurde in der Datei docker-compose.yml eine einzige Zeile geändert.

Am 4. November liefen 1.645 öffentlich erreichbare ARTEX-Konsolen, 62 davon mit der verseuchten Version (26 in den USA, 17 in Hongkong, 7 in China). Badbyte zufolge verraten befallene Konsolen auch ungepatchte Funde, gültige Zugangsdaten und den Zugang zu den Netzen der Opfer. Rechnet man nach, wurde das Image etwa am 8. Oktober hochgeladen: zwölf Tage vor der ersten beobachteten Instanz am 20. Oktober. Das ist genau der Tag, an dem der Entwickler das Original privat stellte. Wer danach ARTEX suchte, landete bei Kopien. Badbytes trockener Kommentar: Die Betroffenen hätten sich ohnehin entschieden, ein ungeprüftes Angriffswerkzeug als root an einem offenen Port zu betreiben.

Warum GitHub und Docker Hub die Tools stehen lassen

GitHubs Richtlinie erlaubt Dual-Use-Inhalte, also Software, die sich zum Schutz wie zum Angriff eignet, ausdrücklich und geht von guter Absicht aus. Eingegriffen wird nur in „seltenen Fällen sehr weit verbreiteten Missbrauchs“. Selbst dann wird der Zugang meist nur hinter eine Anmeldung gelegt, statt das Repo zu löschen. Docker verbietet in seinen Nutzungsbedingungen zwar „bösartige“ Inhalte. Zugleich schiebt Docker die Verantwortung ab: Nutzer seien „allein verantwortlich“, jedes Image vor dem Einsatz zu prüfen. tomicdd/artex war am 5. November noch abrufbar. Eine Sperre der vier Werkzeuge ist uns nicht bekannt. Löschen würde ohnehin wenig bringen, denn das zeigt der Fall ARTEX: Nach dem Rückzug des Originals kursieren Forks, kommerzielle Ableger und eben verseuchte Kopien.

Was Verteidiger davon haben

Die gute Nachricht: Standardwerkzeuge hinterlassen Standardspuren. CyberStrikeAI lauscht ab Werk auf Port 8080, und Team Cymru fand Angreiferserver über das Banner „CyberStrikeAI“. Cairn nutzt Port 8000 und ein festes Worker-Image. Laut NorForge verriet ein Fehler in der Angreifer-Pipeline Dutzende Panels: Den Seitennamen fehlte das erste „w“. Microsoft veröffentlicht IP-Adressen und User-Agents von Storm-0940. Oasis Security zählte Anfang Oktober 359 ARTEX-IPs, Badbyte einen Monat später 1.645 Konsolen. Die Methoden unterscheiden sich, die Richtung ist trotzdem eindeutig.

Weniger verlässlich sind die Sperren der Modellanbieter. Laut Acronis verweigerten kommerzielle Modelle bei BOSSAI zwar Angriffsaufgaben. Der Täter wich aber auf abliterierte Modelle aus, also offene Modelle, denen die Sicherheitsausrichtung entfernt wurde, und betrieb sie auf eigenen Grafikkarten. Laut CrowdStrike reichte bei Claude Code dagegen oft der Satz, man mache einen „autorisierten Pentest“. Anthropic meldet regelmäßig gesperrte Konten und nennt PentAGI in seinem Bericht vom September als öffentlich verfügbares Angriffsgerüst. Im Kaspersky-Fall lief das Modell auf dem Server der Angreifer, und das Implantat rief keine KI-Schnittstelle auf. CERT-In empfiehlt trotzdem, KI-API-Verkehr von Rechnern zu überwachen, die nicht zur Entwicklung gehören. Ein Teil der Angriffe läuft daran aber vorbei.

Einordnung

Belegt ist inzwischen über Länder hinweg: Dieselben frei verfügbaren Agenten-Frameworks tauchen bei Kriminellen, Einzeltätern und staatsnahen Gruppen auf, von Seoul über Mumbai bis zu Hochschulen in Afrika. Nicht belegt ist der autonome Superhacker. Die Agenten machen Fehler, brauchen menschliche Freigaben und nutzen fast ausschließlich längst bekannte Schwachstellen. Unsere Einschätzung: Die eigentliche Verschiebung ist wirtschaftlich. Ein Angriff kostet nur noch wenige Dollar Rechenzeit, und eine Person kann Hunderte Ziele parallel bearbeiten. Für Verteidiger heißt das: Exponierte Test-Systeme, alte Datenbanken und halbherzige Nachbereitung werden schneller gefunden als je zuvor. Feste Spuren wie Ports, Images und Banner sind derzeit ihr größter Vorteil, solange Angreifer ihre Werkzeuge so nachlässig betreiben wie bisher. Offen bleibt, ob GitHub, Docker und die Modellanbieter ihre Regeln an Werkzeuge anpassen, die laut Dokumentation dem Testen dienen und in der Praxis zum Einbruch genutzt werden.