Die Abteilung Counter Adversary Operations von CrowdStrike hat einen Bericht über vier bislang nicht dokumentierte Angreifergruppen veröffentlicht. Alle vier hatten ihre Angriffswerkzeuge in offen zugänglichen Verzeichnissen liegen lassen. Dadurch konnten die Forscher nachvollziehen, wie sie KI-Agenten einsetzen. Die Aktivitäten liefen laut Wired zwischen Mai und August 2026; genutzt wurden vor allem Versionen von Anthropics Claude, daneben offene DeepSeek-Modelle.

Die vier Gruppen

  • Eine spanisch- und englischsprachige Gruppe kompromittierte mindestens 15 Gesundheitseinrichtungen in Argentinien. Ein „Supervisor“-Agent wählte dabei den nächsten Angriffsschritt, ein „Executor“-Agent führte ihn aus. Die Basis war das Open-Source-Projekt PentestGPT.
  • Eine chinesischsprachige Gruppe mit mehr als 20 benannten Zielen kompromittierte laut Wired Behördenziele in Brasilien und Kolumbien und griff Firmen in Brasilien und den USA an. Sie nutzte Claude über einen Proxy-Dienst in China und versuchte mit einem Werkzeug namens ClawGod, eingebaute Sicherheitsanweisungen zu entfernen.
  • Eine indonesischsprachige Gruppe, laut den Forschern die am wenigsten versierte, setzte 819 Skills ein, überwiegend aus der öffentlichen Sammlung claude-red. Sie kompromittierte dennoch mehrere indonesische Behördendomains und eine in Bangladesch.
  • Eine russischsprachige Gruppe erbeutete Kundendaten eines US-Anbieters von CRM-Software.

Einordnung

Bemerkenswert ist, dass auch technisch schwache Angreifer mit frei verfügbaren Bausteinen erfolgreich waren. Alle vier Gruppen richteten ihre Kampagnen so ein, dass sie über längere Zeit weitgehend selbstständig liefen.

Was der Bericht über die Rolle von KI zeigt

Der Bericht beschreibt keine grundsätzlich neuen Angriffstechniken. Neu ist die Arbeitsteilung: KI-Agenten übernehmen Erkundung, Auswahl des nächsten Schritts und Ausführung, während Menschen nur noch steuern. Dass die Gruppen ihre Werkzeuge offen liegen ließen, verschaffte den Forschern einen seltenen Einblick. Wie verbreitet solche Kampagnen insgesamt sind, lässt sich daraus nicht ableiten.

Bemerkenswert ist auch der Versuch, eingebaute Schutzmechanismen der Modelle zu umgehen. Anbieter wie Anthropic setzen auf Sicherheitsanweisungen und Missbrauchserkennung. Der Bericht zeigt, dass Angreifer gezielt nach Wegen suchen, diese auszuhebeln, etwa über Proxy-Dienste.

Was Verteidiger tun können

Für Unternehmen bleiben die Grundlagen entscheidend: zeitnahes Patchen, Mehr-Faktor-Authentifizierung, Überwachung ungewöhnlicher Aktivitäten und klare Notfallpläne. Wissensdatenbanken wie MITRE ATT&CK und MITRE ATLAS helfen, Angriffstechniken systematisch zu erfassen, ATLAS speziell für Angriffe mit und auf KI-Systeme. Das BSI bietet für kleinere Organisationen Empfehlungen und Checklisten.

Wer selbst KI-Agenten einsetzt, sollte zudem protokollieren, welche Aktionen sie ausführen, und ungewöhnliche Muster genauso überwachen wie bei menschlichen Konten.

Quellen und Weiterlesen

Dieser Beitrag stützt sich auf die Berichterstattung von CrowdStrike: CrowdStrike Uncovers New Agentic AI Campaigns und Wired: AI Guardrails Aren’t Stopping Criminal Hackers. Zahlen und Angaben stammen aus diesen Quellen, eigene Schätzungen hat die Redaktion nicht ergänzt. Wer tiefer einsteigen möchte, findet ergänzendes Material hier:

  • MITRE ATLAS: Angriffstechniken gegen und mit KI-Systemen: Offizielle Dokumentation oder Regelwerk.
  • MITRE ATT&CK: Wissensdatenbank zu Angriffstechniken: Praktisches Werkzeug oder Nachschlagewerk.
  • BSI: Bundesamt für Sicherheit in der Informationstechnik: Hintergrundinformationen zur beteiligten Organisation oder zum Thema.