KI-Agenten verkürzen eine zwei Wochen lange Attacke auf 10 Stunden, und liefern einen 80-seitigen Audit
Unit 42 von Palo Alto Networks zufolge brach ein Angreifer mit Frontier-Modellen und agentischen Frameworks in unter 10 Stunden in ein Unternehmen ein. Ohne Zero-Day.
Auf dieser Seite
Jahrelang lautete das Versprechen von KI in der Sicherheit: Verteidigung. Schnellere Triage, automatisierte Reaktion, weniger ausgebrannte Analysten. Diese Woche veröffentlichte die Incident-Response-Einheit Unit 42 von Palo Alto Networks einen Bericht, der die andere Seite dieser Medaille zeigt. Ein menschlicher Angreifer, bewaffnet mit Frontier-KI-Modellen und angriffsspezifischen agentischen Frameworks, drang in ein Unternehmensnetzwerk ein, erbeutete Root-Zugangsdaten und bewegte sich in unter 10 Stunden durch die Cloud-Infrastruktur, Arbeit, für die ein menschliches Red Team laut der Einheit rund zwei Wochen braucht.
Zum Weiterlesen: Metas Muse-KI gab ihr komplettes Dateisystem nach einer leichten Aufforderung heraus · Ein Google-Gemini-Modell entkam dem Test und hackte drei Unternehmen.
Der am 2. September veröffentlichte Bericht ist eine der klarsten Darstellungen dessen, was „Machine-Speed"-Offensive in der Praxis bedeutet.
Der Angriff, Schritt für Schritt
Bemerkenswert ist, wie gewöhnlich die zugrunde liegenden Schwachstellen waren. Es gab keinen neuartigen Zero-Day und keine seltene Tradecraft. Die Zusammenfassung von Unit 42 ist unverblümt: Die Geschwindigkeit kam aus KI-gestützter operativer Effizienz, nicht aus Elite-Hacking.
Der Einbruch folgte einer inzwischen vertrauten Abfolge, nur in einem Tempo, das Menschen selten durchhalten:
- Erstzugang. Der Angreifer kompromittierte einen öffentlich erreichbaren Webdienst und nutzte ihn, um einen Tunnel ins Unternehmensnetz aufzubauen.
- Aufklärung. Ein automatisierter Agent kartierte interne Microservices und fand erreichbare Dienste in der gesamten Umgebung.
- Zugangsdaten-Ernte. Sub-Agenten durchsuchten Quellcode-Repositories nach fest kodierten Tokens, Dienstkennwörtern und Secrets.
- Rechteausweitung. Mit den erbeuteten Tokens erreichten die Agenten die Secrets-Management-Plattform und stahlen Master-Administrator-Zugangsdaten, und damit Root-Zugriff.
- Laterale Bewegung. „Spezialisierte Pivot-Agenten" validierten den Zugriff auf Cloud-, Identity-, CI/CD-, Container- und SaaS-Umgebungen.
- Übernahme der Infrastruktur. Der Angreifer missbrauchte benutzerdefinierte Workflows in einer Unternehmens-Codeanwendung, um Cloud-Zugangsschlüssel zu exfiltrieren, und versuchte, Hintertüren in Terraform-Konfigurationen zu pflanzen. Branch-Protection-Kontrollen blockierten die Manipulation der Infrastructure-as-Code, eines der wenigen Dinge, die funktionierten.
- Instrumentalisierung des Opfers. Mit den gestohlenen Cloud-Schlüsseln rief der Angreifer die eigenen KI-Endpunkte des Opfers auf und machte die Rechenleistung des Unternehmens zur Post-Compromise-Infrastruktur.
Der letzte Schritt verdient einen zweiten Blick. Indem sie ihre Orchestrierung über die legitimen KI-Dienste des Opfers laufen ließen, konnten die Angreifer bösartige Aktivität in normalen Modellverkehr einbetten und die Rechnung dem Unternehmen zuschieben, das sie gerade ausgeraubt hatten.
Das Signal: über 50 ATT&CK-Techniken in einer Schleife
Unit 42 zählte mehr als 50 verschiedene MITRE-ATT&CK-Techniken, komprimiert in eine einzige automatisierte Schleife. Die Methoden waren meist bekannt. Der Unterschied: Die Agenten überwachten Tool-Ausgaben, bewerteten Optionen, handelten und planten in Echtzeit neu, ohne auf einen Menschen zu warten, der einen Bildschirm liest.
Woran man erkannte, dass KI im Spiel war
Attribution ist immer schwierig, doch Unit 42 markierte mehrere Indikatoren, die mit agentischen Operationen übereinstimmen:
- Parallele Aufrufe mehrerer großer Sprachmodelle.
- Strukturierte Markdown-Dateien, mit denen Kontext zwischen Agenten und Sitzungen weitergegeben wurde.
- Benutzerdefinierte Automatisierungsskripte mit Merkmalen KI-generierten Codes.
Der menschliche Operator behielt Ziele und folgenreiche Entscheidungen in der Hand. Die Agenten übernahmen Aufklärung, Zugangsdaten-Sammlung, Rechteausweitung und Persistenz.
Der Teil, der wie Satire klingt
Nach Erreichen seiner Ziele ließ der Angreifer die Agenten einen 80-seitigen technischen Bericht über die Sicherheitslage des Opfers erstellen, inklusive „Dutzender ausgenutzter Schwachstellen", ein automatisierter Penetrationstest-Bericht, geliefert vom Eindringling.
Man ist versucht, das als Angeberei abzutun. Doch es ist auch ein Signal dafür, wie billig offensive Fähigkeiten heute produktisiert werden können. Dieselbe Automatisierung, die einem Kunden einen professionellen Audit liefert, kann ihn einem Opfer liefern.
Was Verteidiger tun sollten
Die Empfehlungen von Unit 42 drehen sich weniger um exotische KI-Abwehr als um operatives Tempo, denn der Vorteil des Angreifers ist Geschwindigkeit, und die einzige Antwort auf Geschwindigkeit ist Automatisierung.
Automatisierte Containment-Playbooks sollten parallel:
• Zugangsdaten widerrufen
• OAuth-Sitzungen beenden
• CI/CD-Pipelines einfrieren
• Cloud-Konten isolieren
KI als Kerninfrastruktur behandeln:
• jeden Modell-Endpunkt, API-Schlüssel und MCP-Gateway erfassen
• Rate-Limits und Least-Privilege durchsetzen
• Zugangsdaten kurzlebig machen
Das unbequeme Fazit
Die Autoren argumentieren, dass die einzige Möglichkeit, mit Machine-Speed zu verteidigen, darin besteht, mit Machine-Speed zu kämpfen, mit KI-Agenten, die das Containment übernehmen. Das ist ein bemerkenswertes Eingeständnis: Das Verteidigungswerkzeug und das Angriffswerkzeug sind zunehmend dieselbe Technologie, nur in entgegengesetzte Richtungen gerichtet.
Die breitere Lehre ist vertraut, aber neu dringlich. Repositories, CI/CD-Pipelines, Infrastructure-as-Code und Secrets-Management sind jetzt alle Teil der Angriffsfläche. Die Agenten haben diese Woche keine neue Klasse von Schwachstellen entdeckt. Sie sind einfach schneller durch die alten gegangen, als ein menschliches Team reagieren konnte.
Tags
TPW Editorial
Redaktion
Die Redaktion von TechPastWeek recherchiert und betreut jeden veröffentlichten Artikel. Jede Geschichte wird anhand von Primär- und glaubwürdigen Sekundärquellen geprüft und vor der Veröffentlichung redaktionell freigegeben.
