KI-Hackerangriff: Agenten sind in über 100 Firmen eingedrungen

Am 19. Oktober beschrieb Raphael Satter von Reuters, wie ein chinesischsprachiger Hacker innerhalb weniger Wochen in die Websites von über 100 Firmen eindrang, darunter Deere, SharkNinja und Cummins. Am selben Tag veröffentlichte Snorre Fagerland von NorForge einen Bericht über die Plattform Cairn, auf der dieser KI-Hackerangriff beruhte: Fast die gesamte Arbeit erledigten KI-Agenten, nicht ein Mensch.

Wie lief dieser KI-Hackerangriff ab?

Cairn ist eine Open-Source-Plattform, auf der man KI-Agenten ein Ziel und eine Aufgabe gibt, und sie arbeiten sich Schritt für Schritt dorthin vor. Jede Aufgabe ist ein eigenes Projekt, die Agenten notieren ihre Erkenntnisse auf einem gemeinsamen Board, und der Operator kann Hinweise hinzufügen. Fagerland stieß auf die ganze Sache, als er das Internet nach öffentlich erreichbaren Cairn-Panels durchsuchte. Die Betreiber hatten sie schlicht nicht abgesichert (im Bericht heißt es nur, dass „securing their own infrastructure does not appear to be among their strengths“).

Laut dem NorForge-Bericht gilt:

1. Über 20 Panels wurden höchstwahrscheinlich für Straftaten genutzt. Der Forscher teilte sie in drei Gruppen ein.
2. Die größte Gruppe, chinesischsprachig, umfasste 14 Panels und über 1.100 Angriffsprojekte gegen Onlineshops in den USA, Kanada, Japan und Australien. Die Agenten sollten einen Weg zur Remote-Code-Ausführung finden und auf dem Server eine Datei hinterlassen, über die sich weitere Dateien hochladen lassen, also auch dauerhaften Zugriff.
3. Die zweite Gruppe, englischsprachig, bekam Aufgaben wie „fetch credit cards“ oder „fetch crypto“.
4. Ein erfolgreicher Einbruch dauerte bei den Agenten im Schnitt knapp 23 Stunden, ein Projekt lief über fünf Tage.
5. Die durchschnittliche Erfolgsquote lag bei etwa 10 %.

Laut Reuters hatten die Agenten bis Ende vergangener Woche versucht, in über 1.200 Websites einzudringen.

Was hat das gekostet und welche Modelle kamen zum Einsatz?

Jetzt wird es richtig spannend. Fagerland schätzt, dass die gesamte Kampagne Tokens für rund 5.000 USD verbraucht hat, also etwa 50 USD pro erfolgreichem Einbruch. Im Bericht liegen die durchschnittlichen Kosten einer Aufgabe (fehlgeschlagene eingerechnet) bei etwa 5 USD, mit dem Hinweis, dass die Unsicherheit „considerable“ ist.

Die Aufgaben der größten Gruppe liefen über einen Worker namens claudecode_deepseek-v4.1-flash. Laut NorForge könnte das den Agent-Harness Claude Code bedeuten, angetrieben vom günstigen Modell DeepSeek V4.1 Flash. Die zweite Gruppe nutzte Worker namens pi_openrouter_deepseek, also höchstwahrscheinlich das Framework Pi mit DeepSeek-Modellen über OpenRouter. Das ist eine Deutung der Namen, keine Bestätigung von Anthropic oder DeepSeek, denn keine der beiden Firmen hat sich im Reuters-Artikel geäußert.

Interessant: Die Panels verrieten nicht nur die Angriffsziele. Darin lagen Hunderte Secrets: Passwörter, API-Schlüssel und andere Zugangsdaten. Das Tool Trufflehog bestätigte, dass 11 % davon noch funktionierten. Auf den offenen Panels fanden sich außerdem Projekte seriöser Pentest-Firmen, samt Daten ihrer Kunden.

Was sagen die betroffenen Firmen?

Die Opfer hat Reuters benannt, nicht der NorForge-Bericht. Laut den Stellungnahmen:

1. Deere hat „necessary remediation actions“ ergriffen und sieht keine Hinweise darauf, dass jemand auf sensible Daten zugegriffen hat.
2. Bei SharkNinja wurde eine separate Website mit Informationen zum Produktsupport angegriffen, die Bedrohung ist eingedämmt.
3. Cummins prüft eine Meldung über einen möglichen Angriff auf eine Website, die ein externer Dienstleister betreibt.

Reuters konnte nicht klären, wie viele Daten (und ob überhaupt welche) abgeflossen sind. Der Autor von Cairn, auf X als le1xia0 unterwegs, schrieb, die Plattform „was not designed for hacking attacks“ und schädliche Nutzung sei nie seine Absicht gewesen.

Warum sorgt das für so viel Aufsehen?

Weil es ein weiterer Beweis dafür ist, dass KI-Agenten fast ohne menschliche Aufsicht in echte Firmen einbrechen. Fagerland sagte Reuters, er sei davon ausgegangen, dass solche Agenten noch zumindest etwas Kontrolle brauchen, doch die Technik habe diese Phase bereits hinter sich. Er fasste es knapp zusammen: „It’s not script kiddie stuff“ und „The development in this field is astounding“.

Der Hintergrund ist beunruhigend. Im Reuters-Artikel heißt es, dass Gambit Security im August eine Gruppe beschrieb, die mithilfe eines KI-Tools in sieben Organisationen eindrang, und im September eine Agenten-Kampagne, die 25 Firmen und mindestens 600.000 Kreditkartendatensätze betraf. Laut Bitsight ist von autonomen Agenten auch in Kriminellenforen immer häufiger die Rede.

Vor ein paar Tagen habe ich über das Datenleck bei OpenCode geschrieben, bei dem ein Mitentwickler des Tools von einer „whole new world with ai powered hacking“ sprach. Offenbar hat er nicht übertrieben :(

FAQ

War es Claude Code, das in die Firmen eingebrochen ist?

Das weiß man nicht sicher. Der Name des Workers deutet auf den Harness Claude Code mit dem Modell DeepSeek V4.1 Flash hin, aber das ist nur die Interpretation von NorForge. Das Modell selbst ist DeepSeek, und Claude Code wäre hier (noch) eine weitere Schicht, die Tools aufruft.

Was ist Cairn?

Eine Open-Source-Plattform, die KI-Agenten koordiniert, die an einem gemeinsamen Ziel arbeiten, mit einem gemeinsamen Board für Erkenntnisse. Laut ihrem Autor ist sie nicht zum Hacken entstanden, im NorForge-Bericht wird sie aber direkt als „AI-powered hacking system“ bezeichnet.

Was kostet ein KI-Hackerangriff?

In dieser Kampagne nach Fagerlands Schätzung rund 50 USD an Tokens pro erfolgreichem Einbruch und etwa 5 USD pro Aufgabe, auch für fehlgeschlagene. Fagerland betont selbst, dass es Schätzungen mit großer Unsicherheit sind.