Ein chinesischer Open-Source-Entwickler veröffentlichte Artex im August. Das Red-Teaming-Werkzeug arbeitet mit KI-Agenten und eignet sich auch für Cyberkriminelle. In den Monaten danach zeigte sich, wie wirksam es nach Schwachstellen sucht und einen ersten Zugang mit Maschinengeschwindigkeit zu einer echten Kompromittierung ausbaut.
Yuval Itzchakov ist Mitgründer und CTO von A Security. Er bezeichnet Artex als Ausdruck einer „Ära des dauerhaften Konflikts“. Sein Forschungsteam ließ das Werkzeug gegen einen eigenen Open-Source-Benchmark laufen. Nach Itzchakovs Angaben fand Artex dort in etwa 45 Minuten acht Schwachstellen, darunter eine kritische Rechteausweitung bis zum Administrator. Die Lücken verkettete das Werkzeug zu einem vollständigen Angriffspfad, der eine WAF, ein CAPTCHA und eine Multi-Faktor-Authentifizierung überwand. Dafür seien nur ein Download, ein Installationsskript und ein Schlüssel für das KI-Modell nötig gewesen. „Entfernt man die Leitplanken eines KI-Hacking-Werkzeugs, kann jeder agentische Angriffe in großem Maßstab ausführen“, sagt Itzchakov. Bei Artex sei der festgelegte Prüfumfang für das Modell „nur ein Vorschlag“.
Der Autor nahm das ursprüngliche Artex am 8. Oktober aus dem Angebot. Neue Varianten richten aber weiterhin Schaden an. Die aktuell verbreitetste heißt AntiFox. Angreifer nutzten sie zuletzt, um aus dem Internet erreichbare Webdienste und die zugehörigen AWS-Umgebungen anzugreifen. Forscher von Arctic Wolf Labs beschreiben das Vorgehen: Die Täter drangen in Server mit Microsoft Internet Information Services (IIS) ein, installierten dort Webshells und führten Betriebssystembefehle aus. In den AWS-Umgebungen ermittelten sie die vorhandenen Dienste, legten Geheimnisse aus Produktivsystemen offen und manipulierten S3-Buckets.
Arctic Wolf Labs empfiehlt dagegen bewährte Maßnahmen: nach Kompromittierungsindikatoren suchen sowie betroffene Zugangsdaten und Sitzungen rotieren und widerrufen. Nach Ansicht der Forscher braucht es gegen Artex oder AntiFox kaum mehr als grundlegende Sicherheitshygiene. Vorschnelle Annahmen seien aber gefährlich. GitGuardian schreibt in einem Blogbeitrag zu AntiFox: „Das Blockieren von Scanner-Werkzeugen hält diese Agenten nicht auf, und ein geleakter Schlüssel bleibt gefährlich, bis ihn jemand widerruft.“
Verteidiger haben nach Einschätzung der Fachleute trotzdem deutliche Vorteile. Itzchakov sagt, Artex komme nicht über die Eingangstür hinaus. Es beherrsche keine laterale Bewegung, prüfe kein Active Directory und habe keinen Einblick ins Innere eines Netzes. Verteidiger dagegen sähen ihre gesamte Umgebung. Sie könnten sie fortlaufend mit derselben Geschwindigkeit und Autonomie testen, und zwar unter Leitplanken, die niemand abschalten kann. Im Vorteil seien die Organisationen, die diese Lage als dauerhaft begreifen und ihre Sicherheit danach ausrichten.
Eye Research beschreibt einen Incident-Response-Einsatz gegen einen Artex-Angriff und nennt dabei eine weitere Schwäche agentischer Werkzeuge: Sie sind laut. „Die Agenten hinterließen ihren Namen in Pod-Namen und Sondierungen, bombardierten Endpunkte, die kein Mensch anfassen würde, und lösten auf Systemen mit installierter EDR Erkennungen aus“, heißt es dort. „Wo wir Einblick hatten, haben wir sie sofort gesehen.“
Guillaume Valadon ist leitender Sicherheitsforscher bei GitGuardian. Seiner Ansicht nach lassen sich viele kleine Schritte zu einem Schutz für Netze und Organisationen kombinieren. Um die auffälligen Spuren von Artex oder AntiFox zu bemerken, bräuchten Blue Teams eine SIEM-Plattform und ein wirklich gutes Erkennungssystem. Nur so könnten sie diese Werkzeuge im allgemeinen Rauschen ausmachen.
Neben der aktiven Erkennung empfehlen die Fachleute, sich auf das Secrets-Management zu konzentrieren. Artex und AntiFox finden Geheimnisse sehr zuverlässig. Ein Grund dafür ist, dass sie gewöhnliche Befehle wie „git“ und „grep“ verwenden, statt einen eigenen Secret-Scanner mitzubringen, der leichter zu erkennen und zu blockieren wäre. GitGuardian hat das in einem eigenen Laborversuch beschrieben.
Justin Moore, Director of Adversary Operations bei Arctic Wolf, rät Verteidigern zu Folgendem:
- nach offengelegten und ungenutzten Schlüsseln suchen,
- Git-Repositories auf offengelegte Geheimnisse prüfen,
- konsequent auf ein mehrschichtiges Verteidigungskonzept (Defense in Depth) setzen.
„Diese Frameworks sind nicht deshalb so wirksam, weil sie neuartige Angriffe ausführen“, sagt Moore. „Sie tun genau das, was wir schon kennen, nur schneller als je zuvor.“ Gute Sicherheitshygiene verhindere, dass solche Angriffe so erfolgreich sind, ob sie nun von Agenten kommen oder nicht.
Valadon ist trotzdem skeptisch: „Wenn ich pessimistisch bin, würde ich sagen, es ist zu spät.“ Seit Jahren warne man davor, Geheimnisse preiszugeben, und finde überall öffentlich hartcodierte, sehr wichtige Geheimnisse, etwa auf Docker oder GitHub. Inzwischen gebe es Werkzeuge, die schnell vom Nichts über die Entdeckung bis zur Ausnutzung kommen. Das mache die Arbeit der Blue Teams schwerer. „Die agentischen Fähigkeiten der Angreifer sind schon da, und sie werden immer schneller“, sagt Valadon. Wer die richtigen Maßnahmen nicht schon vorher umgesetzt habe, werde nur schwer aufholen.
Seit Jahren erwartet die Sicherheitsbranche KI-gesteuerte Cyberangriffe. Produktkampagnen kündigten agentische Angriffe als unmittelbar bevorstehend an, und Meldungen über leicht KI-beeinflusste Taktiken, Techniken und Verfahren (TTPs) sowie Malware häuften sich. Der größte Teil der Debatte blieb jedoch bestenfalls theoretisch und war schlimmstenfalls irreführend. Etwa zur Mitte dieses Jahres scheint es einen bedeutsamen, wenn auch unvollständigen Wendepunkt gegeben zu haben. Er betrifft womöglich nicht die versiertesten Angreifer, zumindest aber Cyberkriminelle mittleren Niveaus.
Valadon beschreibt die Entwicklung so: Als ChatGPT aufkam, habe man ihm nur einfache Fragen gestellt, programmieren sei damit nicht möglich gewesen. Später seien Agenten hinzugekommen, die besser programmieren und synchronisieren konnten. „In diesem Jahr kann man alles von Anfang bis Ende erledigen“, sagt er. Man gebe einem Agenten eine grobe Idee, und er plane, schreibe den Code und stelle ihn bereit. Den gesamten Zyklus beherrsche er immer besser.
Valadon verweist außerdem auf Warnungen von Anthropic und OpenAI vor Open-Source-KI aus diesem Herbst. Manche führten das Auftauchen solcher Angriffs-Frameworks auf chinesische Open-Weight-Modelle zurück. „Wer eine große GPU hat, kann mit Artex seine eigenen offensiven Modelle betreiben“, sagt er. Es werde immer gefährlicher. Die Entwicklung passe zu den Warnungen von HuggingFace, OpenAI und Anthropic, dass Angreifer Zugang zu echten offensiven Werkzeugen erhalten.