44 KI-Agenten gegen Ziele in Japan: Forscher analysieren drei KI-gestützte Angriffskampagnen

„Diese Umgebungen enthielten Aufklärungs- und Angriffswerkzeuge, Skripte, Ziellisten, Ergebnisse, Protokolle und Befehlshistorien", erklärten die Sicherheitsforscher Bakuei Matsukawa und Joseph C Chen. Die Bandbreite reiche von Arbeitsumgebungen, die überwiegend manuell von erfahrenen Operatoren genutzt wurden, bis hin zu KI-Agenten-Plattformen, die den kompletten Arbeitsablauf einschließlich Command-and-Control automatisierten.

Im ersten Fall missbrauchten die Angreifer CyberStrikeAI, ein quelloffenes Penetrationstest-Werkzeug, das zuvor bereits in einer Angriffskampagne gegen Fortinet-FortiGate-Appliances zum Einsatz kam. Die Aktivität konzentrierte sich auf einen kurzen Zeitraum im Oktober 2026. Das offensive Werkzeug automatisiert dabei weite Teile des Angriffslebenszyklus zu einem wiederholbaren Arbeitsablauf:

• Aufklärung
• Auffinden und Validieren von Schwachstellen
• Ausnutzung
• Command-and-Control
• Persistenz
• Datenabfluss
• automatisierte Berichterstellung

Die Arbeit wurde auf 44 Agenten verteilt; zugleich erlaubte die Plattform das Erzeugen von Formularen und gefälschten Anmeldeseiten in japanischer Sprache. „In kurzer Zeit waren mindestens 19 identifizierbare Organisationen, darunter mindestens 16 in Japan, von Validierungsaktivitäten betroffen", teilte die Unternehmenssicherheitssparte von Trend Micro mit. Zu jeder habe ein Bericht im selben Format samt einem Index der Belege vorgelegen – Ergebnisse eines strukturierten, von der Plattform ausgeführten Prozesses und keine beiläufigen Notizen eines Operators.

Der zweite Fall wird als menschlich geführter Angriff beschrieben, bei dem ein großes Sprachmodell Planung und Werkzeugentwicklung beschleunigte. Die Analyse der Infrastruktur und der Artefakte deutet darauf hin, dass die Kampagne auch auf KI-Workflow-Plattformen und Inferenzdienste zielte, um günstig große Mengen an Inferenzkapazität zu erlangen. Bei einem der Einbrüche traf es einen Geoinformationssystem-Server, der mit Standardzugangsdaten im Netz erreichbar war. Entwendet wurden Kataster- und Geschäftsunterlagen, Windows-Zugangsdaten sowie E-Mail-Daten. Die gesamte Kampagne erstreckte sich über 24 Tage im August und September 2026.

Im dritten Fall beschränkte sich die Rolle der KI auf die Entwicklung der Werkzeuge und Skripte des Operators. Die Kampagnen richteten sich gegen Edge-Geräte von Cisco, Citrix, F5 und Yamaha und nutzten dafür veröffentlichte Schwachstellen, Verwaltungsfunktionen oder in Konfigurationsdateien hinterlegte Zugangsdaten. Von Januar bis Oktober 2026 soll der Akteur mindestens sechs Kampagnen durchgeführt und dabei opportunistisch exponierte VPN-Geräte und WebLogic-Server angegriffen haben. „Der Operator war erfahren und verfügte über etablierte Praktiken für Automatisierung und Beweismittelverwaltung", so die Forscher.

Hinweise darauf, dass die drei Vorfälle denselben Operator haben, gibt es bislang nicht. Ebenso unklar ist, ob die Angriffe auch andere Regionen trafen und welche KI-Modelle zum Einsatz kamen. Auf Japan und Nachbarländer wie Südkorea beschränkt sind die Aktivitäten jedoch nicht: Der Akteur hinter dem ersten Fall griff auch Organisationen in Taiwan und Hongkong an, im dritten Fall tauchten Organisationen aus Großbritannien, Frankreich, Italien, Katar und Kolumbien in den WebLogic-Suchlisten auf.

„KI hat die Arbeitskraft der Angreifer vergrößert, aber die Arbeit besteht weiterhin darin, nach unverschlossenen Türen zu suchen", resümierte TrendAI. Die Art der Türen und die Schwächen, die sie offen stehen lassen, hätten sich nicht verändert. Verändert habe sich die Fähigkeit, Tausende auf einmal auszuprobieren, sich an die Sprache des Ziellandes anzupassen und ohne Ermüdung weiterzumachen.

Parallel dazu wurden mehrere Kampagnen bekannt, in denen Akteure unterschiedlicher Motivation agentische KI in bestehende offensive Abläufe eingebunden haben, um Recherche, Schadsoftware-Entwicklung, Social Engineering und weitere Angriffsphasen zu beschleunigen. Laut dem Microsoft Digital Defense Report 2026 ist die mediane Zeit von der Entdeckung einer Schwachstelle bis zu ihrer Bewaffnung dadurch auf deutlich unter 24 Stunden geschrumpft. Die KI-Nutzung durch Angreifer senke Zeitaufwand, erforderliche Expertise und Kosten für das Auffinden und Ausnutzen von Schwächen – und erlaube Angreifern wie Verteidigern, mit größerer Geschwindigkeit, Skalierung und Autonomie zu agieren, so Microsoft.

„Die entscheidende Frage ist nicht allein, ob ein Akteur über Frontier-KI verfügt", erklärte Trend Micro. „Der Zugang zu leistungsfähigen Modellen kann bereits spürbare operative Vorteile bringen. Wie zuverlässig, eigenständig und in welchem Umfang diese Fähigkeiten aufrechterhalten werden können, bestimmt jedoch die Tiefe des Ökosystems." KI sei für APT-Gruppen keine experimentelle Fähigkeit mehr, sondern ein operativer Bestandteil, der direkt in Kampagnen eingebettet werde.

Die wachsende Nachfrage nach KI-Werkzeugen hat zugleich einen neuen Geschäftszweig eröffnet: Gehandelt werden gestohlene Sitzungstoken von KI-Anbietern sowie offensive KI-Werkzeuge wie APEX AI, MessiahGPT und DarkGPT, was Cyberkriminalität weiter kommerzialisiert und die Einstiegshürde für fortgeschrittene, hartnäckige und schwer erkennbare Angriffe senkt.

Microsoft berichtete zuletzt, dass ein mit dem chinesischen Staat verbundener Akteur eine Cloud-Backup-Anwendung von ConnectWise kompromittierte und sich mit ARTEX bei mehr als 2.250 Microsoft-365-Mandanten anmeldete. Zugeordnet wird die Aktivität Storm-0940, das das Framework demnach seit mindestens September 2026 für automatisierte Password-Spraying-Angriffe gegen Hunderte Organisationen einsetzt. „Zwar war der Großteil der Angriffsversuche erfolglos, doch Storm-0940 erlangte in kurzer Zeit bei vielen Organisationen privilegierte Cloud-Persistenz", so Microsoft. Der Fall zeige, wie ein Akteur mit breitem Zielspektrum mithilfe eines agentischen KI-Werkzeugs und privilegierten Authentifizierungsmaterials schnell versuchen könne, viele Organisationen zu kompromittieren.

In Südkorea haben die Behörden nach Berichten lokaler Medien sieben Verdächtige einer Cybercrime-Operation identifiziert, die in mehr als 90 Organisationen des Landes eindrang – meist unter Einsatz von ARTEX. Der 32-jährige Drahtzieher soll zwischen 2019 und 2022 bei einem Cybersicherheitsunternehmen gearbeitet und dort Pentesting-Expertise erworben haben. In 38 Fällen forderten die Täter Lösegeldzahlungen von 360 Millionen Won (270.000 US-Dollar) dafür, die gestohlenen Daten nicht zu veröffentlichen. Mehr als 8,2 Millionen Datensätze sollen abgeflossen sein.

Weitere in jüngster Zeit dokumentierte KI-gestützte Kampagnen:

• Ein finanziell motivierter Akteur unter dem Pseudonym BUGSTER konfigurierte laut Palo Alto Networks Unit 42 das Hermes-Agent-Framework mit DeepSeek V4 als Reasoning-Engine und Cursor als Zweitwerkzeug – bei beiden waren die Sicherheitskontrollen deaktiviert – und führte eine WordPress-Brute-Force-Kampagne gegen die Website einer indischen Universität durch, samt Bericht zur Aufzählung der REST-API. Eine zweite indische öffentliche Universität wurde kompromittiert, dort flossen mehr als 5.200 Datensätze mit personenbezogenen Daten von Studierenden ab. Ein dritter Angriff zählte einen indischen Auftritt auf einer bekannten E-Commerce-Plattform auf und extrahierte ein Storefront-API-Token, Admin-E-Mail-Adressen, Telefonnummern und Händler-IDs für Zahlungen. „Der Akteur baute außerdem spezialisierte KI-Bot-Profile, um sich im Gespräch Expertise für VoIP-Betrug anzueignen, und unterhielt automatisierte Pipelines zum Knacken von WLAN-Passwörtern und zur Aufklärung von Krypto-Walen", so Unit 42. Dass das WLAN-Knacken physische Nähe zum Ziel erfordert, deute auf lokalen Zugang an den Zielorten hin.
• Die E-Crime-Gruppe CyberCartel koordiniert mit dem Mehr-Agenten-System CARLIY0S Angriffe auf Banken und Zahlungsdienstleister in Lateinamerika. Das Framework setzt laut Straiker einen „kognitiven Schwarm" aus vier rollenspezialisierten Claude-Modellen ein, die „über jedes Ziel debattieren und sich einem Schiedsrichter beugen", bevor der zentrale Orchestrator handelt. Die Gruppe habe kommerziellen KI-Modellen unterschiedliche Rollen zugewiesen, um Ziele zu analysieren, Angriffe zu entwickeln und Operationen zu koordinieren.
• Ein offensiver KI-Agent kapert exponierte KI-Endpunkte, um autonome Angriffe auszuführen – mit bis zu 100.000 Schritten ohne menschliche Freigabe, während der rechtmäßige Eigentümer des Endpunkts die Inferenz bezahlt. Eine Schadschleife namens „Skynet mode" nutzt 74 Werkzeuge, um Ziele zu suchen, zu infizieren, Krypto-Miner auszurollen und kompromittierte Hosts erneut zu infizieren.
• Ein Affiliate der Ransomware-Operation The Gentlemen setzte Ende Juni 2026 bei Einbrüchen in mindestens sechs Organisationen Anthropic Claude Code ein, um Aufklärungs- und Exploit-Befehle zu erzeugen und auszuführen, Schadskripte zu schreiben, Firewall-Richtlinien zu ändern und besonders wertvolle Geschäftssysteme zu identifizieren.
• Eine Zugangsdaten-Sammeloperation mit dem Namen Zerofot entwickelte den Scanner „auto_scan", der OpenAI Codex und Claude Code einband und Tausende API-Schlüssel und Token von Tausenden exponierten Hosts abgriff.
• Das KI-generierte Python-Framework RAGE scannt im Internet erreichbare Dienste wie Redis, Elasticsearch, Docker, Apache Tomcat, Jenkins, Hadoop YARN, Confluence und Supervisord, nutzt verwundbare Installationen aus, greift Zugangsdaten ab und installiert Krypto-Miner.
• Ein menschlicher Operator drang mithilfe von Frontier-Modellen binnen zehn Stunden weitgehend autonom in ein Unternehmensnetz ein. „Der Akteur kompromittierte einen öffentlich erreichbaren Webdienst, um sich ins Netz zu tunneln, und setzte einen automatisierten Aufklärungsagenten ein, um interne Microservices zu kartieren", so Unit 42. Unteragenten durchkämmten Code-Repositories und extrahierten fest einprogrammierte Token und Dienstpasswörter. Anschließend erbeutete der Angreifer administrative Hauptzugangsdaten, kaperte eine Unternehmens-Codeanwendung und schleuste Cloud-Zugangsschlüssel aus, mit denen die KI-Endpunkte des Opfers zu Nachnutzungs-Infrastruktur umfunktioniert wurden.
• Ein mutmaßlich russischsprachiger Akteur nutzte einen KI-gestützten Arbeitsablauf, um PaperCut-NG/MF-Server auszunutzen und Hunderte Instanzen zu kompromittieren. „Die Kampagne ging über die initiale Ausnutzung hinaus in eine strukturierte Post-Exploitation-Pipeline mit Sammeln von Windows-Zugangsdaten, Abgreifen von Dienstkonten, internem Pivoting, Metasploit-Automatisierung und Opferpaketierung", so Hunt.io.
• Ein chinesischsprachiger Akteur kompromittierte Websites von mehr als 100 Unternehmen, darunter Deere, SharkNinja und Cummins, mit der autonomen Penetrationstest-Engine Cairn, die Ziele sondieren, Schwächen für Codeausführung oder Kontoübernahme suchen, eindringen und sensible Daten stehlen sollte.

„KI wirkt gleichzeitig als Kraftverstärker und als wachsende Angriffsfläche", erklärte Rapid7. Generative KI beschleunige etablierte Angriffsmethoden, indem sie Zeit, Können und Koordinationsaufwand senke, die bislang für deren Ausführung im großen Maßstab nötig waren. Statt völlig neuer Ausnutzungskategorien integrierten Angreifer KI in bestehende Abläufe, um Phishing zu industrialisieren, Aufklärung zu automatisieren und Schadskripte schneller und präziser zu verfeinern.