Die Aktivität läuft nach Angaben der Forscher seit Ende September und war Ende Oktober weiterhin aktiv. Aufgefallen ist sie dem Team am 21. Oktober; an einem einzelnen Tag in diesem Monat erhielten 48 Prozent der von Cequence geschützten Organisationen Datenverkehr dieses bösartigen KI-Bots. Nahezu alle Anfragen wurden blockiert oder schlugen fehl — gestohlen wurde dem Bericht zufolge nichts.

Der Scanner arbeitet rund um die Uhr ein Ziel nach dem anderen ab: Er feuert jeweils einen Schwall von 50 bis 190 Anfragen in etwa acht Sekunden ab und zieht dann weiter. “Es sendet zuerst zufällige Unsinns-Pfade, um Websites zu finden, die auf jede Anfrage antworten — eine verbreitete Scan-Technik”, schrieb Will Glazier, Direktor für Threat Research und Data Science bei CQ Prime.

Mehrere Verhaltensmuster verrieten den Scanner, obwohl er sich in den normalen Datenverkehr einfügen sollte. Er rotiert gleichmäßig durch rund 32 Bot-Identitäten — etwas, das echte Bots nicht tun. Eine einzige Maschine gab sich innerhalb von Sekunden als Agent von OpenAI, Anthropic, Meta und Perplexity aus. Zudem verwendete der Angreifer für sämtliche gefälschten Claude-Identitäten dieselbe Kontaktadresse des Anthropic-Crawlers, auch wenn er unterschiedliche Claude-Agenten vorgab — ein Hinweis darauf, dass der Text kopiert und nicht je Agent individuell erzeugt wurde.

Angefragt werden Konfigurationsdateien, Cloud-Credential-Dateien und private SSH-Schlüssel aus einer Liste von etwa 90 Pfaden. Dabei identifiziert sich der Scanner nie und hinterlässt keine Kontaktadresse. Legitime Internet-Scandienste benötigen solche Dateien nach Darstellung der Forscher niemals und geben sich stets zu erkennen.

“Die Anfragen haben ihn verraten”, sagt Collin Hogue-Spears, Senior Director Solutions Management bei Black Duck — was bedeute: “Was Cequence dokumentiert hat, ist der Test, nicht ein Einbruch.”

Für Sicherheitsteams verschärft der Fall ein ohnehin wachsendes Problem: Unternehmen müssen entscheiden, welchen KI-Agenten sie vertrauen und welchen sie Zugang zu ihren Diensten gewähren. “Angreifer können jede einzelne dieser Erlauben- und Verweigern-Entscheidungen testen, und Cequence beobachtet, wie sie ausprobieren, welchen Agenten ein Unternehmen vertraut, und dann genau die Agenten imitieren, von denen sie erwarten, dass sie durchkommen”, schrieb Glazier.

Besondere Sorge gilt Banken und Finanzinstituten. Fachleute befürchten, dass bösartige Agenten sich bereits unbemerkt in Kundenkonten einloggen, mit möglichen Folgen bis hin zu globalen wirtschaftlichen Auswirkungen. Bei Finanzdienstleistern machten KI-Agenten, die im Auftrag von Kunden handeln, bislang weniger als eine von 4.000 Anfragen aus. “Die Agenten, über die sich Banken am meisten Sorgen machen, melden sich mit den eigenen Zugangsdaten eines Kunden über einen gewöhnlichen Browser an und geben sich nicht zu erkennen”, schrieb Glazier.

Shane Barney, Chief Information Security Officer bei Keeper Security, hält Finanzinstitute, die jetzt erst beginnen, legitime von illegitimen KI-Agenten zu unterscheiden, bereits für im Rückstand: “Banken bemühen sich derzeit hektisch herauszufinden, welche KI-Bots in ihre Netzwerke gehören, aber Cyberkriminelle sind längst in der nächsten Phase. Sie versuchen nicht mehr, in diese Systeme einzubrechen. Stattdessen loggen sie sich einfach ein, getarnt als vertrauenswürdige KI-Agenten.”

Zur Abwehr empfiehlt Barney, KI-Agenten, API-Schlüssel und Dienstkonten mit derselben operativen Strenge zu behandeln wie menschliche Administratoren. “Das erfordert, implizites Vertrauen über jeden Zugriffspfad hinweg zu beseitigen”, sagt er. Ergänzend rät CQ Prime Research:

  • der behaupteten Identität eines Bots nicht allein zu vertrauen
  • Agenten über signierte Anfragen, veröffentlichte Adressbereiche oder direkte Integrationen zu verifizieren
  • auf Verhalten zu achten, das nicht zur behaupteten Identität passt, “etwa ein KI-Assistent, der Konfigurations- oder Zugangsdatendateien anfordert”, so Glazier
  • statische Zugangsdaten nicht länger in angreifbaren Dateien liegen zu lassen, wo Scraping-Bots sie leicht finden

Barney plädiert dafür, langlebige lokale Zugangsdaten abzulösen: “Sicherheitsteams müssen weg von langlebigen lokalen Zugangsdaten und hin zu zentralisierten Zero-Knowledge-Tresoren für Geheimnisse.”