Check Point entdeckt autonome KI-Agenten bei Cyberangriffen
Check Point Research zufolge nutzen Cyberkriminelle ARTEX, eine KI-gestützte Plattform für Penetrationstests, um das Aufspüren und Ausnutzen von Schwachstellen mit wenig menschlicher Beteiligung zu automatisieren. Die Forscher identifizierten 2.557 Systeme, auf denen ARTEX gehostet wurde, darunter 1.608 aktive, öffentlich zugängliche Instanzen.
- CPR identifizierte 2.557 Systeme, auf denen ARTEX gehostet wurde.
- Die Untersuchung ergab 1.608 aktive, öffentlich zugängliche ARTEX-Instanzen.
- Eine Kampagne erzeugte über 292 Ziele hinweg 400.791 Agentennachrichten.
- Agenten erlangten mehr als 300 Apple-Codesignaturzertifikate und deren Passwörter.
- Die Kryptowährungskampagne brachte dem Angreifer $0 ein.
ARTEX ermöglicht Angreifern ein autonomes Vorgehensmodell
ARTEX wurde ursprünglich als Open-Source-Plattform für Sicherheitsteams entwickelt, die eigene Systeme oder Systeme testen, für deren Prüfung sie autorisiert sind. Die Plattform verbindet Large Language Models mit mehreren KI-Agenten, die Tests planen, Sicherheitstools ausführen, Schwachstellen untersuchen und Ergebnisse dokumentieren können.
Check Point Research erhielt Einblick in die Betreiberseite der Angriffe, nachdem die Forscher 10 falsch konfigurierte ARTEX-Instanzen mit vollständig offengelegten Datenbanken gefunden hatten. Diese Datenbanken zeigten, welche Modelle eingesetzt wurden, welche Anweisungen die Betreiber gaben und welche Aktionen die Agenten selbstständig ausführten.
In vielen beobachteten Fällen legten die Betreiber ein anfängliches Ziel fest und überprüften anschließend hauptsächlich den Fortschritt oder passten Prioritäten an. Eine Kryptowährungskampagne erzeugte über 292 Ziele hinweg 230 Ergebnisse und 400.791 Agentennachrichten, ohne dass die Betreiber nach der Festlegung der ursprünglichen Ziele weitere Eingaben machten.
Agenten zielten auf Krypto-, Glücksspiel- und Signaturdienste
Die beobachteten Kampagnen waren vor allem opportunistisch und finanziell motiviert. Zu den Zielen gehörten Dienste für Kryptowährungen und digitale Vermögenswerte, Online-Glücksspielplattformen, Zahlungsinfrastrukturen, den außerbörslichen Kryptohandel und die Verwahrung von Kryptowährungen sowie graumarktige iOS-App-Signaturdienste.
Die Agenten nutzten schwache oder fest im Code hinterlegte Passwörter, fehlende Authentifizierung, unsichere direkte Objektreferenzen und Schwachstellen zur Remotecodeausführung aus. Zu ihren Zielen gehörten der Diebstahl von Kryptowährungen und Codesignaturzertifikaten, die Übernahme von Spielkonten und die Durchführung von Denial-of-Service-Angriffen gegen Glücksspiel-Websites.
Bei einem Einsatz nahmen zwei ARTEX-Konsolen etwa zwei Wochen lang 10 graumarktige iOS-Signaturshops ins Visier. Die Agenten suchten in kompromittierten Systemen nach Zertifikatsdatenbanken und überprüften Passwörter, private Schlüssel, den Apple-Widerrufsstatus, Ablaufdaten und Bereitstellungsprofile. Sie erlangten mehr als 300 Zertifikate und deren Passwörter. Drei davon durchliefen den vollständigen Validierungsprozess und konnten daher beliebige iOS-Anwendungen signieren.
Check Point schätzte, dass der Einsatz etwa 36 Milliarden Tokens verarbeitete. Die Kosten für die KI-Modelle lagen auf Grundlage der zum Zeitpunkt der Veröffentlichung geltenden offiziellen DeepSeek-API-Preise zwischen $700 und $1,500.
Autonomie kann sich auf Angriffe auf die Lieferkette erstrecken
In einer weiteren Kampagne stieß ein Agent, der das Ziel eines Kryptowährungsdiebstahls verfolgte, auf eine nicht authentifizierte API, über die AWS-S3-Zugangsdaten offengelegt wurden. Die Zugangsdaten ermöglichten den Schreibzugriff auf einen Bucket mit iOS-Anwendungen und Landingpages eines Kryptowährungsdienstes.
Der Agent schlussfolgerte selbstständig, dass die Vertriebsinfrastruktur kompromittiert werden könnte, führte den Schreibzugriff aus und überprüfte die Angriffskette. Die ursprüngliche Datei wurde später wiederhergestellt. Check Point fand keine Hinweise darauf, dass der Betreiber aus der Kompromittierung Profit schlug.
Die Untersuchung zeigte jedoch auch, dass autonome Ausführung keinen erfolgreichen Ausgang garantiert. Über 292 Ziele im Kryptowährungsbereich verdiente der Angreifer $0. Einige Agenten interpretierten die „Erfolg“-Antwort einer API als Bestätigung eines erfolgreichen Kryptowährungsdiebstahls, obwohl das Wallet des Angreifers einen Kontostand von $0 und keine Transaktionen aufwies.
Was die Ergebnisse für Verteidiger bedeuten
Check Point zufolge zeigt ARTEX, dass agentisches Hacking bereits Teil der Cyberbedrohungslandschaft ist. Die von CPR identifizierten mehr als 1.600 aktiven, öffentlich zugänglichen Instanzen deuten darauf hin, dass die Plattform in großem Maßstab betrieben wird. Die offengelegten Datenbanken liefern zudem direkte Belege dafür, dass Agenten mit begrenzter Überwachung arbeiten.
Unter den 10 offengelegten Instanzen dominierten chinesische Modelle, insbesondere die DeepSeek Flash-Familie. US-amerikanische Modelle waren auf drei Instanzen konfiguriert. Check Point beobachtete ausgelöste Schutzmechanismen nur während der Nutzung von Anthropic's Opus 5.5. Anschließend wechselte der Betreiber zu weniger restriktiven chinesischen Modellen.
Für Sicherheitsteams deutet die Untersuchung auf eine neue Dimension bei Umfang und Geschwindigkeit von Angriffen hin. Betreiber können Agenten ein weit gefasstes Ziel vorgeben und sie zahlreiche Ziele untersuchen, Schwachstellen identifizieren und Exploit-Versuche starten lassen, und das mit deutlich weniger manueller Steuerung. Die Fehlschläge der Agenten zeigen zugleich, dass eine technische Ausführung nicht zwangsläufig bedeutet, dass das beabsichtigte Ziel in der realen Welt erreicht wurde.
