Wiz: KI-Agenten übernehmen bei realen Cyberangriffen einen Großteil der praktischen Arbeit

Was Wiz in der Praxis beobachtet

Laut Wiz zeichnet sich in den Incident-Response-Einsätzen und Threat-Hunting-Untersuchungen des Unternehmens ein klarer Trend ab. Die Agenten arbeiten mit Harnesses, die maßgeschneiderte Werkzeuge schreiben, die Ergebnisse prüfen, sich anpassen und in Maschinengeschwindigkeit iterieren. Ein Mensch legt dabei Ziele und Grenzen fest.

Wiz zufolge können diese Angriffe sehr geschwätzig sein, weil Agenten mehrere Ansätze parallel verfolgen. Sie treten an beiden Enden des Spektrums auf, von gezielt bis breit opportunistisch. Ein Einbruch, der mit einem einzelnen exponierten Dienst beginnt, kann sich zu Diebstahl von Cloud-Zugangsdaten, Diebstahl von Kubernetes-Tokens, lateraler Bewegung und massenhaftem Abfluss von Secrets ausweiten. Nach Darstellung von Wiz verdichten KI-Agenten die qualifizierte, praktische Arbeit, die für eine solche Eskalation früher nötig war.

Für Verteidiger gibt es einen möglichen Vorteil. Wiz zufolge sind aktuelle agentische Angriffe tendenziell laut und hinterlassen eine breite Spur beobachtbarer Aktivität. Schwierig sei es, diese Aktivität von legitimer Automatisierung zu unterscheiden und einzelne Signale zu einem stimmigen Bild eines Angriffs zusammenzuführen.

Öffentliche Fälle: von ARTEX bis Hermes

Der Beitrag fasst jüngste öffentliche Berichte zusammen, in denen benannte agentische Frameworks, individuelle Workflows und nicht identifizierte Werkzeuge vorkommen.

• ARTEX: Öffentliche Berichte beschreiben, dass Angreifer dieses agentische Penetrationstest-Framework einsetzen. In Südkorea meldeten Forscher die Ausnutzung internetexponierter Anwendungen bei Finanzinstituten und den Abfluss personenbezogener Daten von rund 67.000 Menschen. Microsoft ordnete die Supply-Chain-Kompromittierung von ConnectWise Cloud Backup Storm-0940 zu, einem China-nahen staatlich gelenkten Akteur, und berichtete, ARTEX habe Aufklärung, Password Spraying und den Missbrauch von OAuth-Anwendungen beschleunigt. Die Kampagne versuchte Anmeldungen bei mehr als 2.250 Tenants, in mehreren Fällen wurde privilegierter Cloud-Zugriff in weniger als drei Stunden erlangt. Microsoft erklärte außerdem, die meisten Angriffsversuche gegen Hunderte Organisationen seien erfolglos geblieben.
• Hermes: Hunt.io fand von Angreifern kontrollierte Infrastruktur, deren Logs zeigen, dass der KI-Agent Hermes bei einem Einbruch ins thailändische Finanzministerium unbeaufsichtigt im „YOLO“-Modus lief. Die Ermittler fanden Hinweise darauf, dass mehrere Systeme des Ministeriums kompromittiert wurden, dazu Web Shells, gestohlene Zugangsdaten und ein individuelles, in Go geschriebenes Implantat. Die Methode des Erstzugriffs ist unbekannt, zum Zeitpunkt der Entdeckung wurde kein Datenabfluss festgestellt.
• KI-gestützte API-Ausnutzung: JPCERT/CC stellte fest, dass Angreifer in Japan KI nutzten, um nach bekannten Schwachstellen zu scannen und APIs auszunutzen. In einigen Fällen betrieben sie Reverse Engineering von Android-Apps, um APIs zu finden und auf Schwachstellen wie Server-Side Request Forgery (SSRF) zu testen.
• Individuelle Workflows: CrowdStrike dokumentierte vier weitere Akteure, die KI-Agenten gegen Ziele im Gesundheitswesen, in Behörden und in der Privatwirtschaft einsetzten. Die Setups reichten von einem eigenen, aus PentestGPT abgeleiteten Harness mit getrennten Supervisor- und Executor-Agenten bis zu Claude-Code-Workflows mit unterschiedlicher Autonomie.
• Nicht identifizierte Werkzeuge: Das niederländische Institute for Vulnerability Disclosure machte einen Einbruch öffentlich, dessen Vorgehensweise auf einen agentischen, KI-gestützten Angriff hindeutete. In der ersten Stellungnahme wurden Agent oder Framework allerdings nicht genannt.

Wiz folgert, dass agentische KI in mehreren Phasen realer Angriffe eingesetzt wird, darunter Aufklärung, Ausnutzung und Post-Exploitation. Autonomie und Belastbarkeit der Belege variieren, doch die Vielfalt der Werkzeuge deute darauf hin, dass der Trend nicht auf ein einzelnes Framework oder einen einzelnen Akteur beschränkt sei.

Drei Wiz-Fallstudien und ihre Erkennungsmerkmale

Wiz stellt außerdem drei Angriffe vor, die das Unternehmen selbst untersucht hat. In Angriff A wurde eine exponierte Flowise-Instanz, ein Builder für LLM-Workflows und KI-Agenten, über eine nicht authentifizierte Anfrage und eine Umgehung der Authentifizierung kompromittiert und dann zu einem Staging-Knoten umfunktioniert, um Dutzende weitere exponierte Flowise-Instanzen massenhaft anzugreifen. Angriff B begann mit Java-Remote-Code-Execution auf einem Enterprise-Operations-Gateway und trieb eine Base64-codierte Command-and-Control-Beacon-Schleife an, die systematisch nahezu den gesamten Katalog cloudnativer Angriffe durchlief. Angriff C zielte auf ein GraphQL-Backend eines KI-Agenten mit MCP-Schnittstelle. Eine verkettete RCE führte zum massenhaften Abfluss von Secrets, darunter ein Cloud-Credential und ein Kubernetes-Token, sowie zu Persistenz über mehrere Pods hinweg.

Aus diesen Fällen leitete Wiz Kriterien zur Identifizierung ab. Das erste ist maschinengetaktete, anhaltende Iteration: ein Rhythmus, der zu schnell für einen Menschen ist, der Werkzeuge von Hand schreibt, und zu anpassungsfähig für einen vorgefertigten Scanner. In Angriff A tauchte über rund 24 Stunden etwa alle ein bis zwei Minuten ein neues, eigens gebautes Skript auf, insgesamt 99 Skripte. Angriff B zeigte 602 einzelne Schritte in rund 4,5 Stunden, mit nur Sekunden zwischen den Phasen. In Angriff C erschien etwa 21 Stunden am Stück ungefähr alle ein bis zwei Minuten ein neues Skript, mit schnellen Wiederholungen bei 403-Fehlern und längeren Pausen, wenn der Agent JavaScript-Chunks einer SPA auswerten musste, um GraphQL-Endpunkte zu extrahieren.

Das zweite Kriterium ist natürlichsprachliches Reasoning, das in die Werkzeuge eingebettet ist. Wiz zufolge beginnen nahezu alle 99 Skripte in Angriff A mit einem schriftlichen Plan, dessen Originale auf Chinesisch verfasst sind.

Was das für Verteidiger bedeutet

Wiz sagt, der Wandel betreffe Attribution, die Größenordnung von Angriffen und die Zukunft der Verteidigung, und der Beitrag gehe auf alle drei Punkte ein. Für Sicherheitsteams lautet die praktische Botschaft der Quelle: Agentische Angriffe hinterlassen charakteristische Spuren bei Timing und Reasoning. Die Herausforderung besteht darin, sie von legitimer Automatisierung zu trennen und die Signale zu verknüpfen, bevor aus einem exponierten Dienst eine weitreichendere Cloud-Kompromittierung wird.