CyberStrikeAI automatisiert Angriffe mit 44 AI agents
CyberStrikeAI wurde eingesetzt, um Cyberangriffe auf 44 artificial intelligence (AI) agents aufzuteilen und die Arbeit von der Zielerkennung bis hin zu Datendiebstahl und Berichterstellung zu automatisieren. TrendAI identifizierte die Aktivitäten bei der Untersuchung dreier offengelegter Umgebungen, die Angreifer gegen Organisationen in Japan eingesetzt hatten. Diese Systeme enthielten Angriffstools, Scripts, Ziellisten, Ergebnisse, Logs und Befehlshistorien. Dadurch erhielten die Forscher Einblick in Operationen, die von manuell durchgeführten Eindringversuchen bis hin zu weitgehend automatisierten Kampagnen reichten.
Bei der ersten Operation kam CyberStrikeAI zum Einsatz, ein open-source penetration testing framework, also Software, die Sicherheitsteams beim Testen von Systemen auf Schwachstellen unterstützen soll. Das Tool war zuvor bereits bei Angriffen auf Fortinet-FortiGate-Appliances aufgetaucht. Im Oktober 2026 nutzten Angreifer es, um einen wiederholbaren Prozess zu erstellen, der reconnaissance, das Auffinden und Bestätigen von Schwachstellen, exploitation, command-and-control (C2), persistence, data exfiltration und die Erstellung von Berichten abdeckte. C2 ist der Kommunikationskanal, über den ein Angreifer kompromittierte Systeme steuert, während persistence Methoden bezeichnet, mit denen der Zugriff nach dem ursprünglichen Einbruch aufrechterhalten wird.
CyberStrikeAI wies verschiedenen Teilen der Operation 44 agents zu und konnte japanischsprachige Formulare sowie nachgeahmte Anmeldeseiten erzeugen. Die Enterprise-Security-Abteilung von Trend Micro erklärte, dass während der kurzen Kampagne bei mindestens 19 identifizierbaren Organisationen Validierungsaktivitäten durchgeführt wurden, darunter mindestens 16 in Japan. Für jedes Ziel gab es einen ähnlich formatierten Bericht und eine indexierte Sammlung von Beweismaterial. Die Forscher bewerteten dies als Ergebnis eines strukturierten automatisierten workflow und nicht als informelle Notizen eines einzelnen Operators.
Die zweite Umgebung zeigte ein anderes Modell: eine von einem Menschen gesteuerte Kampagne, bei der ein large language model (LLM), also eine Software, die für das Interpretieren und Erzeugen von Sprache trainiert wurde, bei der Planung und Tool-Entwicklung half. Die Angreifer nahmen außerdem AI-workflow-Plattformen und Inference-Services ins Visier, offenbar um zu geringen Kosten Zugriff auf erhebliche Rechenkapazitäten zu erhalten. Bei einem Eindringversuch war ein geographic information system (GIS) server betroffen, ein System zur Verwaltung standortbezogener Informationen, das mit seinen Standardzugangsdaten öffentlich zugänglich war. Der Einbruch führte zum Diebstahl von Kataster- und Geschäftsunterlagen, Windows-Zugangsdaten und E-Mail-Daten. Diese Kampagne lief im August und September 2026 über einen Zeitraum von 24 Tagen.
Im dritten Fall spielte AI eine begrenztere Rolle und wurde zur Entwicklung von Scripts und Tools für einen erfahrenen menschlichen Operator eingesetzt. Die Kampagnen zielten über veröffentlichte Schwachstellen, Verwaltungsfunktionen oder in Konfigurationsdateien gefundene Zugangsdaten auf mit dem Internet verbundene Geräte von Cisco, Citrix, F5 und Yamaha. TrendAI schätzte, dass der Operator zwischen Januar und Oktober 2026 mindestens sechs Kampagnen durchführte und dabei opportunistisch nach öffentlich zugänglichen virtual private network (VPN) devices und WebLogic-Servern suchte. Die Forscher stellten etablierte Verfahren für Automatisierung und Beweismanagement fest.
TrendAI fand keine Hinweise darauf, dass die drei Umgebungen demselben Operator gehörten. Die bei den Angriffen verwendeten AI models sind ebenso unbekannt wie das gesamte geografische Ausmaß. Der erste Operator nahm auch Organisationen in Taiwan und Hongkong ins Visier. Die Erkennungslisten aus dem dritten Fall enthielten WebLogic-Systeme, die Organisationen im Vereinigten Königreich, in Frankreich, Italien, Katar und Kolumbien zugeordnet waren. Die Ergebnisse zeigen, dass AI die Zahl der Systeme erhöhte, die Angreifer untersuchen konnten, und dabei half, Inhalte an lokale Sprachen anzupassen. Die ursprünglichen Einfallstore blieben jedoch bekannte Schwächen wie Standardzugangsdaten, öffentlich zugängliche Verwaltungsdienste und bekannte Schwachstellen.
Andere kürzlich dokumentierte Aktivitäten zeigen eine ähnliche Integration von agentic AI, bei der Software mit begrenzten menschlichen Vorgaben eine Abfolge von Aufgaben planen und ausführen kann. Laut Microsofts Digital Defense Report 2026 war der Median des Zeitraums zwischen der Entdeckung einer Schwachstelle und ihrer weaponization auf deutlich unter 24 Stunden gesunken. Der Bericht führte diese Beschleunigung auf AI-gestützte Forschung, automatisierte Entscheidungen und die schnellere Entwicklung funktionsfähiger Angriffsmethoden zurück. Threat actors haben außerdem damit begonnen, gestohlene Session-Tokens von AI-Anbietern und offensive Tools namens APEX AI, MessiahGPT und DarkGPT zu handeln.
Dasselbe Muster hat auch Website-Angriffe erreicht. Palo Alto Networks Unit 42 berichtete, dass ein finanziell motivierter Operator namens BUGSTER das Hermes Agent framework mit DeepSeek V4 und Cursor konfigurierte und dabei die Sicherheitskontrollen deaktivierte, um eine WordPress-brute-force-Kampagne gegen die Website einer indischen Universität durchzuführen. Die Operation erstellte außerdem einen Bericht zur REST API enumeration. Eine zweite öffentliche Universität in Indien verlor eine Datenbank mit mehr als 5.200 records, darunter personenbezogene Daten von Studierenden. Bei einem dritten Ziel, einer indischen E-Commerce-Website, wurde nach einem Storefront-API-Token, Administrator-E-Mail-Adressen, Telefonnummern und Payment-Merchant-IDs gesucht.
Weitere Kampagnen zeigen, wie unterschiedlich diese workflows inzwischen geworden sind. CyberCartel setzte ein aus vier models bestehendes System namens CARLIY0S gegen Banken und Zahlungsanbieter in Lateinamerika ein. Ein weiterer offensiver agent wurde dafür entwickelt, öffentlich zugängliche AI endpoints zu übernehmen und ohne menschliche Genehmigung bis zu 100.000 Schritte auszuführen. Dabei nutzte er 74 Tools, um Ziele zu finden, Cryptocurrency-Miner bereitzustellen und zu kompromittierten Hosts zurückzukehren. Ein Affiliate der Ransomware-Operation The Gentlemen setzte Anthropic Claude Code bei Eindringversuchen in mindestens sechs Organisationen Ende Juni 2026 ein, unter anderem für reconnaissance, exploitation-Befehle, schädliche Scripts und Änderungen an der firewall.
Forscher dokumentierten außerdem Zerofots auto_scan-Tool, das OpenAI Codex und Claude Code kombinierte, um Tausende API keys und Tokens von öffentlich zugänglichen Hosts zu sammeln. Ein von AI erzeugtes Python framework namens RAGE zielte auf Dienste wie Redis, Elasticsearch, Docker, Apache Tomcat, Jenkins, Hadoop YARN, Confluence und Supervisord. Es verfügte über Funktionen für exploitation, das Abgreifen von Zugangsdaten und Cryptocurrency-Mining. Hunt.io berichtete unabhängig davon über eine AI-gestützte Kampagne gegen PaperCut NG/MF-Server, bei der Hunderte Instanzen kompromittiert wurden und die anschließend mit der Sammlung von Zugangsdaten, Bewegungen im internen Netzwerk und automatisierter post-exploitation fortgesetzt wurde.
Für Website-Betreiber und IT-Teams besteht die unmittelbare Reaktion nicht darin, nach einer besonderen Kategorie von AI-Angriffen zu suchen, sondern dieselben Einfallstore zu schließen, die diese automatisierten Systeme mit höherer Geschwindigkeit testen. Standardpasswörter sollten ersetzt, mit dem Internet verbundene Software und Appliances zeitnah aktualisiert, unnötige Verwaltungsschnittstellen aus dem öffentlichen Zugriff entfernt und ungewöhnliche Authentifizierungs- oder Datenübertragungsaktivitäten untersucht werden. AEU-I bietet sicherheitsorientierte IT, Infrastruktur und Beratung für Organisationen, die Unterstützung bei der Verwaltung dieser Bereiche benötigen.
Das zentrale Risiko liegt in der Skalierung. Diese Fälle belegen nicht, dass AI neue Klassen von Schwachstellen geschaffen hat, und die Forscher identifizierten weder einen gemeinsamen Operator noch die beteiligten models.