Unit 42 dokumentiert autonomen KI-Ransomware-Angriff in unter 10 Stunden

Autonomer Ransomware-Angriff in unter 10 Stunden

Unit 42 von Palo Alto Networks hat einen Ransomware-Vorfall untersucht, bei dem ein menschlicher Angreifer nach eigenen Angaben frontier AI-Modelle und angriffsspezifische agentische KI-Frameworks einsetzte, um ein Unternehmensnetzwerk autonom zu kompromittieren. Die frontier AI-Modelle – große Sprachmodelle mit erweiterten Fähigkeiten zur Verarbeitung natürlicher Sprache und zur Planung – ermöglichten den Agenten, Netzwerkdaten zu interpretieren, Schwachstellen zu identifizieren und Handlungsoptionen zu generieren. Die agentischen Frameworks stellten die Infrastruktur bereit, um diese Modelle als autonome Agenten zu betreiben: Sie verbanden die Modelle mit Werkzeugen wie Netzwerk-Scannern, Credential-Dumpern und API-Clients und steuerten den Ablauf über eine automatisierte Schleife. In dieser Schleife überwachten die Agenten kontinuierlich den Zustand des Zielnetzwerks, indem sie Systemabfragen durchführten und Ergebnisse sammelten; sie bewerteten diese Ergebnisse mithilfe der Modelle, die den Erfolg oder Misserfolg jeder Aktion einordneten; sie handelten, indem sie die vom Modell vorgeschlagenen Befehle oder Skripte ausführten; und sie planten neu, indem sie auf Basis der Bewertung die nächsten Schritte festlegten. Dadurch entfielen manuelle Analyse- und Entscheidungszeiten. Der Angriff dauerte weniger als 10 Stunden, umfasste mehr als 50 MITRE-ATT&CK-Techniken und hinterließ einen 80-seitigen Sicherheitsaudit. Die Auswirkungen entsprachen einer koordinierten Red-Team-Operation von etwa zwei Wochen.

Einbruch über API-Endpunkt und Diebstahl von Master-Keys

Die KI-Agenten drangen über einen öffentlichen API-Endpunkt ein, der ohne ausreichende Authentifizierung aus dem Internet erreichbar war. Nach dem initialen Zugriff setzten sie einen Reconnaissance-Agenten ein, der die Netzwerkarchitektur kartierte, indem er systematisch IP-Adressen, offene Ports, laufende Dienste und Verbindungen zwischen Systemen enumerierte. Die gesammelten Daten – etwa Antworten auf API-Abfragen, DNS-Einträge und Konfigurationsdateien – wurden an das zentrale Modell zurückgespielt, das daraus eine Karte der Infrastruktur erstellte und priorisierte Ziele identifizierte. Für die Echtzeit-Überwachung richteten die Agenten kontinuierliche Abfragen ein, die den Status der kompromittierten Systeme und der gestohlenen Zugangsdaten verfolgten. Die dynamische Taktikanpassung erfolgte über eine Entscheidungslogik, die auf den Ergebnissen der vorherigen Aktionen basierte: Wenn ein Angriffsweg blockiert war oder eine Aktion fehlschlug, generierte das Modell alternative Vorgehensweisen, etwa den Wechsel zu einem anderen Dienstkonto oder einer anderen lateralen Bewegungstechnik. Auf diese Weise stahlen die Agenten Zugangsdaten, indem sie Quellcode-Repositories durchsuchten und dort hinterlegte Anmeldeinformationen extrahierten. Anschließend lösten sie unautorisierte CI/CD-Builds aus, indem sie die Build-Pipelines über die zuvor gestohlenen Zugangsdaten ansteuerten und so Schadcode in die Software-Lieferkette einschleusten. Schließlich erlangten sie Master-Keys für die Cloud-KI-Infrastruktur, indem sie die in den CI/CD-Systemen hinterlegten Geheimnisse extrahierten und für den Zugriff auf die Cloud-Konten nutzten. Die automatisierte Schleife steuerte diesen Ablauf: Jede Aktion wurde vom Modell geplant, ausgeführt, das Ergebnis bewertet und der nächste Schritt neu geplant, ohne menschliche Eingriffe.

KI-Malware: Vom Proof-of-Concept zum operativen Einsatz

Der dokumentierte Vorfall scheint im Widerspruch zu einer aggregierten Marktbeobachtung von Unit 42 zu stehen, wonach KI-fähige Malware überwiegend Proof-of-Concept ist: Von 405 untersuchten Samples erschienen nur 12 in der Telemetrie, und alle wurden blockiert. Die Marktbeobachtung analysiert Malware-Samples, in die KI-Funktionen direkt integriert sind – etwa Code, der von einem LLM generiert wurde, oder eingebettete Modelle zur Entscheidungsfindung innerhalb der Schadsoftware. Diese Samples stammen überwiegend aus Sandboxes und VirusTotal und erreichen selten Produktionsumgebungen. Der hier dokumentierte Angriff nutzt dagegen keine in die Malware integrierte KI, sondern externe frontier AI-Modelle und agentische Frameworks, die den Angriff orchestrieren. Die eigentliche Schadsoftware – etwa die Tools für Reconnaissance, Credential-Dumping und laterale Bewegung – kann konventionell sein; die Intelligenz liegt in der Steuerung durch die externen Modelle, die über APIs mit den Agenten kommunizieren. Dadurch entsteht ein anderes Bedrohungsbild: Während integrierte KI-Malware derzeit noch eine Randerscheinung ist, zeigt dieser Vorfall, dass die Orchestrierung durch externe KI bereits operativ eingesetzt wird. Es handelt sich um einen Einzelfall, nicht um eine breite Marktentwicklung, aber er belegt, dass die Technologie ausgereift genug ist, um einen realen Angriff zu tragen. Die Diskrepanz löst sich auf, wenn man zwischen dem Code, der auf dem Zielsystem ausgeführt wird, und der externen Steuerungsebene unterscheidet.

Warum dieser Angriff keine Zero-Days brauchte

Der Angriff benötigte keinen neuartigen Zero-Day und keine außergewöhnlich ausgefeilten Taktiken. Die eigentliche Bedrohung liegt in der Geschwindigkeit und Automatisierung. Die KI-Agenten koordinierten die Ausführung der über 50 MITRE-ATT&CK-Techniken, indem sie parallel auf verschiedenen Verteidigungsebenen agierten – etwa Netzwerk, Identität, CI/CD und SaaS. Technisch wurde diese Parallelität realisiert, indem das agentische Framework mehrere Agenteninstanzen gleichzeitig startete, die jeweils auf eine spezifische Ebene spezialisiert waren. Jeder Agent arbeitete als unabhängiger Prozess mit eigenem Werkzeugsatz und eigenem Ziel, während ein zentraler Planer die Aufgaben verteilte und die Ergebnisse zusammenführte. Die Agenten kommunizierten über das Framework, das eine gemeinsame Wissensbasis pflegte: Erkenntnisse eines Agenten – etwa gestohlene Zugangsdaten – wurden sofort an die anderen Agenten weitergegeben, die sie für ihre eigenen Angriffsschritte nutzten. Dadurch konnten mehrere Taktiken gleichzeitig oder in schneller Folge ausgeführt werden, ohne die üblichen Wartezeiten für menschliche Analyse, Freigabe und manuelle Ausführung. Ein menschliches Red Team würde diese Schritte sequenziell abarbeiten, da jeder Schritt manuell geplant, ausgeführt und dokumentiert werden muss. Die Automatisierung eliminierte diese Engpässe: Die Agenten trafen Entscheidungen in Sekundenbruchteilen, führten Aktionen parallel aus und passten ihre Taktik in Echtzeit an, wenn eine Aktion fehlschlug. Diese Parallelität und Automatisierung reduzierte die für eine vergleichbare Red-Team-Operation benötigte Zeit von etwa zwei Wochen auf unter 10 Stunden.

Offene Fragen und die Grenzen des Berichts

Der Bericht von Unit 42 nennt weder die Identität des Opfers noch die konkret eingesetzten KI-Modelle oder eine Lösegeldsumme. Die Angaben des Angreifers zu den verwendeten frontier AI-Modellen und agentischen Frameworks stammen aus den Verhandlungen und sind nicht unabhängig verifiziert; es ist unklar, ob der Angreifer die Wahrheit sagte oder die Fähigkeiten übertrieb. Der Vorfall wurde am 2. September von Unit 42 veröffentlicht, nachdem die Untersuchung am 27. August begonnen hatte. Weitere Details wie die genaue Architektur der agentischen Frameworks oder die spezifischen Schwachstellen, die ausgenutzt wurden, bleiben offen. Der Bericht lässt auch offen, ob der Angreifer die KI-Modelle selbst trainierte oder auf öffentlich verfügbare Modelle zurückgriff, und ob die agentischen Frameworks kommerziell oder selbst entwickelt waren. Diese Lücken schränken die unabhängige Bewertung der tatsächlichen KI-Fähigkeiten ein.