Erstmals führt ein KI-Agent einen kompletten Ransomware-Angriff ohne menschliche Steuerung durch

Der Einstieg gelang über eine bekannte Sicherheitslücke (CVE-2025-3248) in Langflow, einem verbreiteten Werkzeug zum Bauen von KI-Anwendungen. Die Lücke erlaubt es Angreifern ohne Passwort, eigenen Code auf dem Server auszuführen. Langflow hatte die Sicherheitslücke bereits im April 2025 mit einem Update geschlossen, ein Patch war also seit über einem Jahr verfügbar. Kurz darauf nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen auf, faktisch eine offizielle Warnung, sofort zu aktualisieren.

Im beschriebenen Fall wurde der Patch nicht eingespielt, der Agent nutzte die Lücke und arbeitete sich von diesem ersten Server aus weiter vor: Er sammelte Zugangsdaten, richtete sich dauerhaft ein und griff schließlich einen separaten Produktionsserver mit einer MySQL-Datenbank an, das eigentliche Ziel.

Maschinen-Korrektur in 31 Sekunden

Der überzeugendste Beleg dafür, dass hier kein Mensch tippte, ist laut Sysdig ein einzelner Moment: Der Agent versuchte, sich ein Administratorkonto anzulegen, der Anmeldeversuch scheiterte. 31 Sekunden später schickte er eine korrigierte Anweisung, die den Fehler diagnostizierte, das defekte Konto löschte und ein funktionierendes neu aufbaute.

Ein Mensch, der eine Fehlermeldung liest, die Ursache erkennt und ein neues Skript schreibt, brauche dafür deutlich länger, so die Forscher. Auffällig war auch, dass der von der KI erzeugte Code sich selbst in normaler Sprache kommentierte und erklärte, warum er welche Datenbank zuerst löschen wollte. Solche Kommentare schreiben menschliche Angreifer laut Sysdig praktisch nie, KI-Modelle dagegen reflexartig.

Am Ende verschlüsselte der Agent 1.342 Konfigurationseinträge und löschte die Originaltabellen. Die Erpressernachricht forderte anschließend Bitcoin und nannte eine Proton-Mail-Adresse. Der Schlüssel zum Entsperren wurde allerdings nur einmal angezeigt und nie gespeichert oder verschickt. Eine Zahlung hätte die Daten also gar nicht retten können. Auch die genannte Bitcoin-Adresse ist eine bekannte Beispieladresse aus Entwicklerdokumentationen, die das Modell möglicherweise einfach aus seinen Trainingsdaten übernahm.

Alte Fehler, neue Geschwindigkeit

Keine der einzelnen Techniken war neu, ausgenutzt wurden lang bekannte Schwachstellen und schwache Standardpasswörter. Neu ist, dass ein KI-Modell all das eigenständig zu einer kompletten Erpressung verkettete. Die Einstiegshürde für Ransomware sinkt damit auf die Kosten, einen KI-Agenten laufen zu lassen. Eine unabhängige Bestätigung durch das Opfer, Behörden oder andere Sicherheitsfirmen liegt bislang allerdings nicht vor. Sysdig verkauft zudem selbst Produkte, die genau solche automatisierten Angriffe erkennen sollen.

Shane Barney, Sicherheitschef bei Keeper Security, ordnete den Fall gegenüber Hackread nüchtern ein: Man solle JADEPUFFER weniger als Science-Fiction lesen, sondern als ein Versagen bei Zugangsdaten in Maschinengeschwindigkeit. Entscheidend seien nicht neuartige Angriffstechniken gewesen, sondern die offen liegenden Geheimnisse, unveränderten Standardpasswörter, der frei zugängliche privilegierte Zugriff und die fehlende Echtzeit-Überwachung laufender Sitzungen.

Barney verwies auf eine Untersuchung von Keeper, wonach 72 Prozent der Organisationen den Missbrauch von Zugangsdaten nicht in Echtzeit erkennen können und unbefugten privilegierten Zugriff oft erst Stunden nach Beginn bemerken. Genau diese Lücke werde gefährlich, wenn ein KI-Agent innerhalb einer Minute von einem fehlgeschlagenen Login zu einem funktionierenden Administratorzugang gelange.

Für Barney lautet die Konsequenz: Privilegierter Zugriff müsse zeitlich und auf einzelne Aufgaben begrenzt werden, Geheimnisse gehörten in geschützte Tresore mit regelmäßiger Rotation, und Sitzungen müssten überwacht werden, solange sie aktiv sind, nicht erst nachdem der Schaden entstanden ist.