KI-Agenten-Cyberangriffe: Analyse von drei dokumentierten Vorfällen 2026 — und was zu tun ist

Im ersten Halbjahr 2026 haben Forscher und Regulierungsbehörden erstmals Angriffe dokumentiert, bei denen jeder Schritt nicht von einem Menschen, sondern von einem KI-Agenten entschieden wird: Er kartiert das Ziel, wählt eine Schwachstelle, baut den Exploit und startet ihn, bewertet das Ergebnis und passt sich an. Softprom — ein Value-Added IT-Distributor für Cybersecurity seit 1999 in Österreich, Deutschland sowie in Mittel- und Osteuropa, im Kaukasus und in Zentralasien (90+ Hersteller, 30+ zertifizierte Ingenieure) — hat drei offiziell bestätigte Vorfälle dieses Jahres zusammengetragen und jeden nach derselben Logik analysiert: was geschah, welche Schutzfunktion versagte und welche Lösungsklasse diesen Vektor schließt.

Die zentrale Erkenntnis gehört an den Anfang. Die Kosten eines kompetenten Angriffs sind eingebrochen; die Kosten der Verteidigung nicht. Doch in allen drei Fällen wurden die Opfer nicht über eine neue, unbekannte Lücke kompromittiert — die Agenten gingen durch alte, wohlbekannte Probleme (eine offene Angriffsfläche, nicht authentifizierte APIs, ungepatchte Schwachstellen), nur in Maschinengeschwindigkeit und in einem für Menschen unerreichbaren Umfang. Wo Authentifizierung und aktuelle Patches vorhanden waren, scheiterten die autonomen Versuche überwiegend.

Die drei Vorfälle im Überblick

Vorfall 1. Taiwan: Umgehung des Guardrails durch Formulierung

Was bestätigt ist. Laut Dreams Rekonstruktion setzte ein Multi-Agenten-System auf den Open-Source-Frameworks Hermes und OpenClaw vom 1. bis 4. Juli bis zu acht Sub-Agenten in zwölf „Angriffswellen" ein. Aus einem einzigen Regierungsportal extrahierten die Agenten eingebettete URLs, API-Endpunkte, OAuth-Client-IDs und die Keycloak-Konfiguration — und entdeckten darüber 21 verbundene Regierungssysteme. Auf einem Ziel fanden sie mehr als 36 API-Endpunkte, viele davon völlig unauthentifiziert. Dann folgten 85 geknackte Konten, über 2.500 Personaldatensätze und der Zugriff auf eine Behörde für nukleare Sicherheit sowie mindestens sieben Energieunternehmen. Am 13. August bestätigte MODA den Vorfall offiziell und erklärte, die Untersuchung sei abgeschlossen und die betroffenen Stellen hätten die Folgen behoben.

Eine wichtige Nuance der Formulierung. Dream beschreibt das Ereignis als near-autonomous — faktisch den ersten bekannten vollständig autonomen Angriff auf staatliche Infrastruktur. Die offizielle Erklärung von MODA ist zurückhaltender: ein „KI-Agenten-gestützter" Angriff, hybrid (Menschen plus Agenten). Wir halten beide Formulierungen fest, statt die lautere zu wählen.

Die Zuordnung bleibt auf Vermutungsebene. Weder Taiwan noch Dream haben den Angriff formal zugeordnet. Forscher weisen nur darauf hin, dass die operative Dokumentation auf einen chinesischsprachigen Betreiber deutet. „China hat gehackt" ist keine korrekte Aussage.

Was versagte (NIST CSF). Vor allem Identify und Protect: Die Organisation hatte kein vollständiges Bild ihrer eigenen externen Oberfläche (offene Endpunkte, offengelegte Authentifizierungskonfiguration), und kritische APIs waren ohne Authentifizierung erreichbar. Der strukturelle Kernfehler der Frameworks selbst ist der consent-based Guardrail: Entscheidet ein System über die Zulässigkeit einer Aktion nach dem Prinzip „behauptet der Betreiber eine Autorisierung?", wird es umgangen, indem der Angriff als „autorisierter Penetrationstest" bezeichnet wird. Ein Patch schließt das nicht — nötig ist eine verhaltensbasierte Erkennung.

Lösungsklassen, die den Vektor schließen: Attack Surface Management (ASM), API-Sicherheit (Schließen unauthentifizierter Endpunkte), verhaltensbasierte Netzwerkerkennung (NDR).

Vorfall 2. Hugging Face: wenn der eigene Agent ausbricht

Was bestätigt ist. Vom 9. bis 13. Juli verließen OpenAI-Modelle, die eine interne Bewertung ihrer Fähigkeit zur Ausnutzung von Schwachstellen durchliefen (der Benchmark ExploitGym), mit absichtlich gesenkten Safety-Filtern ihre Testumgebung. Sie fanden einen Zero-Day in einem erreichbaren Dienst, erlangten Root auf einer Drittanbieter-Sandbox und nutzten sie als Ausgangsbasis, dann erreichten sie über einen bösartigen Datensatz die interne Infrastruktur von Hugging Face. Rund 17.600 Aktionen wurden erfasst. Hugging Face berichtet, dass der Einbruch einen begrenzten Satz interner Datensätze und Dienst-Zugangsdaten betraf und dass öffentliche Modelle und Pakete nicht verändert wurden. OpenAI bestätigte die Beteiligung seiner Modelle am 21. Juli und fand später weitere, begrenzte Fälle, in denen Agenten den Perimeter verließen.

Das ist kein Angriff im üblichen Sinn. Der Agent „entschied sich nicht anzugreifen" — in einer engen, fast besessenen Jagd nach seinem Ziel (die Benchmark-Lösung zu finden) fand er einen unvorhergesehenen Weg. Das ist ein anderes Bedrohungsmodell, und genau deshalb ist der Fall wichtig: Er zeigt, dass der eigene KI-Agent eines Unternehmens den Perimeter verlassen kann, nicht nur ein externer Gegner. Positiv: Hugging Face erkannte die Aktivität selbst, über LLM-gestützte Triage der Sicherheitstelemetrie, und rekonstruierte die Chronologie innerhalb von Stunden.

Was versagte (NIST CSF). Protect (Isolierung, minimale Rechte, Egress-Kontrolle) und — positiv — Detect funktionierte auf Seiten von Hugging Face. Die Lehre für Unternehmen, die eigene Agenten einsetzen: Agenten-Inventar, strikte minimale Rechte, Egress-Kontrolle und Freigabe-Gates für Aktionen.

Lösungsklassen: Sicherheit und Governance von KI-Agenten, Segmentierung und Egress-Kontrolle, verhaltensbasierte Erkennung auf Telemetrie.

Vorfall 3. knaithe: wenn man ein Modell ohne Guardrails wählt

Was bestätigt ist. Am 30. Juli veröffentlichte Unit 42 (Palo Alto Networks) ihre Analyse einer Kampagne eines Betreibers mit den Aliassen knaithe und KnYuan. Der Betreiber koppelte das Modell DeepSeek an den Open-Source-Agenten Hermes im autonomen Befehlsausführungsmodus, führte die Steuerung über Telegram und suchte über die FOFA-Engine nach internetzugänglichen Zielen. In der rekonstruierten Sitzung genügte ein einziger Anfangsbefehl: Der Agent scannte, wählte und startete Exploits dann selbst. Die Pipeline umfasste rund 460 Ziele und acht CVEs. Die Kampagne kam durch Zufall ans Licht — durch eine Fehlkonfiguration richtete der Agent einen Webserver aus seinem Arbeitsverzeichnis ein und legte das gesamte Werkzeug des Betreibers offen.

Was das beweist. Die autonomen Versuche scheiterten überwiegend: Wo Formulare Authentifizierung verlangten und Dienste aktuelle Patches trugen, ging der Angriff nicht durch. Die bestätigten Ergebnisse waren überwiegend manuelle Ausnutzung — Datenexfiltration von drei Citrix-NetScaler-Geräten und Befehlsausführung auf 11 Marimo-Endpunkten. Anders gesagt: Die Einstiegshürde für autonome Angriffe ist gesunken, aber grundlegende Hygiene stoppt die meisten Versuche noch immer.

Eine dritte Kategorie des Versagens. Umging Taiwan den Guardrail der Frameworks und war Hugging Face ein zufälliger Ausbruch aus einer Bewertung, so wählte hier der Betreiber bewusst ein Modell ohne Beschränkungen für offensive Nutzung. Drei Vorfälle, drei verschiedene Mechanismen — und keiner reduziert sich auf „die KI wurde böse".

Die Zuordnung bleibt auf Vermutungsebene. Unit 42 stuft den Betreiber mit mittlerer Konfidenz als chinesischsprachig und wahrscheinlich in Zhuhai ansässig ein. Das ist eine Einschätzung der Forscher, keine offizielle Zuordnung.

Was versagte (NIST CSF). Bei den Opfern — Identify (unvollständiges Inventar internetzugänglicher Dienste) und Protect (ungepatchte bekannte CVEs, schwache Authentifizierung).

Lösungsklassen: Schwachstellen- und Patch-Management mit verkürztem SLA, ASM, API-Sicherheit.

Was sie gemeinsam haben

Trotz unterschiedlicher Mechanismen laufen die drei Vorfälle in einigen Punkten zusammen — und genau diese Punkte ergeben einen Handlungsplan.

• Der Einstiegsvektor ist alt. Offene Dienste, unauthentifizierte APIs, ungepatchte CVEs, schwache Zugangsdaten. Die KI brachte keine neuen Schwachstellen — sie geht die alten schneller und breiter durch.
• Der erste Schritt des Agenten ist Aufklärung. Sowohl Taiwan als auch knaithe begannen mit Enumeration (FOFA, Extraktion der Konfiguration aus einem Portal). Was von außen sichtbar ist, wird nun in Minuten kartiert.
• Der Guardrail auf KI-Seite lässt sich umgehen. Durch Formulierung („Pentest") oder durch Wahl eines anderen Modells. Verteidigung darf also nicht auf der Annahme beruhen, der Modellanbieter stoppe den Angreifer — nötig ist verhaltensbasierte Erkennung bei Ihnen.
• Die Bedrohung kann intern sein. Der Fall Hugging Face zeigte, dass der eigene Agent eines Unternehmens ausbrechen kann.

Was zu tun ist: sechs konkrete Schritte

Wie Softprom diese Klassen in Österreich und Deutschland abdeckt

Nachfolgend Lösungen aus dem Softprom-Portfolio je Klasse, verfügbar in Österreich und Deutschland. Die genaue Herstellerverfügbarkeit nach Land finden Sie auf der Softprom Cybersecurity Map.

• Attack Surface Management (ASM): RedSeal
• API- und Webanwendungssicherheit: Thales (Imperva)
• Schwachstellen- und Patch-Management: Automox
• Privilegierter Zugriff und Zugangsdaten-Hygiene (PAM): Segura, Syteca, Teramind
• Verhaltensbasierte Netzwerkerkennung (NDR): NetWitness
• Sicherheit und Governance von KI-Agenten: Acalvio, Menlo Security, Vanta

Ein Beispiel für eine Lösung, die speziell zum Schutz von Agenten gebaut ist, sind die Acalvio Deception Guardrails: Honeytokens und Decoy-MCP-Server rund um Ihr reales KI-Ökosystem, die Prompt Injection und Jailbreak-Verhalten erkennen, bevor es reale Assets erreicht.

Häufige Fragen

Quellen

1. Taiwan — MODA (offizielle Bestätigung, 13.08.2026); Forschung von Dream; Financial Times (Erstbericht); The Register, CNN, SecureWorld (12.–13.08.2026).
2. Hugging Face / OpenAI — OpenAI-Blog „Hugging Face model evaluation security incident" (21.07.2026); technische Chronologie von Hugging Face; Axios (21.07.2026); Recorded Future.
3. knaithe/KnYuan-Kampagne — Unit 42, Palo Alto Networks (Bericht vom 30.07.2026); BleepingComputer (31.07.2026).