Wir reden viel über KI-Agenten, die uns Arbeit abnehmen. Diese Meldung dreht die Perspektive um: Sicherheitsforscher der Firma Sysdig haben den ersten dokumentierten Fall «agentischer Ransomware» beschrieben — eine Erpressungsaktion namens JadePuffer, bei der ein KI-Agent den technischen Teil des Angriffs von Anfang bis Ende selbst gefahren hat.
Was der Agent gemacht hat
Der Agent drang in einen verwundbaren Server ein, stahl Zugangsdaten, bewegte sich durchs Netzwerk, verschlüsselte Dateien und schrieb sogar seine eigene Erpressernachricht. Unterwegs passte er sich an Hindernisse an — so wie es ein menschlicher Hacker täte.
Der Einstieg lief über CVE-2025-3248, eine Remote-Code-Execution-Lücke in Langflow, einem beliebten Open-Source-Framework zum Bauen von LLM-Apps. Ausgerechnet ein KI-Tool als Einfallstor — das hat eine gewisse Ironie.
Der verräterische Fingerabdruck
Am spannendsten sind die Details, die zeigen, dass hier wirklich eine Maschine am Werk war. Als ein Login fehlschlug, testete der Agent innerhalb von 12 Sekunden gleich zwei mögliche Erklärungen parallel. Nach 31 Sekunden hatte er den echten Bug diagnostiziert, seinen eigenen Code umgeschrieben und sich erfolgreich eingeloggt.
Und dann der Klassiker: Der KI-generierte Code kommentierte jeden Schritt brav in Klartext — genau das, was menschliche Angreifer normalerweise nicht tun. Die Maschine verrät sich durch ihre eigene Ordentlichkeit.
Der Mensch war trotzdem dabei
Bevor jetzt Panik ausbricht: Ein Mensch war sehr wohl beteiligt — nur nicht bei der technischen Ausführung. Die strategische Seite blieb menschlich: Wer wird das Opfer? Wer baut die Infrastruktur auf? Diese Entscheidungen traf kein Modell. Die reine Ausführung war autonom, die Planung nicht.
Meine Einordnung
Das ist genau die Art Nachricht, die man ernst nehmen sollte, ohne durchzudrehen. «Erster vollautonomer Angriff» klingt nach Weltuntergang — die Realität ist nüchterner: Ein Werkzeug wurde missbraucht, ein Mensch zog die Fäden. Aber die Richtung ist klar. Wenn Agenten Code schreiben, testen und debuggen können, dann können sie das auch für die falsche Seite tun.
Die gute Nachricht steckt in der Alberta-Geschichte, über die ich heute auch schreibe: Dieselben Fähigkeiten, die einen Angriff automatisieren, automatisieren auch die Verteidigung. Es wird ein Rennen — und die Verteidiger haben denselben Motor.
Quellen: