Ein chinesischsprachiger Angreifer ist in den vergangenen Wochen in Webseiten von mehr als 100 Unternehmen eingebrochen, darunter der Landmaschinenhersteller Deere, der Haushaltsgerätehersteller SharkNinja und der Motorenbauer Cummins. Die Arbeit hat er fast vollständig an KI-Agenten abgegeben. Das berichtet Reuters nach einer Untersuchung von Snorre Fagerland, leitender Bedrohungsforscher bei der Sicherheitsfirma NorForge.
Cairn stand offen im Netz
Fagerland hat das Netz nach versehentlich offen erreichbaren Instanzen von Cairn abgesucht, einer quelloffenen Plattform für agentische Problemlösung, die unter Hackern beliebt ist. Ab etwa dem 2. Oktober fand er rund zwei Dutzend Instanzen, die für Angriffe benutzt wurden. Damit konnte er den Angreifern über die Schulter sehen, während ihre Werkzeuge liefen.
Sein Bericht nennt die Opfer nicht. Reuters hat die Namen über die Cairn-Protokolle des Angreifers selbst bestimmt. Deere teilte mit, man habe „die notwendigen Gegenmaßnahmen“ ergriffen und keinen Hinweis darauf, dass sensible Informationen abgerufen wurden. SharkNinja sagt, getroffen habe es eine eigenständige Seite mit Produkt-Support-Informationen, die Gefahr sei eingedämmt. Cummins untersucht „die Meldung eines möglichen Cyberangriffs auf eine Webseite, die einer unserer Drittanbieter betreibt“. Zwei kleinere Firmen bestätigten ebenfalls einen Einbruch. Wie viele Daten tatsächlich abflossen, konnte Reuters nicht klären.
50 Dollar je erfolgreicher Einbruch
Der chinesischsprachige Angreifer war der fleißigste von mehreren, die Fagerland beobachtet hat. Ein anderer stahl einen Datensatz mit Kreditkarten, ein weiterer versuchte, eine Kryptobörse auszuräumen. Ab dem 25. September ließ der erste seine Agenten auf Shop-Seiten in den USA, Kanada, Australien und Japan los. Seine Anweisungen fassten in weniger als 100 chinesische Schriftzeichen. Bis Ende der vergangenen Woche hatten die Agenten über 1.200 Seiten angegriffen; ein erfolgreicher Einbruch brauchte typischerweise 23 Stunden Suchen und Probieren.
Die Kampagne nutzte laut Fagerland eine Mischung aus DeepSeek und Anthropics Claude Code und verbrauchte Tokens für rund 5.000 Dollar. Das sind etwa 50 Dollar pro erfolgreichem Einbruch.
Fagerland arbeitet seit fast drei Jahrzehnten in der Sicherheitsbranche und war von einigen Techniken beeindruckt. In einem Fall fanden die Agenten in der öffentlich erreichbaren Anwendung einer großen Firma keine Lücke, durchsuchten dann digitale Register nach zugehöriger Infrastruktur, stießen auf ein öffentlich erreichbares Kontrollpanel, fanden darin eine unauffällige Schwäche in der Datenverarbeitung und brachten den Server nach Stunden des Probierens dazu, Befehle auszuführen. „Auf solche Lösungen zu kommen, ist nicht geradeheraus“, sagt er. „Das ist kein Script-Kiddie-Zeug.“
Cairns Autor, auf Social Media als „le1xia0“ unterwegs, hat den Erhalt einer Reuters-Anfrage bestätigt und die Fragen nicht beantwortet. In einem Beitrag auf X schrieb er, seine Plattform sei „eine neuartige Multi-Agenten-Architektur“ und nicht für Angriffe gebaut.
Niemand musste zusehen
Fagerland sagt, er sei bis vor kurzem davon ausgegangen, dass Hacker-Agenten mindestens etwas Aufsicht brauchen. Das hält er jetzt für widerlegt. Südkorea und Japan haben in den letzten Wochen mehrere öffentlich gewordene Angriffe erlebt, die KI-nutzenden Kriminellen zugeschrieben werden. Im August fand die israelische Firma Gambit Security russischsprachige Erpresser, die mit SpaceX’ Cursor in sieben Organisationen einbrachen. Im September dokumentierte Gambit eine agentengetriebene Serie mit Einbrüchen bei 25 Firmen und mindestens 600.000 gestohlenen Kreditkartendatensätzen. Die Cyber-Aufklärer von BitSight berichten, dass Diskussionen über autonome Agenten in kriminellen Foren zunehmen.
Für uns als Claude-Code-Nutzer ist die unangenehme Stelle nicht der Angreifer, sondern die Rechnung. 5.000 Dollar Tokens für 1.200 angegriffene Seiten heißt: Das Werkzeug, mit dem wir Prototypen bauen, ist in der Hand eines einzelnen Angreifers so viel wert wie ein kleines Team. Die Modellanbieter haben Klassifikatoren und Sperren dagegen. Eine offen im Netz stehende Agenten-Plattform, die Aufträge an mehrere Anbieter verteilt, läuft daran vorbei.