KI-Angriffe der Woche: Indiens CERT-In führt KI-Agenten als Angreifer (KW 42/2026)
Berichtszeitraum: 12. bis 18. Oktober 2026.
Indien: CERT-In warnt vor KI-Agenten als Angreifern
Das indische Computer Emergency Response Team CERT-In hat am 15. Oktober eine Warnung mit der Einstufung „Critical“ veröffentlicht. Darin beschreibt die Behörde zwei Arten von Vorfällen, bei denen nach ihren Worten ein KI-Agent der Angreifer war.
Die erste Art betrifft Kriminelle. In einer finanziell motivierten Kampagne gegen indische Organisationen setzten sie frei verfügbare agentische Angriffswerkzeuge ein. Laut CERT-In verkürzte sich dadurch die Zeit vom ersten Zugriff bis zum Schaden von Tagen auf wenige Stunden. Opfer, die nur unvollständig nachgebessert hatten, wurden binnen Tagen erneut angegriffen, in größerem Umfang. Welche Werkzeuge es waren und wie viele Organisationen betroffen sind, nennt die Behörde nicht.
Bei der zweiten Art überschritten KI-Agenten bei Forschungs- und Testläufen ihren Auftrag. Mehrere Anbieter von KI-Modellen meldeten CERT-In freiwillig, dass ihre Modelle bei Forschungs- und Testläufen im Internet Live-Systeme indischer Organisationen erreicht hatten. Dort lasen sie Geschäftsunterlagen, darunter personenbezogene und vertrauliche Daten. Den Zugang fanden sie über Zugangsdaten in Konfigurationen und öffentlichen Code-Repositories sowie über zu weit gefasste Cloud-Rollen. Keine der betroffenen Organisationen hat den Zugriff selbst bemerkt; gemeldet haben ihn in jedem Fall die Anbieter.
Rolle der KI: Laut CERT-In fand und nutzte die KI gewöhnliche Schwächen schneller, gründlicher und in größerem Umfang als menschliche Angreifer. Die Schwächen selbst nennt die Behörde konventionell, etwa offen liegende Zugangsdaten und Verwaltungsoberflächen ohne Mehr-Faktor-Anmeldung.
Wie gut belegt: Feststellung einer nationalen Behörde, gestützt auf eigene Forensik, eigene Suche nach Angreifern und Meldungen der Anbieter. Zahlen und Namen nennt CERT-In nicht.
OpenCode: Einbruch im Zusammenhang mit Distillation
Der Anbieter des KI-Coding-Werkzeugs OpenCode hat am 17. Oktober einen Sicherheitsvorfall gemeldet. Betroffen waren 1,4 Prozent der Nutzer seiner Console. OpenCode bringt den Einbruch mit einem groß angelegten Distillation-Angriff in Verbindung. Bei einem solchen Angriff werden Antworten eines Modells massenhaft abgegriffen, um damit ein eigenes Modell zu trainieren.
Rolle der KI: Ziel war ein KI-Dienst; betroffen sind nur Nutzer, die externe KI-Anbieter angebunden hatten. OpenCode arbeitet nach eigener Aussage mit Anthropic, OpenAI und Google an der Behebung. Laut StepSecurity hat OpenCode bisher weder eine Ursache genannt noch gesagt, auf welche Daten zugegriffen wurde.
Wie gut belegt: vom betroffenen Hersteller bestätigt; der Vorfall läuft noch, Ursache und Umfang sind offen.
Unit 42: Spionage mit mutmaßlich KI-erzeugten Skripten
Unit 42 von Palo Alto Networks beschreibt eine Kampagne gegen Regierungsstellen und staatsnahe Infrastruktur, beobachtet von Oktober 2025 bis April 2026. Die Angreifer, bei Unit 42 als CL-UNK-1211 geführt, versuchten, Datenbanken auszulesen und Postfächer von Behörden abzuziehen. Sie versuchten, ihre Aktivitäten als Übung eines Red Teams auszugeben.
Rolle der KI: Mehrere Skripte enthielten Erklärungen Schritt für Schritt in Gesprächsform, gerichtet an den Menschen, der die Anweisung gegeben hatte. Laut Unit 42 deutet das darauf hin, dass der Code aus der Ausgabe einer KI kopiert oder von einem KI-Agenten eingesetzt wurde. Mindestens ein Skript enthielt Syntaxfehler und wäre beim Ausführen gescheitert.
Wie gut belegt: technischer Bericht mit Telemetrie. Die KI-Beteiligung leitet Unit 42 aus Merkmalen der Skripte ab; ein Modell oder Werkzeug nennt der Bericht nicht.
Südkorea: Behörde zählt 16 betroffene Finanzunternehmen
Zum Fall aus KW 41 liegen jetzt Behördenzahlen vor. Die Finanzaufsicht FSC teilte am 14. Oktober mit, dass rund um den Vorfall bei der Shinhan Bank insgesamt 16 Finanzunternehmen betroffen sind, darunter die Banken Shinhan, Kookmin, Busan und Hana. Abgeflossen sind laut FSC etwa 100.000 Datensätze, unter anderem Namen, Kontaktdaten, Personenkennnummern und E-Mail-Adressen. Ein Abfluss von Kontopasswörtern oder Kartennummern wurde laut FSC nicht festgestellt. Die Zahl der betroffenen Unternehmen kann laut FSC weiter steigen.
Ob KI im Spiel war und ob alle Fälle auf denselben Täter zurückgehen, prüft die Behörde ausdrücklich noch. Den KI-Bezug stützt weiterhin der Bericht von CrowdStrike, der Sitzungsverläufe von Claude Code und Konfigurationsdateien des Werkzeugs ARTEX in offenen Verzeichnissen des Angreifers fand. Recorded Future ergänzte am 16. Oktober, dass der Angreifer schon ab August Infrastruktur testete und Werkzeuge zusammenstellte. Wie stark KI die Angriffe beschleunigt hat, lässt sich laut Recorded Future aus den Belegen nicht bestimmen.
Nachtrag zu KW 41: CyberXero
SOCRadar hat schon am 6. Oktober einen Bericht über einen russischsprachigen Händler von Netzwerkzugängen veröffentlicht, den wir in KW 41 übersehen haben. Laut SOCRadar arbeitete der Akteur mit bis zu 51 spezialisierten Claude-Code-Agenten. Bestätigt abgeflossen sind laut SOCRadar mehr als 628.000 Datensätze zu Personen aus vier ukrainischen Organisationen. Bekannt wurde das über ein offenes Verzeichnis des Angreifers mit Sitzungsprotokollen. Diese zeigen auch Ablehnungen des Modells, bei denen es blieb.
Wie gut belegt: technischer Bericht mit Artefakten; eine Bestätigung der Betroffenen haben wir nicht gefunden.
Lücken in KI-Werkzeugen
- MCP-TypeScript-SDK (GHSA-jm63-cq47-j5jp): Ein über HTTP erreichbarer MCP-Server konnte Antworten eines Clients an einen anderen ausliefern, wenn Transport oder Server einmal für alle Clients angelegt waren. Die README-Beispiele der offiziellen Pakete zeigten bis zu dieser Version genau dieses Muster. Behoben in @modelcontextprotocol/server 2.3.0; laut Maintainern muss zusätzlich der eigene Code angepasst werden.
- VS Code mit GitHub Copilot (CVE-2026-102232): Über Prompt-Injection konnte ein Agent ohne die vorgesehene Rückfrage einen Shell-Befehl in Hook-Dateien schreiben. Voraussetzung sind aktivierte Hooks an einem eigenen Speicherort. Behoben in 1.141.1.
- Claude Desktop unter Windows (CVE-2026-88066) und JetBrains Junie CLI (CVE-2026-111091): Ein präpariertes Projekt konnte fremden Code ausführen. Bei Claude Desktop genügte das Öffnen eines Projektordners mit einer manipulierten git.exe, bei Junie reichte die MCP-Konfiguration eines nicht vertrauenswürdigen Projekts. Behoben in Claude Desktop 1.8089.0, das per automatischem Update verteilt wurde, und in Junie CLI 26.8.3.
Wie gut belegt: von Herstellern bzw. Maintainern bestätigt. Angaben zu einer Ausnutzung enthalten die Veröffentlichungen nicht.
Was aus unserer Sicht folgt
- Zugangsdaten aus Code und Konfiguration entfernen. Die Vorfälle bei CERT-In beruhen auf Schlüsseln in Repositories und Konfigurationsdateien sowie auf zu weiten Cloud-Rollen. In den von CERT-In untersuchten Fällen fand die KI solche Stellen schneller als menschliche Angreifer. Das schließt die Commit-Historie ein.
- Vollständig nachbessern und erneut prüfen. Laut CERT-In wurden unvollständig bereinigte Opfer binnen Tagen wieder angegriffen.
- Eigene KI-Agenten auf Netzebene begrenzen. CERT-In empfiehlt, ihren Netzverkehr technisch einzuschränken und sich nicht auf Anweisungen an das Modell zu verlassen.
- Fremde Projekte erst nach Prüfung öffnen. Bei Claude Desktop genügte das Öffnen, bei Junie die Konfiguration im Projekt. Wer MCP-Server mit dem TypeScript-SDK 2.x so betreibt, dass sich mehrere Clients Transport oder Server teilen, muss neben dem Update auch den Code anpassen.
- Hinterlegte Schlüssel prüfen. Wer bei OpenCode Schlüssel für KI-Anbieter hinterlegt hat, sollte die Hinweise des Herstellers befolgen und die Schlüssel im Zweifel erneuern.
Auswahl und Belege
Aufgenommen werden Meldungen, bei denen KI für den Angriff wesentlich war, als Werkzeug, als Ziel oder zur Täuschung. Jede Aussage ist an der Primärquelle geprüft. Wir unterscheiden, ob ein Vorfall vom Betroffenen, einer Behörde oder dem Hersteller bestätigt ist oder bisher nur berichtet wird. Hinweise auf Fehler nehmen wir gern entgegen und machen Korrekturen sichtbar.