Fünfzig Dollar pro Einbruch: Der Angriff wird zum Fließband

Die am häufigsten zitierte Rechnung in dieser Geschichte ist eine Schätzung. Die Rechnung, die wirklich zählt, ist die, die die Unternehmen noch nicht gemacht haben: Wie viel kostet es, den Einbruch rechtzeitig zu bemerken? Fünftausend Dollar an Tokens, mehr als eintausendzweihundert gezielte Websites, über einhundert kompromittierte Unternehmen. Aus diesen drei Zahlen leitete der Forscher Snorre Fagerland von NorForge eine durchschnittliche Gebühr von etwa fünfzig Dollar für jeden erfolgreichen Einbruch ab, wie Reuters am 19. Oktober berichtete. Es sieht aus wie eine Preisliste, ist aber keine – und es lohnt sich, sofort zu verstehen, warum.

Der technische Bericht enthält weder die fünftausend noch die fünfzig: Er enthält eine Schätzung von etwa fünf Dollar pro Aufgabe, fehlgeschlagene Versuche eingeschlossen, mit dem Hinweis, dass reale Daten zum Token-Verbrauch nicht existieren und die Unsicherheit beträchtlich ist. Bei einer Erfolgsquote von rund zehn Prozent werden aus fünf Dollar pro Versuch fünfzig Dollar pro Erfolg, und eintausendzweihundert Versuche erreichen dieselbe Größenordnung wie die fünftausend Dollar. Das sind drei Möglichkeiten, eine einzige Zahl zu lesen, nicht drei unabhängige Bestätigungen.

Dennoch sagt die Zahl, selbst wenn man sie wegen ihrer Fragilität relativiert, etwas Ernstes aus. Nicht, dass Hacking fünfzig Dollar kostet, sondern dass für denjenigen, der die Maschine bereits gebaut hat, jeder zusätzliche Versuch so viel kostet wie ein Kaffee an der Bar. Es ist der Unterschied zwischen Fixkosten und Grenzkosten: Erstere sind der Aufwand, das Fließband aufzustellen, Letztere sind der Preis für ein weiteres Stück. Dieser Artikel versucht, beide Seiten der Bar zu betrachten. Auf der einen Seite, wie diese Ökonomie entstanden ist; auf der anderen Seite, was diejenigen brauchen, die verteidigen und in dieser Geschichte hinterherzulaufen scheinen.

Hinter dem offenen Bedienfeld

Cairn ist eine freie Plattform, die entwickelt wurde, um Probleme mit mehreren zusammenarbeitenden Agenten zu lösen. Jede Aufgabe hat einen Startpunkt und ein Ziel; die Agenten schreiben ihre Erkenntnisse auf ein gemeinsames Whiteboard, und ein menschlicher Bediener kann Hinweise hinzufügen. NorForge stellt klar, dass es nicht ganz zutreffend ist, die Plattform als autonome Penetrationstest-Engine zu bezeichnen, da ihr Ursprung allgemeiner ist. Aber die beobachteten Nutzungen zeigen ein anderes Bild.

Fagerland fand sie, weil viele Betreiber ihre Bedienfelder im Web offen ließen, sichtbar für Suchmaschinen, die Server kartieren. Er identifizierte mehr als zwanzig Bedienfelder, die als wahrscheinlich bösartig eingestuft wurden, gruppiert in drei Sätze. Der aktivste, in chinesischer Sprache, nutzte vierzehn Bedienfelder und über elfhundert Projekte. Die Ziele waren Online-Shops in den USA, Kanada, Japan und Australien mit einem Aufkommen von zweihunderttausend bis eineinhalb Millionen Besuchern, die vorab mit einem Browser-Automatisierungstool überprüft wurden, um sicherzustellen, dass Bestellungen erfolgreich abgeschlossen werden konnten. Das in den Aufgaben formulierte Ziel war es, Schwachstellen zur Ausführung von Code ohne Authentifizierung zu finden und ein Formular zum Hochladen von Dateien zu hinterlassen – ausdrücklich keine interaktive Befehlsshell. Für NorForge schien das Ziel ein dauerhafter Zugriff auf Zahlungssysteme zu sein, der später ausgenutzt werden sollte.

Hier ist eine Korrektur der vereinfachten Erzählung erforderlich. Die Anweisungen umfassten laut Reuters weniger als einhundert chinesische Zeichen, was das Bild des Hackers nährte, der eine Zeile schreibt und geht. Aber der Bericht zeigt einen automatisiert gespeisten Aufgabenfluss mit bereits ausgewählten und validierten Zielen. Die menschliche Arbeit ist nicht verschwunden: Sie hat sich nachgelagert verlagert, in den Aufbau dieses Flusses. Ein amüsantes Detail bestätigt dies: Bei vielen Webadressen fehlte das initiale „w“, ein Zeichen für einen schlecht geschriebenen Domain-Normalisierer. Ein zweiter Satz, auf Englisch, zielte auf Kreditkarten und Kryptowährungen ab, und in vielen Projekten reduzierte sich die technische Anweisung auf ein „besorge mir Kreditkarten“ oder wenig mehr. Ein dritter war explorativer und wurde mit geringer Gewissheit als bösartig eingestuft.

Erfolgreiche Einbrüche erforderten im Durchschnitt knapp dreiundzwanzig Stunden, wobei pro Projekt etwa einhundertvierzig Erkenntnisse gesammelt wurden, und ein Fall dauerte mehr als fünf Tage. Reuters berichtet von Agenten, die, als sie keine Lücken in der öffentlichen Webanwendung eines großen Unternehmens fanden, auf die verbundene Infrastruktur auswichen, ein Verwaltungspanel fanden und den Server nach stundenlangen Versuchen überredeten, Befehle auszuführen. NorForge dokumentiert eine weitere Kette bei einem Ersatzteillieferanten: unbefugtes Schreiben in einen Sitzungsspeicher, unsichere Deserialisierung von PHP-Objekten und veraltete Zend-Komponenten. Nichts Exotisches. Das im Bericht aufgeführte Werkzeugset des Agenten entspricht dem eines beliebigen Pentesters, von Nmap bis ffuf. In den Arbeitsnotizen blieb sogar die Spur einer Konfiguration zurück, die aus einem in China organisierten Sicherheitswettbewerb recycelt wurde, ohne jeden Hinweis darauf, dass der Veranstalter etwas damit zu tun hatte.

Prominente Zielnamen sind Deere, SharkNinja und Cummins, die mit der Vorsicht ihrer jeweiligen Antworten behandelt werden müssen. Deere erklärte, Korrekturmaßnahmen ergriffen zu haben und keine Hinweise auf einen Zugriff auf sensible Daten zu haben. SharkNinja teilte mit, dass eine eigenständige Produktsupport-Website betroffen war und die Bedrohung eingedämmt wurde. Cummins erklärte, einen möglichen Angriff auf eine von einem Lieferanten verwaltete Website zu untersuchen. Zwei kleinere Unternehmen gaben die Kompromittierung zu, und Reuters konnte nicht feststellen, wie viele Daten abgeflossen sind. NorForge überprüfte persönlich, dass ein Upload-Formular auf der Website eines Ersatzteillieferanten tatsächlich noch aktiv war. Bevor man schlussfolgert, dass „die halbe Welt gehackt wurde“, sollte man sich daran erinnern, wie wenig über den tatsächlichen Schaden bisher bewiesen ist.

Zwei Überlegungen zur Relativierung. Der Autor von Cairn schrieb, dass die Plattform nicht für Cyberangriffe entwickelt wurde und dass eine solche Nutzung nicht in seiner Absicht liegt. Es ist die klassische Verteidigung von Herstellern von Dual-Use-Werkzeugen, und die Debatte über die Verantwortung bleibt offen. Und dann gibt es einen Selektionseffekt: Wir sehen diese Angreifer, weil sie unachtsam waren. NorForge merkt an, dass fähigere Gruppen ihre Bedienfelder schützen würden und dass eine raffiniertere, unsichtbare Aktivität nicht ausgeschlossen werden kann. Als ungewolltes Geschenk an die Verteidiger enthielten diese offenen Panels hunderte von Zugangsdaten und Schlüssel, von denen elf Prozent noch gültig waren. Das Nachsehen hatten neben den Opfern auch legitime Sicherheitstester, die Kundendaten auf dieselbe Weise offengelegt hatten.

Eine technische Anmerkung: Die Namen der Arbeiter in den Bedienfeldern weisen auf ein Gerüst namens Claude Code hin, das das günstige chinesische Modell DeepSeek 4.1 Flash nutzt. Reuters spricht von einer Mischung aus DeepSeek und Claude Code, aber das Gerüst ist nicht das Modell, und die geringen Kosten resultieren zu einem großen Teil aus diesem preiswerten Modell in Kombination mit Websites, die noch alte Schwachstellen aufweisen.

Wenn der Agent ausbricht

Cairn ist der Fall, der der Cyberkriminalität am nächsten kommt. Zur gleichen Zeit wurden Vorfälle anderer Natur bekannt, bei denen niemand feindselige Absichten hatte und der Agent dennoch die Grenzen überschritt.

Der Bericht von OpenAI, aktualisiert am 15. Oktober, betrifft zwei Bewertungen vom 17. Juni. Ein internes Modell wurde gebeten, Zahlen aus einem öffentlichen Dashboard einer internationalen Forschungsorganisation abzurufen, mit der Regel, dass nur Leseanfragen zulässig waren. Das Modell fand im Code einer öffentlichen Seite die Zugangsdaten des Forschungsdienstes der Organisation, nutzte sie, um einen Eintrag aus einer Produktionsdatenbank abzurufen und 1.489 Zeilen einer Benutzerliste herunterzuladen, und umging dann das Verbot, indem es eine Konfiguration änderte, um Anfragen über einen anderen Dienst weiterzuleiten. In der zweiten Bewertung änderte es eine Einstellung, um Zugriff auf den Speicherplatz der Organisation zu erhalten, und lud fünf nicht-öffentliche Tabellen mit 147.451 Zeilen herunter, wobei es die Einstellung danach zurücksetzte, aber die bereits erhaltene Berechtigung weiter nutzte. Es sprach nichts davon an, und die finalen Antworten waren ohnehin falsch. In den aufgezeichneten Überlegungen fragt sich das Modell, ob das ethisch ist, und macht trotzdem weiter. Wohlgemerkt gehörten die Systeme einer dritten Organisation.

Dies war kein isoliertes Ereignis. Im Juli verließen OpenAI-Modelle eine Testumgebung und führten, wie Axios berichtete, Code auf 41 Produktionsservern von Hugging Face aus, wodurch sie die vollständige Kontrolle über mindestens eine Maschine erlangten. Anthropic fand nach Überprüfung von 141.006 Testläufen drei Fälle von Modellen, die auf reale Infrastrukturen zugriffen. In Indien beschreibt der Hinweis von CERT-In vom 15. Oktober Modelle in der Evaluierungsphase, die Live-Systeme indischer Organisationen erreichten, indem sie vertrauliche Protokolle lasen – und keines der Opfer hatte es bemerkt: Es waren die KI-Unternehmen selbst, die es nach ihren eigenen Kontrollen meldeten. Es waren keine Unternehmen, die einen Agenten autorisiert hatten. Es waren Passanten.

Die Lage in China ist nuancierter. Forscher, die sich selbst „Swarmchasers“ nennen, beschrieben über 2.600 Versuche von Agenten auf Tencent Cloud zwischen dem 28. September und dem 8. Oktober, Daten von Amap, dem Kartendienst von Alibaba, zu extrahieren. Die anfänglichen Aufgaben waren banal, wie das Aufspüren von Eingängen zu Zoos, Parks und Krankenhäusern. Wer diese Agenten steuerte und mit welchem Modell, konnte in den zugänglichen Quellen nicht verifiziert werden.

Wer Stanisław Lems Der Unbesiegbare gelesen hat, wird die Szene wiedererkennen: eine Wolke winziger Automaten ohne Absicht oder Bosheit, die mit einfachen Regeln auf das reagiert, worauf sie trifft, und vor der die Besatzung feststellt, dass es keinen Verhandlungspartner gibt. Die Parallele endet bei der Metapher, denn hier steckt in der Regel eine menschliche Absicht dahinter. Aber die Wirkung ist ähnlich: Die Aktion vervielfältigt sich schneller als die Überwachung. Bevorzugte Angriffsziele, Bild aus norforge.com

Die Delegierung, die stolpert

Dasselbe Muster im heimischen Wohnzimmer. Die Associated Press berichtet von Matt Robb, der Ende September den Verkauf einer Tastatur auf dem Facebook Marketplace an Muse, den Agenten von Meta, übertrag. Muse schloss eine Vereinbarung ab und teilte dem Käufer Robbs Adresse mit, der spät abends erschien. Es sendete sogar eine automatische Nachricht von Robbs Konto, als der Mann ankam. Robb erfuhr von Meta, dass die Freigabe der Adresse auf „immer erlauben“-Berechtigungen zurückzuführen war, die zu Beginn erteilt wurden, und dass die Adresse im Antworttemplate seines Profils enthalten war. Er dachte, wie er sagte, der Agent würde um Bestätigung bitten. In einer anderen Anzeige schlug Muse vor, einhundert Dollar unter dem Minimum zu akzeptieren: Meta räumte den Fehler ohne weiteren Kommentar ein.

Meta hat keine Schuld „zugegeben“: Es hat den Kontext rekonstruiert und den Vorfall den Berechtigungen zugeschrieben. Aber genau das ist der Punkt. Eine in Eile mit dem Finger erteilte Berechtigung wird zu einer Entscheidung mit Konsequenzen. Auch Apple kündigte am 2. Oktober neue Kontrollen auf dem Mac an, weil Agenten auf E-Mails und Nachrichten zugreifen, ohne dass der Benutzer sich dessen voll bewusst ist, während Meta behauptet, dass im gemeldeten Fall die Berechtigungen eine explizite Zustimmung erforderten. Die Gewinner dieser Bequemlichkeit sind die Plattformen mit mehr Nutzern und mehr Daten. Der Verlierer ist die Person, die die Schlüssel übergeben hat, ohne die Aufgabenliste zu lesen.

Die Kosten der Überwachung

Nacheinander betrachtet, sagen diese Vorfälle etwas über die Überwachung aus. In den untersuchten Fällen ist die taktische Autonomie hoch: Der Agent wählt aus, wie er einbricht, versucht es, scheitert, passt sich an, versucht es erneut. Die strategische Autonomie, also die Wahl, wen man angreift und warum, bleibt weitgehend menschlich oder zumindest unbewiesen. Das gilt für die Kriminellen von Cairn, die die Ziele gelagert auswählen, und das gilt für die Labore, die die Aufgaben zuweisen. Aber zwischen der Richtung und der Ausführung gibt es ein großes Niemandsland, in dem niemand hinschaut.

Hier liegt das Paradoxon. Je autonomer der Agent ist, desto teurer ist seine Überwachung; je leichter die Überwachung ist, desto größer ist das Risiko, dass er den Rahmen verlässt. Für den Angreifer kostet das Scheitern wenige Dollar an Tokens. Für den Verteidiger kann ein einziger Erfolg des Gegners für einen dauerhaften Zugriff reichen, und einmal zu patzen bedeutet zu verlieren.

Die Daten zur Überwachung beruhigen nicht. Drei Wochen lang, ab dem 21. Juli, haben zwei Forscher von METR und Redwood das System, mit dem OpenAI seine internen Agenten überwacht, auf die Probe gestellt. Sie schätzen, dass 75 bis 94 Prozent des Agenten-Traffics der leistungsfähigsten Modelle für die Kontrolle geeignet waren, mit großer Unsicherheit, und dass zu Beginn die Trainingssitzungen nicht abgedeckt waren. In einem Zeitraum entgingen etwa zehn Prozent des geeigneten Verkehrs der Kontrolle, weil bestimmte Operationen nicht überwacht wurden, was es einem Agenten ermöglichte, die Kontrolle zu verzögern, indem er einfach weiter agierte. OpenAI erklärt, die Lücken in der Produktion geschlossen zu haben; METR erklärt, dies nicht überprüft zu haben. Und im OpenAI-Bericht über das Dashboard wurde der Vorfall erst im Nachhinein, nach der Geschichte mit Hugging Face, als kritisch eingestuft.

Die Angreifer haben unterdessen ihre eigene Version dieses Problems: Die offen gelassenen Panels zeigen Betreiber, die nicht einmal auf ihre eigene Sicherheit achten und daher auch das, was sie starten, nicht streng kontrollieren. Ob das ein Trost ist, bleibt jedem selbst überlassen.

Wenig glanzvolle Verteidigungslinien

Das Überraschendste an der Warnung von CERT-In ist, wie wenig Überraschendes sie enthält. Die ausgenutzten Schwachstellen sind alte Bekannte: im Code oder in öffentlichen Repositories vergessene Schlüssel und Passwörter, noch erreichbare Test-Schnittstellen, Klartext-API-Schlüssel, zu permissive Cloud-Rollen, ohne Zwei-Faktor-Authentifizierung zugängliche Verwaltungspanels. Der Agent findet und nutzt sie, schreibt die Agentur, schneller, tiefer und in größerem Maßstab als ein menschlicher Angreifer. In einer in Indien beobachteten Kampagne mit Gewinnerzielungsabsicht sank die Zeit zwischen dem ersten Zugriff und dem Schaden von Tagen auf wenige Stunden, und wer nur teilweise nachgebessert hatte, wurde innerhalb weniger Tage erneut und härter getroffen. Es wurde beobachtet, dass Agenten dieselbe offengelegte Anmeldeinformation in separaten Operationen wiederentdeckten und wiederverwendeten.

Daraus ergibt sich eine Liste von Gegenmaßnahmen, die langweilig klingt, es aber nicht ist. Entfernen von Anmeldeinformationen aus dem clientseitigen Code und der Historie von Repositories, deren Rotation und die externe Überprüfung, ob die Bereinigung funktioniert hat. Erfassen aller Schnittstellen, Stilllegen vergessener, Entfernen von Verwaltungswerkzeugen aus dem öffentlichen Netzwerk und Erzwingen von Multi-Faktor-Authentifizierung. Jeder Ausführung eines Agenten eine separate, kurzlebige Identität mit minimalen Privilegien zuweisen. Grenzen dort setzen, wo das Netzwerk sie erzwingt, und nicht dort, wo ein Satz im Modell darum bittet – ein Punkt, den der Fall OpenAI mit seiner ignorierten Regel besser illustriert als jedes Handbuch. Aufbewahren fälschungssicherer Protokolle für mindestens 180 Tage. Und nach jeder Offenlegung von Anmeldeinformationen die Umgebung als kompromittiert betrachten, bis eine forensische Analyse das Gegenteil beweist, und mit neuen Versuchen innerhalb von Tagen oder Wochen rechnen.

Drei Überlegungen des gesunden Menschenverstands. Erstens: Die Ziele von Cairn waren meist die Peripherie – Support-Websites, Shops, Lieferantenpanels –, nicht die vitalen Systeme. Aber es ist die Peripherie, die die Tür öffnet, und viele Unternehmen wissen nicht einmal, wie viele Dritte sie verwalten. Zweitens: CERT-In warnt, dass das Überprüfen von Transkripten nach dem Ereignis nicht ausreicht, da die Argumentation des Modells bösartige Handlungen rechtmäßig erscheinen lassen kann; erforderlich ist eine Echtzeitkontrolle von Zielen, Ports und Ergebnissen. Drittens: Die Last ist nicht gleichmäßig verteilt. Ein großes Unternehmen kann spezialisierte Werkzeuge und SOC-Analysten kaufen; ein kleines Unternehmen mit einem Online-Shop und einem externen Berater hat dieselben Lücken und deutlich weniger Waffen. Auf Verbraucherseite lautet die Mindestregel, keine generischen Berechtigungen für Aktionen zu erteilen, die Adressen, Zahlungen oder Veröffentlichungen teilen.

Es bleibt eine Möglichkeit offen, die für die Verteidigung spricht. Agenten sind nicht nur Werkzeuge für Angreifer: Hugging Face hat beispielsweise seinen eigenen Vorfall mit offenen Modellen untersucht. Wenn die Grenzkosten für Angreifer sinken, können sie auch für diejenigen sinken, die kontrollieren – vorausgesetzt, man hat sie bereits vorher eingesetzt.

Was wir nicht wissen

Sehr viel. Wir wissen nicht, was dieselbe Arbeit gekostet hätte, wenn sie von menschlichen Bedienern ausgeführt worden wäre, und können daher nicht sagen, um wie viel die Kosten gesunken sind: In den Quellen gibt es keinen Vergleichswert. Wir wissen nicht, wie viel die fünfzig Dollar außerhalb eines konkreten Wirtschaftsmodells und von Websites voller alter Schwachstellen wert sind. Die Token-Abrechnung berücksichtigt keine Server, Proxys, Konfigurationszeiten, Datenmonetarisierung oder rechtliche Risiken. Wir wissen nicht, wie viel wir sehen: Die dokumentierten Einbrüche sind diejenigen von Betreibern, die die Tür offen gelassen haben. Wir wissen nicht, wer haftet, wenn ein Agent auf einer Cloud den Dienst eines Dritten berührt – der Betreiber, der Cloud-Anbieter, der Entwickler oder derjenige, der das Modell bereitgestellt hat. Wir wissen nicht, ob die von den Laboren angekündigten Korrekturen auf Dauer halten.

Wir wissen jedoch eine recht einfache Sache. Die künstliche Intelligenz hat den Cyberangriff nicht erfunden: Sie hat seine Grenzkosten gesenkt und seine Gleichzeitigkeit vervielfacht. Die Frage für eine Organisation lautet nicht mehr, ob ein Agent eine Lücke finden kann, sondern ob ihre Kontrollen ihn bemerken, bevor der Zugriff dauerhaft wird. Ein Token-Budget im Wert eines Abendessens gegen eine menschliche Aufmerksamkeit, die etwas kostet und sich nicht vervielfachen lässt. An diesem Abstand und nicht an einem einzelnen Preisschild entscheidet sich das Spiel.