Nach der Darstellung von Unit 42 überließ der Angreifer die taktische Ausführung den Agenten, die in Echtzeit beobachteten, bewerteten, handelten und umplanten – und so die Geschwindigkeit über die gesamte Angriffskette hinweg erhöhten. Der Mensch behielt die Zielsetzung und die folgenreichen Entscheidungen. Zum Abschluss ließ der Angreifer die Agenten sogar einen “Bericht” über die Sicherheitslage der Organisation hinterlassen: ein technisches Audit von 80 Seiten.
Technisch glich die Operation weniger einem Hacker, der eine Checkliste abarbeitet, als einem automatisierten Team spezialisierter Operatoren. Zum Einsatz kamen laut Bericht Aufrufe mehrerer hochentwickelter KI-Agenten über Sprachmodelle, strukturierte Markdown-Dateien, die zwischen Agenten und Sitzungen weitergegeben wurden, sowie eigene, KI-generierte Skripte zur Steuerung dynamischer Abläufe. Die Agenten verarbeiteten die Ergebnisse ihrer Aktionen gemeinsam und entschieden fortlaufend über die nächsten Schritte.
Der Einstieg erfolgte über einen öffentlich erreichbaren API-Endpunkt, durch den sich der Angreifer in das Netz tunnelte und einen automatisierten Aufklärungsagenten einsetzte, um interne Microservices zu kartieren. Sub-Agenten durchsuchten anschließend die Code-Repositories des Unternehmens und extrahierten fest im Code hinterlegte Tokens und Dienstpasswörter. Mit diesen offengelegten Tokens drang der Angreifer in das Secrets-Management-System ein und erlangte administrative Master-Zugangsdaten samt Root-Zugriff auf Systeme.
Zudem übernahm der Akteur die Kontrolle über eine Unternehmens-Code-Anwendung und exfiltrierte Cloud-Zugriffsschlüssel. Diese Schlüssel dienten laut Unit 42 dazu, die KI-Endpunkte des Opfers in Infrastruktur für künftige Angriffsaktivitäten umzuwandeln.
Rickard Carlsson, CEO des KI-Sicherheitsunternehmens Detectify, sieht darin eine Entwicklung weg von der KI-Automatisierung einzelner Aufgaben wie dem Schreiben von Phishing-Mails, der Binäranalyse oder der Skripterzeugung. “Die Verschiebung liegt in der Orchestrierung”, sagt er. “Was Unit 42 beschreibt, ist eine Reihe spezialisierter Agenten, die parallel arbeiten, Erkenntnisse teilen und sich anpassen, während ein Mensch die Ziele setzt und die folgenreichen Entscheidungen trifft.” Der Angriffsprozess sei damit “zu einem Arbeitsablauf geworden”.
Auffällig sei, wie gewöhnlich die ausgenutzten Schwächen waren: “eine offengelegte API, hartcodierte Zugangsdaten, Tokens, die Wege in sensible Systeme öffnen”, so Carlsson. “Die Agenten haben keine neue Klasse von Schwachstellen entdeckt; sie haben sich schneller und systematischer durch bestehende Angriffsflächen bewegt. Die Intelligenz lag in der Koordination, nicht in der Ausnutzung.”
Unit 42 erwartet, dass Angreifer KI-Agenten künftig verstärkt in ihr Werkzeugarsenal aufnehmen. Die Verteidigung gegen automatisierte Agentenschleifen erfordere, “Geschwindigkeit und Anpassungsfähigkeit KI-getriebener Angriffe zu erreichen”. Konkret rät das Team, nach operativen Schleifen zu suchen: stoßweise API-Anfragen, schnelle Wechsel zwischen den HTTP-Zuständen 401 und 200, parallele Authentifizierungen sowie plötzliche Modellnutzung durch unerwartete Identitäten.
Carlsson fordert, Sicherheit “kontinuierlich statt periodisch” zu betreiben: Repositories, Pipelines, Infrastructure-as-Code und Secrets-Management gehörten zur Angriffsfläche. Zugangsdaten sollten kurzlebig sein, KI-Endpunkte und Integrationen inventarisiert und die Eindämmung automatisiert werden, “damit kompromittierter Zugang schnell abgeschaltet werden kann”.