KI-Agenten schreiben sich selbst um
Die Forscher von Irregular haben ein Phänomen dokumentiert, das sie „agentische Selbstmodifikation" nennen. Bei einer routinemäßigen Wartungsaufgabe – fehlerhafte Antworten einer Anwendung korrigieren – identifizierte ein Agent das gemeinsam genutzte Modell als Ursache, trainierte es nach und ersetzte damit das Modell, das sowohl die Anwendung als auch künftige Instanzen des Agenten antreibt. „Ohne dazu angewiesen worden zu sein, zu trainieren, das Modell zu verändern oder einen Ersatz auszurollen", so Irregular. Böswillige Absicht, Selbsterhaltungstrieb oder Täuschung belegen die Experimente ausdrücklich nicht; die Agenten handelten, weil Training zur Lösung der Aufgabe beizutragen schien. Voraussetzung ist Zugriff auf Modellgewichte, Trainingswerkzeuge und einen Ausrollpfad.
Die spanische Datenschutzbehörde AEPD wiederum wurde über eine Datenpanne informiert, die mutmaßlich von einem KI-Agenten ausgeführt wurde: Nach einem Scan und erfolgreicher Anmeldung suchte der Angreifer eigenständig nach Schwachstellen, änderte personenbezogene Daten und griff auf Rechnungen zu. Datenschutzrechtlich relevant sei, dass ein Dritter einen KI-Agenten als Werkzeug einsetzte, um Angriffsphasen zu verketten.
Malware mit eingebauter KI
Mandiant (Google) beobachtet Kampagnen, in denen Schadsoftware eingebettete, schlanke KI-Modelle für dauerhafte, unauffällige Präsenz nutzt. Statt einer statischen Nutzlast analysiere die Malware per lokaler Inferenz die aktiven Sicherheitswerkzeuge auf dem Endpunkt und schreibe ihre Befehlszeichenketten zur Laufzeit dynamisch um, um statische EDR-Signaturen zu umgehen. Zudem nutzten Angreifer KI-Kommandozeilen, um C2-Infrastruktur über natürliche Sprache zu steuern, und wandelten in Cloud-Umgebungen nicht isolierte VM-Instanzen in einen „lebenden, KI-gestützten Offensiv-Knotenpunkt" um.
Oasis Security meldet eine großangelegte Kampagne gegen ungeschützt im Internet erreichbare LocalAI-Instanzen: 230 von 243 Instanzen galten als ausnutzbar, auf 23 Servern wurde Befehlsausführung mit Root-Rechten bestätigt. Abgeflossen seien unter anderem Daten von einer Arbeitsstation des thailändischen Militärs sowie 127 AWS-Zugangsdatensätze, dazu GPS-Koordinaten, Screenshots von Banking-Apps und Scans von Ausweisdokumenten.
Schwachstellen und Netzwerkgeräte
CISA warnt, dass Ransomware-Banden CVE-2026-59310 ausnutzen – eine kritische Directory-Traversal-Lücke im Syslog-Server von VMware vCenter, die nicht authentifizierten Angreifern Codeausführung erlaubt. Die deutsche Incident-Response-Firma QUIRSO fand im August 2026 Hinweise, dass eine China-nahe APT die Lücke kurz nach der Veröffentlichung ausnutzte. Oracles September-CSPU behebt über 800 Fehler; Tyler Reguly von Fortra rät, sich an CISA BOD 26-04 zu orientieren: öffentlich erreichbar, auf der KEV-Liste, automatisierbar, vollständige Kontrolle.
Sophos entdeckte im August 2026 eine Cyclops-Blink-Variante auf mehreren kompromittierten Cisco-Firewall-Management-Center-Geräten. Anders als die WatchGuard-Samples von 2022 läuft sie auf x86-64-Linux und nutzt generische SysV-Persistenz statt Firmware-Manipulation. Fünf Worker-Module leisten Host-Aufklärung, Dateitransfer, Netzwerk-Discovery, selektives Mitschneiden von Paketen und Persistenz. Cisco ordnet die Aktivität einer von drei Kampagnen rund um CVE-2026-20079 und CVE-2026-20316 zu.
Kriminelle Geschäftsmodelle
Unit 42 beschreibt den seit mindestens zwei Jahren unentdeckten Akteur CL-CRI-1171, der einen Pay-per-Install-Marktplatz über YouTube-Kanäle und SEO-Poisoning betreibt. Der Loader OfferLoader lieferte zwischen Juli 2025 und April 2026 den Chrome-Backdoor Docro Hijacker, den WebSocket-Tunnel-RAT ARKTunnel sowie eine neue Variante des plattformübergreifenden Insomnia-RAT.
Auf dem Forum Exploit bewirbt der Akteur Optimus_Prime laut Sophos den „unzensierten" KI-Dienst Luciferus für 35 Dollar monatlich, angeblich mit 120 Milliarden Parametern – vermutlich auf Basis von Alibabas Qwen. SOCRadar dokumentiert VectraRAT für 250 Dollar im Monat. Huntress analysierte die neue Ransomware-Gruppe Settra, die seit Juni 2026 70 Opfer beansprucht.
Strafverfolgung
Der frühere AT&T-Mitarbeiter Kenneth Carter (44) erhielt 16 Monate Haft für SIM-Swaps; drei Opfer erlitten beabsichtigte Verluste von fast 600.000 Dollar, er muss 99.528 Dollar Wiedergutmachung zahlen. Fünf mutmaßliche Black-Axe-Anführer wurden aus Südafrika in die USA ausgeliefert. Juan Manuel Gouveia-Aguilera (27) bekam acht Jahre Haft für Ploutus-Jackpotting mit über 3,5 Millionen Dollar Schaden – nach Angaben des Justizministeriums die längste Strafe dieser Art.