Die spanische Datenschutzbehörde AEPD hat einen Vorfall öffentlich gemacht, der als frühes Beispiel für den operativen Einsatz von KI-Agenten bei Angriffen gilt. Am 14. September beschrieb die Aufsichtsbehörde die Meldung einer nicht genannten Organisation: Ein unbekannter Täter setzte ein „bekanntes Sprachmodell" ein, um an personenbezogene Unternehmensdaten zu gelangen.
Der Ablauf, soweit die AEPD ihn schildert, folgt einer klassischen Angriffskette — nur automatisiert. Zunächst ließ der Angreifer seine KI „generische" Dateien der Zielorganisation nach Schwachstellen durchsuchen. Dabei tauchten offenbar Unternehmenszugangsdaten auf, mit denen sich die KI erfolgreich an einem internen System anmelden konnte. In der Umgebung der so erreichbaren Unternehmensanwendung suchte das System anschließend erneut nach Schwachstellen. Auch das gelang: Der menschliche Betreiber konnte daraufhin personenbezogene Daten im System verändern und Firmenrechnungen einsehen.
Spaniens Nationales Kryptologisches Zentrum (CCN) hatte bereits im Juni in einem Bericht vor genau diesem Muster gewarnt. Durch die Kombination von Open-Source-Recherche mit direkter Aufklärung gegen Infrastruktur könnten Angreifer digitale Bestände wie Websites, Programmierschnittstellen, Cloud-Dienste oder Infrastructure-as-a-Service-Umgebungen präzise kartieren, hieß es dort. Und weiter: KI ermögliche es, Schwachstellen in deutlich kürzerer Zeit zu entdecken, zu verketten und auszunutzen, was die Reaktionsfähigkeit von Organisationen einschränke.
Gene Moody, Field CTO bei Action1, ordnet den Fall als Vorboten ein. Das Zusammentreffen von „Es kann!" und „Sollte ich?" lasse einen solchen Vorfall weniger wie eine Anomalie aussehen als wie ein frühes Beispiel dafür, was zur Routine der künftigen KI-Sicherheitsrealität werde, sagt er. Und: „Ich vermute, Vorfälle wie dieser werden bald nicht mehr deshalb bemerkenswert sein, weil ein KI-Agent beteiligt war. Sie werden bemerkenswert sein, weil kein KI-Agent beteiligt war."
Für Aviv Nahum, Mitgründer und CEO von Above Security, verschiebt sich vor allem der Zeithorizont der Verteidiger. Sicherheitsteams seien traditionell davon ausgegangen, dass irgendwo ein Mensch Entscheidungen trifft, zwischen Schritten pausiert und auf Ereignisse reagiert. Ein Agent dagegen könne die Umgebung fortlaufend untersuchen, sich anpassen und mit Maschinengeschwindigkeit weiterarbeiten — Incident-Response-Prozesse, die auf menschliches Tempo ausgelegt sind, kämen damit an ihre Grenzen.
Besonders wichtig findet Nahum den Moment, in dem die KI eine Identität kompromittierte. Sobald ein Angreifer oder Agent über gültige Zugangsdaten verfüge, sehe eine herkömmliche Kontrolle möglicherweise nur einen authentifizierten Nutzer. Entscheidend werde dann die Frage, ob das Verhalten hinter dieser Identität noch plausibel sei: Worauf wurde zugegriffen? Was wurde geändert? Welche Aktionen folgten? Es sei dasselbe Problem wie bei menschlichen Innentätern — nur dass der Innentäter nun synthetisch sein und dauerhaft agieren könne.
Die AEPD selbst betont in ihrer Sicherheitswarnung die Absicherung digitaler Identitäten und Zugangsdaten gegen offensiv eingesetzte KI. Zudem empfiehlt die Behörde, die eigenen Reaktionszeiten bei Sicherheitsvorfällen zu überprüfen und gegebenenfalls zu verkürzen sowie manuelles Eingreifen durch Erkennungs-, Eindämmungs- und Reaktionsprozesse zu flankieren, die auf Maschinengeschwindigkeit ausgelegt sind.