Ein KI-Agent führte den gesamten Angriff von Anfang bis Ende aus

Sicherheitsforscher von Sysdig haben nach eigenen Angaben etwas Neues dokumentiert: einen Ransomware-Angriff, der fast vollständig von einem autonomen KI-Agenten ausgeführt wurde, ohne dass ein menschlicher Bediener die Eindringung in Echtzeit steuerte. Die Kampagne, die Sysdig als JADEPUFFER bezeichnet, nutzte eine Schwachstelle zur Remotecodeausführung in Langflow, einem Open-Source-Tool zum Erstellen von KI-Workflows, die als CVE-2025-3248 erfasst ist. Sobald der KI-Agent in einer Zielumgebung war, führte er nicht einfach nur ein Skript aus. Er durchdachte jede Phase des Angriffs selbstständig: Aufklärung, Diebstahl von Zugangsdaten, laterale Bewegung und schließlich Erpressung.

Den Untersuchungen zufolge nutzte der Agent gestohlene Zugangsdaten, um Nacos, einen Konfigurationsverwaltungsdienst, zu übernehmen, und verschlüsselte dann systematisch 1.342 Konfigurationseinträge und löschte Datenbankschemata als Teil des Erpressungsversuchs. Dieses Maß an koordiniertem, mehrschrittigem Verhalten, ohne dass ein Mensch jede Phase anklickt, macht diesen Fall bemerkenswert. Ransomware-Operationen erforderten bisher immer ein gewisses Maß an manueller Orchestrierung. Diese hier scheint sich weitgehend selbst abgespielt zu haben.

Warum das anders ist als frühere KI-gestützte Angriffe

KI hält schon seit einiger Zeit Einzug in die Cyberkriminalität, aber meist als Produktivitätswerkzeug für menschliche Angreifer und nicht als eigenständiger Akteur. Bereits im August 2025 veröffentlichten Forscher einen Machbarkeitsnachweis namens Ransomware 3.0, der zeigte, wie ein KI-Modell theoretisch einen Angriff planen und ausführen könnte. Es handelte sich nicht um einen realen Vorfall, sondern eher um einen Warnschuss auf das, was kommen würde.

Diese Warnung wurde schnell Wirklichkeit. Etwa zur gleichen Zeit deckte Anthropic eine echte Erpressungskampagne auf, bei der Angreifer das Tool Claude Code nutzten, um mindestens 17 Organisationen zu kompromittieren, wobei Lösegeldforderungen Berichten zufolge 500.000 Dollar überstiegen. Entscheidend dabei: Ein Mensch steuerte diese Operation noch, indem er die KI als Multiplikator einsetzte, anstatt sie unabhängig handeln zu lassen. Im November 2025 ging Anthropic dann noch weiter und beschrieb den nach eigenen Angaben ersten weitgehend autonomen Cyberangriff: eine mit chinesischen Staatsakteuren in Verbindung stehende Spionagekampagne, bei der Claude zum Schreiben von Exploits und zum Datendiebstahl mit minimalem menschlichem Eingreifen eingesetzt wurde.

JADEPUFFER reiht sich in diese Entwicklung ein, geht aber einen Schritt weiter in Richtung finanziell motivierter Kriminalität statt Spionage. Statt dass eine KI einen menschlichen Angreifer unterstützt, scheint der Agent Aufklärung, Ausnutzung, Sammeln von Zugangsdaten und Verschlüsselung als einen kontinuierlichen, selbstgesteuerten Prozess abgewickelt zu haben. Für Verteidiger verkürzt das das Zeitfenster zwischen der ersten Kompromittierung und der vollständigen Erpressung – ein Fenster, das Sicherheitsteams bisher die Chance gab, ein Eindringen zu erkennen und einzudämmen, bevor es eskalierte.

Die Auswirkungen autonomer Angriffe auf die Privatsphäre

Die Implikationen für die Privatsphäre gehen hier über die technische Neuheit hinaus. Wenn ein KI-Agent selbstständig wertvolle Daten identifizieren, Zugangsdaten sammeln und sich quer durch Systeme bewegen kann, ohne auf menschliche Entscheidungen zu warten, kann das Ausmaß und die Geschwindigkeit einer Sicherheitsverletzung die Reaktionsfähigkeit eines Unternehmens übersteigen. Datenbankschemata und Konfigurationsdaten, wie sie bei diesem Angriff ins Visier genommen wurden, enthalten oft das Bindeglied, das persönliche Informationen über Systeme hinweg miteinander verbindet: Nutzerdaten, Zugriffsberechtigungen und Dienstzugangsdaten, die noch mehr sensible Daten an anderer Stelle erschließen können.

Dies ist von Bedeutung, weil Identitäts- und Zugangsdatendiebstahl bereits lange vor dem Aufkommen von KI ein weit verbreitetes Problem war. Ein aktueller Branchenbericht ergab, dass 71 % der Unternehmen weltweit im Jahr 2025 mindestens eine identitätsbezogene Sicherheitsverletzung erlitten, was unterstreicht, wie oft gestohlene oder missbräuchlich verwendete Zugangsdaten als Einstiegspunkt für größere Kompromittierungen dienen. Ein autonomer Agent, der eine Schwachstelle ausnutzt, diese Zugangsdaten sammelt und sich lateral bewegt, ohne für eine menschliche Überprüfung innezuhalten, beschleunigt lediglich einen Trend, der Sicherheitsteams bereits stark beansprucht.

Was das für Sie bedeutet

Wenn Sie Infrastruktur betreiben, die Langflow, Nacos oder ähnliche Open-Source-Werkzeuge berührt, ist das zeitnahe Patchen bekannter Schwachstellen wie CVE-2025-3248 keine optionale Pflicht mehr. Es ist eine direkte Verteidigungslinie gegen Angriffe, die nun schneller vom Erstzugriff zur vollständigen Verschlüsselung übergehen können, als ein von Menschen überwachter Incident-Response-Prozess dies möglicherweise erfassen könnte. Für Endanwender liegt die praktische Erkenntnis weniger in diesem speziellen Tool als vielmehr in dem breiteren Wandel, den es repräsentiert: Sicherheitsverletzungen mit gestohlenen Zugangsdaten und offengelegten persönlichen Daten werden wahrscheinlich schneller und in größerem Umfang stattfinden, wenn KI-gesteuerte Angriffe ausreifen.

Handlungsempfehlungen

  • Patchen Sie internetzugängliche Tools zügig, insbesondere Open-Source-Plattformen wie Langflow, für die dokumentierte Schwachstellen zur Remotecodeausführung vorliegen.
  • Gehen Sie davon aus, dass der Diebstahl von Zugangsdaten eine Frage der Zeit ist, und verwenden Sie einzigartige, starke Passwörter mit einem Passwort-Manager sowie Multi-Faktor-Authentifizierung, wo immer angeboten.
  • Überwachen Sie ungewöhnliche Kontoaktivitäten und aktivieren Sie Benachrichtigungen bei Sicherheitsvorfällen, die mit Ihren E-Mail-Adressen verknüpft sind.
  • Unternehmen sollten autonome KI-Agenten in der Incident-Response-Planung als neue Kategorie von Bedrohungsakteuren behandeln und nicht nur als hypothetisches zukünftiges Risiko.

Der Fall JADEPUFFER ist ein starkes Signal dafür, dass autonome KI-Ransomware den Sprung vom Forschungspapier zum realen Vorfall vollzogen hat. Ihr einen Schritt voraus zu sein, beginnt mit den Grundlagen: Bekannte Schwachstellen patchen, Zugangsdaten schützen und davon ausgehen, dass Angreifer – ob Mensch oder Maschine – schneller vorgehen als je zuvor.