Cyberangriffe, die mithilfe von KI-Agenten durchgeführt werden sind eine beängstigende Realität, die wir langsam zu beobachten beginnen. Kann aber KI den Menschen in der Cybersicherheit übertreffen? In diesem Artikel betrachten wir zwei kürzlich mit KI durchgeführte Angriffe, stellen die neuesten Forschungsergebnisse zu diesem Thema vor und berichten, was wir beim Aufbau und Testen unseres eigenen KI-gestützten Pentesting-Setups gelernt haben.

Einleitung

Im November letzten Jahres veröffentlichte Anthropic einen Bericht über das, was sie als den ersten dokumentierten gross angelegten Cyberangriff beschrieben, der grösstenteils von autonomen KI-Agenten orchestriert und ausgeführt wurde. Der Angriff, der vermutlich von einer chinesischen staatlich geförderten Hackergruppe namens GTG-1002 orchestriert wurde, nutzte ein Setup auf Basis von Anthropics KI-Agent Claude. Das Ziel war Cyberspionage gegen etwa 30 Ziele, von Technologieunternehmen bis hin zu Regierungsbehörden, wobei die KI schätzungsweise 80-90% der taktischen Operationen eigenständig übernahm. Die Angriffe folgten dem üblichen Advanced Persistent Threat (APT) Playbook: Aufklärung, Diebstahl von Anmeldedaten und laterale Bewegung, um Daten zu sammeln und zu exfiltrieren. Die Angreifer verwendeten keine ausgefeilte, massgeschneiderte Schadsoftware oder Zero-Day-Exploits, sondern lediglich quelloffene Tools, die der breiten Öffentlichkeit zugänglich sind.

Ihr Setup war tatsächlich so einfach, dass wir ohne grossen Aufwand eine vereinfachte Replik davon erstellen konnten. Es entsprach nicht genau dem Original, funktionierte jedoch gut genug, um es gegen absichtlich verwundbare Maschinen zu testen und dabei einiges über KI-gestütztes Pentesting zu lernen.

Wie gut ist KI beim Hacking?

Bevor wir auf die Details unseres Setups und dessen Funktionsweise eingehen, müssen wir einen Blick auf die aktuelle Landschaft der KI-gestützten Cyberangriffe werfen, sowohl in der Forschung als auch in der Praxis.

Die GTG-1002-Fallstudie

Wie in der Einleitung erwähnt, legte Anthropic im November 2025 offen, was als erster gross angelegter, hauptsächlich von KI durchgeführter Cyberangriff gilt. Die GTG-1002 Hacker verwendeten ein Setup, bei dem eine Claude-Instanz (mit dem Modell Opus 4.6) als Koordinator fungierte, während mehrere andere KI-Subagenten die Rolle von Arbeitern übernahmen. Die koordinierende KI teilte den Angriff in kleinere Phasen auf, gab ihren Subagenten Anweisungen, aggregierte deren Ergebnisse und präsentierte sie den menschlichen Operatoren, die den Angriff dann ohne direkte taktische Ausführung steuerten.

Die KI in diesem Angriff war nicht vollständig autonom: Menschen mussten die Ziele auswählen, Angriffe verketten, die KI führen und die Fehler korrigieren, die den LLMs gelegentlich unterliefen. Während dieser letzte Punkt vielleicht nicht besonders wichtig erscheint — schliesslich machen auch Menschen ständig Fehler — ist er entscheidend für die künftige Rolle der KI in der Cybersicherheit. Wie Anthropic selbst berichtet, halluzinierte Claude und übertrieb Befunde häufig: Es behauptete, gültige Anmeldedaten gefunden zu haben, die in Wirklichkeit nicht funktionierten, oder stufte Befunde als hochkritisch ein, die sich dann als öffentlich zugängliche Informationen herausstellten. Dies verhinderte die Möglichkeit eines vollständig autonomen Angriffs in diesem Ausmass und zwang menschliche Operatoren, die Operation zu überwachen und die KI auf den vorgesehenen Kurs zurückzubringen. Eine Schlussfolgerung aus diesem Ereignis ist daher: Solange KI-Halluzinationen ein Problem bleiben, werden gross angelegte Cyberangriffe stets ein gewisses Mass an menschlicher Aufsicht erfordern.

CodeWalls vollautonomer Angriff

Der GTG-1002-Angriff zeigte, wozu KI mit menschlicher Unterstützung heute in der Lage ist. Aber wie gut ist sie, wenn sie auf sich allein gestellt ist? In anderen aktuellen Cybersicherheitsnachrichten berichtete das Sicherheits-Startup CodeWall, dass es vollen Lese- und Schreibzugriff auf eine Produktionsdatenbank der Unternehmensberatung McKinsey erlangt habe. Der CEO von CodeWall behauptete, der Angriff sei vollständig von einem KI-Agenten ohne menschliche Eingriffe durchgeführt worden. Der Agent schlug McKinsey offenbar sogar selbst als mögliches Ziel vor, nachdem er erfahren hatte, dass es kürzlich Aktualisierungen an McKinseys Infrastruktur gegeben hatte. CodeWalls Forscher richteten den KI-Agenten einfach auf McKinsey aus, und nur wenige Stunden später, ohne vorherige Anmeldedaten oder besonderen Zugang, gelang es ihnen, die Schwachstelle auf McKinseys Seite zu identifizieren und zu bestätigen.

Obwohl dies zeigt, dass vollautonome Exploits möglich sind, erkennt man bei näherer Betrachtung dieses Vorfalls, dass die Komplexität dieses Angriffs nicht sehr hoch war und der wichtigste Beitrag des KI-Agenten darin bestand, einen nicht authentifizierten, öffentlich zugänglichen API-Endpunkt zu identifizieren. Der Exploit selbst war eine einfache SQL-Injection, wobei der Server sogar SQL-Fehlermeldungen als Antwort auf fehlerhafte Anfragen zurückgab. Im Wesentlichen ermöglichte die KI dem Sicherheits-Startup, in kurzer Zeit eine sehr grosse Angriffsfläche abzudecken und mögliche Schwachstellen zu entdecken. Dies bestätigt ein Muster, das wir bei unseren Tests beobachtet haben: KI-Agenten sind bemerkenswert effektiv darin, die Breite einer Angriffsfläche abzudecken, haben jedoch Schwierigkeiten, wenn die Ausnutzung Tiefe erfordert, also bei mehrstufigen Angriffen, bei denen jede Aktion vom Ergebnis der vorherigen abhängt.

Was sagt die Forschung dazu?

Diese Erkenntnisse wurden auch durch ein Paper einer Gruppe von Sicherheitsforschern am AI Security Institute in Grossbritannien bestätigt. Sie testeten verschiedene Modelle mit zunehmendem Token-Budget gegen zwei simulierte Ziele ohne menschliche Aufsicht.

Zunächst bestätigten sie, was wir in den letzten Jahren alle beobachtet haben: Jede neue Modellgeneration übertraf ihre Vorgänger deutlich. Das leistungsstärkste Modell war eindeutig Anthropics Opus 4.6 (dasselbe, das von GTG-1002 bei den gross angelegten Angriffen verwendet wurde). Im besten Durchlauf löste es 22 von 32 Gesamtschritten in einer der beiden Zielanwendungen, mit einem Durchschnitt von 15,6 Schritten über fünf Durchläufe. Die hohe Varianz bei der Schrittabschlussrate ist kein positives Zeichen für die KI, da sie darauf hindeutet, dass die Ergebnisse selbst unter identischen Bedingungen erheblich variieren können. Obwohl das Paper dies nicht erwähnt, könnten KI-Halluzinationen eine mögliche Erklärung dafür sein, warum einige Durchläufe weniger erfolgreich waren. Ohne menschliche Führung konnte die KI Fehler nicht korrigieren und steckte letztlich fest.

Ein weiterer sehr interessanter Befund war, dass die Leistung des Agenten bis zu den getesteten 100 Millionen Tokens log-linear mit den Token-Kosten korrelierte. Die Studie ergab, dass eine Verzehnfachung der Tokens von 10 auf 100 Millionen einem Anstieg der gelösten Schritte von etwa 59% entspricht. Das bedeutet: Selbst wenn es keine Obergrenze für die Angriffskomplexität gäbe, die ein Modell bewältigen kann, skalieren die Kosten exponentiell. Einige Modelle hatten jedoch eine Obergrenze für die Anzahl der Schritte, die sie abschliessen konnten, unabhängig von der Anzahl der verbrauchten Tokens. GPT-4o beispielsweise kam unabhängig vom Token-Verbrauch nicht über Schritt 3 hinaus. Diese log-lineare Korrelation zwischen Angriffslänge und Token-Kosten bestätigt die Einschätzung, dass diese Modelle Schwierigkeiten haben, mehrere Schritte zu verketten, um lange Exploits durchzuführen.

Unsere Erfahrungen

Bevor wir die Agenten mit unserem Setup getestet haben, waren die Erwartungen nicht besonders hoch. Wir nutzten KI gelegentlich zur Unterstützung bei alltäglichen Aufgaben, doch häufig war sie entweder völlig nutzlos oder erforderte so viel Debugging und Aufwand unsererseits, dass es einfacher gewesen wäre, die Aufgabe ohne KI zu erledigen. Anfangs sah es so aus, als ob unser Instinkt richtig lag: Die KI steckte bei den grundlegendsten Dingen fest, erholte sich nicht von einfachen Fehlern und versuchte überkomplizierte Lösungen für relativ einfache Probleme. Zudem hatte sie erhebliche Schwierigkeiten im Umgang mit interaktiven Sitzungen und Befehlen, die keine Ausgabe lieferten. Obwohl sie die anfängliche Hauptarbeit wie das Identifizieren laufender Dienste, die Suche nach bekannten Schwachstellen und die Bereitstellung einer klaren, strukturierten Übersicht über das Ziel wirklich gut und schnell erledigte, hatte sie offensichtliche Probleme, wenn die Komplexität der Aufgaben zunahm. Durch etwas Unterstützung gelang es uns jedoch, ihre Ergebnisse deutlich zu verbessern.

Ein entscheidender Faktor für die Leistung der KI ist der verwendete System-Prompt. Indem wir ihr einen strengen Satz von Engagement-Regeln und eine Referenz für die Durchführung des Angriffs sowie den Umgang mit Fehlern und interaktiven Shell-Sitzungen zur Verfügung stellten, hörte die KI auf, Zeit (und Tokens) in endlosen Wiederherstellungsschleifen zu verschwenden, Dinge zu tun, die sie nie tun sollte, oder auf Befehle zu warten, die nie eine Ausgabe liefern würden. Das ist nicht so einfach, wie wir zunächst dachten, aber wir stellten fest, dass KI durchaus gut darin ist, ihre eigenen Prompts zu schreiben. Wir konnten ihre Leistung verbessern, indem wir sie baten, den System-Prompt nach jedem Durchlauf zu aktualisieren und so iterativ weiterzuentwickeln. Darüber hinaus fügten wir eine weitere Ebene hinzu: Wir wiesen die KI an, die gemachten Fehler und deren Lösungen in einem Dokument festzuhalten, das sie vor jeder Interaktion lesen musste. Dies verhinderte, dass sie immer wieder dieselben Fehler machte und stecken blieb.

Zu diesem Zeitpunkt war das Lösen leichter bis mittelschwerer Capture-the-Flag (CTF) Challenges recht unkompliziert. Wir wollten jedoch das KI-Koordinator/Arbeiter-Setup aus dem GTG-1002-Angriff ausprobieren. Dabei stellten wir fest, dass die Verwendung von Claude Code für diese Art von Experimenten weitaus effektiver war als die Desktop-Version. Die Code-Version kann längere Sitzungen ausführen und ist besser in die Werkzeuge der angreifenden Maschine integriert. Dieses Setup erleichterte die Verwaltung der Angriffe auf unserer Seite und beschleunigte die Durchführung, da mehrere KIs parallel verschiedene Dinge ausprobieren konnten. Es ermöglichte uns jedoch nicht, komplexere Challenges zu lösen. Am Ende des Tages galt: War eine Challenge für die KI allein zu schwer, war sie auch für mehrere KI-Instanzen zu schwer.

Beim Aufbau dieser Leader/Worker-Infrastruktur entdeckten wir auch einen kleinen Trick zur Verbesserung der Token-Effizienz: Das Opus-4.6-Modell für die koordinierende KI zu verwenden, aber Sonnet 4.6 für die Arbeiter. Aufgrund des nichtdeterministischen Charakters der KI liess sich nicht messen, um wie viel effizienter diese Konfiguration war, aber sie war schneller als der Einsatz eines einzelnen Agenten und kostengünstiger als der Einsatz mehrerer Opus-Instanzen. Aufgrund des Koordinationsaufwands zwischen den Agenten ist diese Konfiguration jedoch immer noch teurer als die Verwendung nur einer KI-Instanz. Da Sonnet über gute Cybersicherheitsfunktionen mit lockeren Token-Ratenbeschränkungen verfügt, ermöglichte uns diese Konfiguration schnellere Angriffe, die weiterhin vom überlegenen Opus-Modell orchestriert wurden, ohne an die strengeren Ratenbeschränkungen zu stossen, die Anthropic dafür vorschreibt. Gelegentlich musste Opus einspringen und die Exploits selbst versuchen, wenn die Aufgaben für Sonnet zu komplex wurden, aber grösstenteils erledigte Sonnet die Arbeit korrekt.

Es war definitiv lehrreich und interessant, all dies zu testen. Es sei jedoch darauf hingewiesen, dass dieser Trick zwar in unserem lokalen Setup bei CTF-Challenges und absichtlich verwundbaren Maschinen funktionierte, dies aber nicht bedeutet, dass es in einer realen Umgebung mit wesentlich komplizierteren Systemen und Nutzern in Echtzeit genauso funktionieren würde. Darüber hinaus fehlte bei unseren Experimenten jegliche Verteidigungsstrategie. Die Systeme wiesen absichtliche Schwachstellen auf, und es wurde keinerlei Einbruchserkennung oder -prävention durchgeführt. KI muss einen Weg finden, dieses Hindernis zu überwinden, wenn sie im offensiven Bereich der Cybersicherheit breiter eingesetzt werden soll.

Fazit — Wird KI die Cybersicherheit übernehmen?

Dies ist die ultimative Frage, die wir in den vergangenen Wochen zu beantworten versuchten. Nach allem, was wir gesehen und gelesen haben, scheint es so, dass die aktuellen Probleme der KI nicht so schnell verschwinden werden, selbst wenn die Modelle besser und die Tokens günstiger werden. Sowohl der GTG-1002-Fall als auch das Forschungspaper deuten darauf hin, dass KI beim Hacking nicht besser ist als ein menschlicher Angreifer, aber schneller sein und grosse Angriffsflächen effizienter abdecken kann. Wir glauben jedoch nicht, dass wir kurz davor stehen, dass sie Menschen in diesem Kontext ersetzt.

In unseren Experimenten war menschliche Führung entscheidend für das Lösen anspruchsvollerer Challenges. Darüber hinaus verhinderten Halluzinationen nicht nur gelegentlich, dass die KI in der Angriffskette vorankam, sondern gefährdeten manchmal sogar die Operation, indem sie versuchten, den Angriff auf andere, nicht autorisierte Ziele auszuweiten. Dies war ein grosses Warnsignal, das uns daran erinnerte, dass das Modell, mit dem wir sprachen, trotz seines Anscheins als intelligentes Wesen nur ein statistisches Modell war, das kein Konzept davon hatte, was passierte oder was es tat. Es erinnerte uns auch daran, dass KI letztlich nur ein (sehr mächtiges) Werkzeug ist, das von jemandem für etwas eingesetzt werden muss. Je erfahrener und kompetenter der Bediener, desto besser die Ergebnisse. Am Ende des Tages wird die Rolle, die KI in der Cybersicherheit spielen kann, von den Menschen definiert, die sie einsetzen, und von ihrer Fähigkeit, sie zu nutzen.

Wir werden zweifellos mehr KI-Einsatz bei Cyberangriffen sehen, aber wir glauben nicht, dass sich die Natur der Bedrohungen wesentlich verändern wird. Hauptsächlich wird KI die Geschwindigkeit und das Ausmass von Angriffen beeinflussen. KI-Agenten werden keine Schwachstellen finden, die ein erfahrener Mensch nicht auch finden könnte, sie werden sie lediglich schneller und über eine grössere Fläche hinweg entdecken. Wenn Ihre Systeme bereits abgesichert sind, wird KI daran nichts ändern. Wenn Sie jedoch Schwachstellen haben, mit denen Sie bisher unbemerkt durchgekommen sind, weil niemand die Zeit hatte, sie zu suchen, schliesst sich dieses Fenster.

Über den Autor

Daniele Del Giudice hat einen Bachelor und Master an der ETH Zürich mit den Schwerpunkten Secure and Reliabe Systems und Networking absolviert, wobei sich seine Masterarbeit mit Decentralized Identity Technologien für die Schweizer e-ID auseinandersetzt. Während seines Studiums hat er bei zwei unterschiedlichen Sicherheitsanbietern in der Schweiz ein Praktikum gemacht. Sein Fokus liegt im Bereich von Netzwerken und Datenschutz. (ORCID 0009-0003-1026-0578)

Links

• https://www.aisi.gov.uk/
• https://www.anthropic.com/
• https://www.arxiv.org/pdf/2603.11214
• https://www.assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf
• https://www.codewall.ai/
• https://www.crowdstrike.com/en-us/cybersecurity-101/threat-intelligence/advanced-persistent-threat-apt
• https://www.mckinsey.com/
• https://www.theregister.com/2026/03/09/mckinsey_ai_chatbot_hacked/
• https://www.vuldb.com