Der erste eigenständige Ransomware-Coup der KI ist da.
Sicherheitsforscher von Sysdig zufolge haben sie den ersten bekannten Fall von „agentischer Ransomware“ dokumentiert – einen Angriff, bei dem ein Large Language Model (LLM) jede Phase einer Ransomware-Attacke ohne direkte menschliche Kontrolle übernahm.
Die Kampagne, die Sysdig JADEPUFFER nannte, begann mit der Ausnutzung von CVE-2025-3248, einer Schwachstelle zur Remotecodeausführung im Open-Source-Framework Langflow. Von dort aus führte der KI-Agent eine Aufklärung durch, suchte nach Zugangsdaten, bewegte sich durch das Netzwerk des Opfers, etablierte Persistenz, nahm Produktionssysteme ins Visier, verschlüsselte Daten und hinterließ eine Lösegeldforderung.
Im Gegensatz zu herkömmlicher Ransomware, die typischerweise auf vorab geschriebenen Skripten oder menschlichen Bedienern beruht, passte die KI ihre Aktionen den Forschern zufolge kontinuierlich an veränderte Bedingungen an.
„Das auffälligste Merkmal war jedoch das Verhalten des LLM“, schrieb Sysdig in seinem Bericht. „Die Payloads von JADEPUFFER erzählten ihre eigene Geschichte.“
Die KI passte sich auftretenden Hindernissen an
Laut der Analyse von Sysdig verhielt sich der Agent ähnlich wie ein versierter Penetrationstester. Er suchte nach Cloud-Zugangsdaten, API-Schlüsseln von KI-Anbietern, Kryptowährungs-Wallets, Datenbankpasswörtern und anderen sensiblen Informationen, bevor er vom kompromittierten Langflow-Server zu einer MySQL-Produktionsdatenbank wechselte, auf der die Konfigurationsplattform Nacos von Alibaba lief.
Wenn Teile des Angriffs scheiterten, änderte die KI ihren Ansatz fast sofort, anstatt einfach dieselben Befehle erneut auszuführen.
„In einer Sequenz wechselte sie innerhalb von 31 Sekunden von einer fehlgeschlagenen Anmeldung zu einer funktionierenden Lösung“, stellte Sysdig fest. Die Forscher beobachteten ein ähnliches Verhalten, als die KI auf unerwartete Datenformate und Authentifizierungsprobleme stieß, und ihren eigenen Code umschrieb, um den Angriff fortzusetzen.
Die Lösegeldforderung war möglicherweise nie erfüllbar
Der Angriff verschlüsselte 1.342 Nacos-Konfigurationsdatensätze, bevor er die Originale löschte und eine Lösegeldforderung hinterließ, in der eine Zahlung in Bitcoin verlangt wurde.
Allerdings entdeckte Sysdig einen entscheidenden Fehler in der Ransomware selbst. Der Verschlüsselungsschlüssel wurde zufällig generiert, einmal angezeigt und weder gespeichert noch an den Angreifer zurückübermittelt. Das bedeutet, dass die verschlüsselten Daten nicht wiederhergestellt werden konnten – selbst wenn das Opfer das Lösegeld bezahlt hätte.
Die Forscher fanden außerdem keine Beweise, die die Behauptung des Angreifers bestätigen würden, gestohlene Daten seien vor der Zerstörung der Datenbanken an anderer Stelle gesichert worden.
Warum Verteidiger aufmerksam werden sollten
Obwohl der Angriff auf bereits bekannten Schwachstellen und nicht auf neuen Exploits beruhte, liegt seine Bedeutung den Forschern zufolge in der Automatisierung. Statt einen erfahrenen Ransomware-Betreiber zu erfordern, kombinierte ein KI-Agent erfolgreich Aufklärung, Diebstahl von Zugangsdaten, Rechteausweitung, laterale Bewegung, Persistenz und destruktive Aktionen in einem einzigen Ablauf.
Der Angriff verdeutlicht auch die Risiken, die entstehen, wenn internetfähige Systeme nicht gepatcht werden. Die anfängliche Kompromittierung stützte sich auf eine Langflow-Schwachstelle, für die bereits ein Fix verfügbar war, während spätere Phasen ältere Schwachstellen in Nacos und unzureichend abgesicherte Administratorzugänge ausnutzten.
JADEPUFFER deutet darauf hin, dass Ransomware schneller und leichter skalierbar werden könnte, sobald KI-Agenten ausgereifter sind. Statt neue Hacking-Techniken zu erfinden, könnten autonome Agenten bestehende Techniken einfach automatisieren und Angreifern so ermöglichen, mit weniger Fachkenntnissen mehr Kampagnen zu starten.
Für Unternehmen unterstreichen die Erkenntnisse die Bedeutung grundlegender Sicherheitsmaßnahmen wie der zeitnahen Installation von Patches, der Einschränkung der Internetzugänglichkeit, der Begrenzung administrativer Rechte, des Schutzes von Zugangsdaten und der Überwachung von Systemen auf ungewöhnliches Verhalten. Cybersicherheitsbehörden haben kürzlich gewarnt dass KI voraussichtlich sowohl offensive als auch defensive Cyberfähigkeiten beschleunigen wird, wodurch eine schnelle Erkennung und Reaktion immer wichtiger werden.
Sysdig bezeichnet JADEPUFFER zwar als die erste dokumentierte vollständig autonome Ransomware-Kampagne, doch seine Erkenntnisse beruhen auf einem einzigen beobachteten Vorfall. Ähnliche KI-gesteuerte Angriffe werden häufiger auftreten, während sich agentische Tools weiterentwickeln, wodurch seit Langem bestehende Sicherheitslücken zu einem noch attraktiveren Ziel werden.
Mehr lesen: Chinas Wettlauf um KI mit offenen Gewichtungen verändert auch die Cybersicherheit. Erfahren Sie, wie Z.ais GLM-5.2 die Grenzen KI-gestützter Sicherheitstools auslotet.