AgentZero: Sysdig dokumentiert ersten autonomen KI-Agenten-Angriff
KI-generiert mit ChatGPT
Das Sysdig Threat Research Team (TRT) hat einen Angriff dokumentiert, bei dem ein autonomer KI-Agent die eigentliche Arbeit übernommen hat. Der Vorfall ereignete sich am 10. Mai 2026. Ein KI-Agent ist ein Programm, das auf Basis eines Sprachmodells eigenständig Entscheidungen trifft und Befehle ausführt. Sysdig spricht vom ersten beobachteten Angriff dieser Art in freier Wildbahn.
Der Einstieg gelang über eine bekannte Sicherheitslücke. Betroffen war ein über das Internet erreichbares Marimo-Notebook, eine quelloffene Arbeitsumgebung für Python. Die Schwachstelle wurde unter der Kennung CVE-2026-39987 dokumentiert. Angreifer konnten ohne Anmeldung vollständigen Systemzugriff erlangen.
Sobald der Zugriff erfolgte, übernahm ein KI-Agent. Besagter Agent konnte zwei Cloud-Zugangsdaten auf dem kompromittierten System finden. Mit diesen Daten erbeutete der KI-Agent einen privaten SSH-Schlüssel aus dem AWS Secrets Manager. Über acht kurze SSH-Sitzungen erreichte er einen weiteren Server und exfiltrierte eine komplette PostgreSQL-Datenbank. Diese letzte Phase dauerte laut Sysdig unter zwei Minuten. Die komplette Angriffskette spielte sich innerhalb von weniger als einer Stunde ab.
AnzeigeKein starres Skript, sondern flexible Angriffslogik
Vier Indizien deuten auf einen KI-Agenten hin. Der Angreifer erstellte einen Datenbank-Auszug, ohne die Struktur vorher zu kennen. Er hinterließ einen Planungskommentar auf Chinesisch und verschleierte seine Herkunft über Cloudflare-Dienste. Vor allem aber reagierte der Angriff flexibel auf unerwartete Situationen, statt einem festen Skript zu folgen. Genau darin sieht Sysdig den entscheidenden Unterschied zu klassischen Angriffen.
Für die Verteidigung ändert sich damit die Ausgangslage. Signaturbasierte Erkennung versagt, weil ein Agent keine festen Muster wiederholt. Zudem gibt es keine gleichbleibenden Befehlsabläufe sowie keine identische Abfolge. Wer Marimo mit einer Version vor 0.23.0 betreibt, sollte umgehend aktualisieren und alle erreichbaren Zugangsdaten rotieren. Warum KI-Agenten ein grundlegend anderes Sicherheitsmodell erfordern, haben wir in unserer Analyse zur Sicherheitsfrage bei OpenClaw erklärt. Sysdig hatte bereits zuvor eine in 36 Stunden ausgenutzte LiteLLM-Lücke analysiert. Einen früheren Fall eines KI-gestützten Angriffs auf Firewall-Systeme dokumentiert der Artikel AWS, bei dem über 600 FortiGate-Systeme kompromittiert wurden.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
