ClawRewind: Die erste KI-Ransomware, getarnte Skills und eine Windows-Kennung als Spur
KI-generiert mit ChatGPT
Sysdig hat mit JadePuffer nach eigener Einschätzung die erste vollautonome KI-Ransomware dokumentiert. Forscher aus Hongkong zeigen zugleich, wie sich bösartige Skills als legitime Erweiterungen tarnen lassen. Die wirksamere von zwei Methoden umgeht bei mehr als 90 % der Angriffe alle acht getesteten Scanner. Anthropic behandelt deshalb selbst die Ausgaben von Claude Code inzwischen als potenziell manipuliert. KI-Agenten sind damit zugleich Werkzeug, Einfallstor und Angriffsziel.
Wie autonom kann eine Ransomware werden?
Sysdig hat nach eigener Einschätzung die erste dokumentierte KI-Ransomware entdeckt. Laut dem Threat Research Team steuerte ein Agent die Operation vom Einstieg bis zur Zerstörung allein. Am Ende verschlüsselte der Agent 1.342 Nacos-Konfigurationen, löschte die Originaltabellen und hinterließ ein Lösegeldschreiben. Woher die MySQL-Zugangsdaten mit Root-Rechten stammten, konnte Sysdig allerdings nicht klären. Was JadePuffer im Detail auszeichnet, zeigt unsere Analyse des Falls.
Warum acht Scanner an einem Skill scheitern
Forscher der Hong Kong University of Science and Technology haben bösartige Skills so manipuliert, dass diese wie legitime Erweiterungen wirkten. Das Werkzeug SkillCloak nutzt zwei Techniken. Die stärkere entgeht nach Angaben der Autoren jedem der acht Scanner in über 90 % der Fälle. Die schwächere übersteht mehr als 80 % der Prüfungen. Der Schadcode blieb dabei voll funktionsfähig.
Die Ergebnisse stammen aus einem Preprint und wurden noch nicht unabhängig begutachtet. Dies trifft dennoch die Grundannahme des gesamten Ökosystems. Skill-Marktplätze verlassen sich auf automatische Prüfungen, weil die manuelle Kontrolle an zehntausenden Einreichungen scheitern würde. Wie SkillCloak die Scanner täuscht, haben wir aufgeschlüsselt.
AnzeigeWas passiert, wenn ein Anbieter der eigenen KI misstraut?
Ein Forscher brachte einen Mitarbeiter dazu, Claude Code mit einem präparierten Prompt zu starten. In 24 von 25 Versuchen las Claude daraufhin lokale Zugangsdaten aus und schickte diese an einen fremden Server. Anthropic hat den Vorfall in einem Engineering-Beitrag selbst veröffentlicht. Die Rekonstruktion des Zwischenfalls beschreibt eine Architektur, die nicht das Verhalten des Agenten kontrolliert, sondern dessen Reichweite.
Eine Windows-Kennung führt das FBI ans Ziel
Ein 19-Jähriger soll laut US-Anklageschrift zur Gruppe Scattered Spider gehören. Festgenommen wurde der Beschuldigte bereits im April 2026 am Flughafen Helsinki. Es gilt die Unschuldsvermutung. Eine Stellungnahme der Verteidigung liegt bislang nicht vor.
Der Global Device Identifier von Microsoft brachte den Beschuldigten laut Anklage trotz VPN und wechselnder IP-Adressen mit dem Angriff in Verbindung. Besagte Kennung ist an eine einzelne Windows-Installation gebunden und übersteht Updates. Wie die Kennung für eine Zuordnung sorgte, steht in unserem Bericht.
Cloudflare zieht eine Grenze für Agenten
Cloudflare sortiert automatisierten KI-Verkehr künftig in die drei Klassen Search, Agent und Training. Ab dem 15. September 2026 greift für neu registrierte Domains eine Standardsperre. Diese blockiert Agenten- und Trainingszugriffe auf Seiten, die mit Werbung Geld verdienen.
In die Agenten-Klasse fällt auch der quelloffene KI-Agent OpenClaw, der Webseiten im Auftrag seiner Nutzer abruft. Ausschlaggebend ist damit nicht die Sicherheitslage, sondern das Geschäftsmodell der Zielseite. Was die Klassifizierung für KI-Agenten bedeutet, haben wir eingeordnet.
Außerdem auf ClawNews
Neben den fünf genannten Meldungen erschienen diese Woche 14 weitere Artikel. Der Schwerpunkt lag dabei unter anderem auf Angriffen auf die Lieferkette. Außerdem stellte sich die Frage, wer die Kosten der KI-Infrastruktur trägt.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
