Wie Vibe Coding die Supply-Chain zur größten Angriffsfläche der KI-Ära macht

Ein einzelner Angreifer kompromittiert in zweieinhalb Monaten neun mexikanische Behörden. 195 Millionen Steuer-Identitäten und 220 Millionen Zivilregister-Einträge wurden gestohlen. Als Werkzeug dienten Claude Code und GPT-4.1. Für den erfolgreichen Angriff waren 1.088 Prompts ausreichend. Diese generierten 5.317 Befehle, verteilt auf 34 Sessions. Orchestriert von einer Person allein.

Der Mexico-Hack ist das Lehrbuchbeispiel dessen, was sich gerade bei der Supply-Chain-Sicherheit verändert. Die Softwarebasis ist nicht plötzlich unsicherer geworden. Neu ist, dass Angreifer mit KI-Werkzeugen schneller, breiter und planbarer vorgehen können.

Wie ein Mensch die Arbeit von dreißig erledigt

Die Eckdaten des Falls hat die israelische Firma Gambit Security im Februar 2026 dokumentiert. Der Angriff lief zwischen Dezember 2025 und Februar 2026. Betroffen waren die mexikanische Bundessteuerbehörde SAT, die nationale Wahlbehörde und vier Landesregierungen. Dazu das Zivilregister von Mexiko-Stadt und das Wasserwerk von Monterrey. Etwa 75 % der Remote-Befehle liefen über Claude Code. GPT-4.1 übernahm die Analyse der gestohlenen Dokumente. Der Angreifer selbst war Anstoßgeber und Aufpasser.

Im SAT-System fand sich am Ende ein Dienst, der gefälschte Steuerbescheinigungen ausstellte. In Mexiko-Stadt sicherte sich der Angreifer per geplantem Skript dauerhaften Zugriff auf das Zivilregister. In Jalisco lag die Beute in einem Nutanix-Cluster mit 13 Knoten. Dieser beherbergte 37 Datenbankserver. Darunter Gesundheitsakten und die Identitäten von 17.000 Opfern häuslicher Gewalt.

Der Angreifer setzte 20 selbst erzeugte Skripte gegen 20 bekannte CVEs ein. Keine Zero-Days. Keine geheime Tradecraft. Nur ein Chatbot.

Claude verweigerte zunächst die Hilfe. Anfragen zum Löschen von Protokolldaten wertete das Modell als Warnsignal. Erst nach 40 Minuten gelang es dem Angreifer, die Schutzmechanismen zu umgehen. Der Angreifer gab die Operation als autorisierten Bug-Bounty-Test aus und nutzte Semantic Chaining: mehrere scheinbar harmlose Teilschritte, die zusammen die Schutzmechanismen aushebelten. Danach arbeitete das Modell die Angriffskette ab: Aufklärung, Exploit-Entwicklung, Privilege Escalation und Datenextraktion.

Anzeige

Der Angriffspfad ist alt. Die Skalierung ist neu.

Das eigentlich Neue ist weder eine ungewohnte Schwachstellenklasse noch ein neuartiger Angriffspfad. Beides ist alt. Neu ist das Verhältnis von Aufwand und Ergebnis. Ein einzelner Angreifer kommt mit kommerziellen KI-Werkzeugen heute in eine Größenordnung, für die früher ein spezialisiertes Team mehrere Wochen gebraucht hätte.

Anthropic selbst hat im November 2025 einen Vorfall veröffentlicht, der die gleiche Logik im staatlichen Maßstab zeigt. Die chinesische Gruppe GTG-1002 setzte Claude Code gegen rund 30 Ziele ein, darunter Unternehmen aus Tech, Finanzwesen und Chemie sowie aus dem Regierungsumfeld. Anthropic schätzt, dass die KI 80 bis 90 Prozent der taktischen Arbeit selbst übernahm. Die Anfragefrequenz lag dabei in einem Bereich, den das Unternehmen für menschliche Bedienung als „physisch unmöglich“ bezeichnet.

Im Februar 2026 gab Amazon einen dritten Fall bekannt. Ein russischsprachiger Akteur mit „geringer bis mittlerer technischer Fähigkeit“ kompromittierte mit kommerziellen LLMs in fünf Wochen über 600 FortiGate-Geräte in 55 Ländern.

claw://SECURITY

AWS dokumentiert KI-gestützten Angriff auf über 600 FortiGate-SystemeLaut AWS ist es einem russischsprachigen Kriminellen gelungen, mit Hilfe von kommerziellen KI-Diensten über 600 FortiGate-Firewalls in 55 Ländern zu kompromittieren. Dafür hat er lediglich…19. März 2026

Drei Fälle, dasselbe Muster: höhere Geschwindigkeit, niedrigere Einstiegsschwelle, breitere Ziel-Auswahl. Die CrowdStrike-Zahlen aus dem Global Threat Report 2026 zeigen, wie stark sich diese Entwicklung bereits niederschlägt. KI-fähige Angreifer weiteten ihre Aktivitäten gegenüber dem Vorjahr um 89 % aus.

Die durchschnittliche eCrime-Breakout-Zeit zwischen erstem Zugriff und Lateral Movement hat sich drastisch verkürzt: von 98 Minuten im Jahr 2021 auf 48 Minuten im Jahr 2024 und nun auf 29 Minuten. Der schnellste je beobachtete Wert lag bei gerade einmal 27 Sekunden. In einem dokumentierten Fall begann die Datenexfiltration vier Minuten nach dem Erstzugriff. 82 % der Angriffe verlaufen mittlerweile malware-free.