KI-Agent dringt über zwei Zammad-Zero-Days in die niederländische Sicherheitsorganisation DIVD ein

Das Dutch Institute for Vulnerability Disclosure ist eine gemeinnützige Organisation, in der Freiwillige Sicherheitsforschung betreiben. Am 30. September meldete sie, ein KI-Agent sei über zwei bis dahin unbekannte Schwachstellen in Zammad in ihr Netzwerk eingedrungen, der Open-Source-Plattform für Helpdesk und Tickets. Laut BleepingComputer laufen die Lücken unter den Kennungen CVE-2026-102489 und CVE-2026-102490. Zusammen ermöglichten sie Session-Hijacking, die Ausführung von Code aus der Ferne und den Aufstieg zu Root-Rechten. Nach Angaben von DIVD dauerte der Angriff Sekunden. Der Agent handelte ohne menschliche Steuerung.

Nicht die Geschwindigkeit ist der wichtigste Punkt, sondern die Spur, die der Agent hinterließ. DIVD konnte den Vorfall rekonstruieren, weil der Agent seine eigenen Entscheidungen ausführlich protokolliert hatte. Damit lag den Ermittlern praktisch ein vollständiges Protokoll vor. "Zusammen genutzt erlaubten sie den Angreifern, Sessions zu übernehmen, Code aus der Ferne auszuführen und die Rechte vom Zammad-Benutzer bis zu Root zu steigern, und das in Sekunden, wegen des agentischen Teils dieses Angriffs", erklärte DIVD. Dass der Agent nicht weiter vordrang, führt die Organisation auf die Netzsegmentierung zurück. Die Untersuchung läuft nach ihren Angaben weiter.

Warum das in den Bereich Desinformation gehört

Desinformationsforschung und die Reaktion auf Sicherheitsvorfälle laufen zunehmend auf derselben Infrastruktur. Die Mailinglisten, Ticket-Warteschlangen, gemeinsam genutzten Laufwerke und Chat-Brücken, über die Forscher sich abstimmen, sind genau die Systeme, die ein autonomer Agent zuerst prüft. BleepingComputer zufolge wirbt Zammad selbst mit über 2.000 Kunden und 55.000 Nutzern, darunter De'Longhi, Amnesty International und NextCloud. Eine einzige nicht gepatchte Instanz ist deshalb kein reines IT-Problem. Sie kann für jeden zum Sprungbrett werden, der Arbeitsmaterial von Organisationen lesen, verändern oder weitergeben will, die Desinformationskampagnen dokumentieren.

DIVD empfiehlt eine klare Lösung: auf Version 7 aktualisieren, die die Organisation als sicher einstuft, oder die Instanz so schnell wie möglich vom Netz nehmen. Die Schwachstellen fand sie nach eigenen Angaben gemeinsam mit Merlon Security. Sie informiert weitere Betreiber offener Instanzen. Für den 1. Oktober stellte sie weitere Angaben in Aussicht.

Der Vorfall reiht sich in eine Serie von Sicherheitspannen im KI-Tempo ein, auf die sich Sicherheitsteams erst langsam einstellen. In derselben Woche öffnete InfoQ die Anmeldung für zwei fünfwöchige Online-Kurse: AI Security & Privacy Engineering ab dem 26. Oktober und AI-Assisted Engineering ab dem 19. Oktober. Beide kreisen um das Problem, dass ein Agent ein System schneller verändern kann, als ein Prüfprozess hinterherkommt. Katharine Jarmul, die den Sicherheitskurs leitet, brachte das Problem in der Ankündigung von InfoQ auf den Punkt: "Eine KI-Sicherheitsprüfung muss den Daten und den Entscheidungen im gesamten System folgen." Zichuan Xiong von Thoughtworks, Mitveranstalter des Engineering-Kurses, formulierte die praktische Seite derselben Frage: "Ein Coding-Agent kann eine Änderung schnell umsetzen, aber die schwierigere Frage ist, was er tun durfte und woran wir erkennen, dass die Änderung solide ist."

Agenten bekommen eigene Netze

Die Werkzeuge für Agenten reifen derweil schneller als die Regeln, die sie einhegen. Am 30. September veröffentlichte Tailscale eine technische Anleitung, wie Metas neuer persönlicher Agent Muse als eigener Knoten einem privaten Tailnet eines Nutzers beitritt. Der Agent listet den Status anderer Rechner auf und kann eine Tailscale-SSH-Sitzung moderieren. Metas Design sieht eine Linux-VM vor, die standardmäßig von Nutzerdaten und externen Diensten getrennt ist, dazu Konnektoren für Kalender, Kontakte, Smart-Home-Geräte, Gmail, Outlook und Spotify. Tailscale benennt das naheliegende Risiko: Ein Agent, der selbst gehostete Dienste sieht und SSH in einem Tailnet nutzen kann, ist etwas ganz anderes als ein Chatbot.

An anderer Stelle veröffentlichte ein unabhängiger Entwickler am 30. September OpenDLSS-NR. Das Projekt setzt Nvidias neuronales Rendering-Netz DLSS 5 in Vulkan neu um und ist laut Autor bitgenau zum Original. Ein zweiter Port für WebGPU führt dieselben Gewichte in einem Browser ohne Tensor-Kerne aus. Es ist ein Rendering-Projekt, kein Sicherheitsprojekt. Es zeigt aber denselben Trend: Komplexe proprietäre Pipelines werden offen und schnell von kleinen Teams nachgebaut.

Vor diesem Hintergrund wirkt das ältere Material aus der Wochenauswahl wie eine Erinnerung daran, wie lange das Desinformationsproblem schon läuft. Die Kolumne von Big Think vom 29. September über die Rückkehr der Webcam-Karten ist eine kleine Fallstudie dazu, wie alltägliche offene Daten zur Überwachungsinfrastruktur werden. Eine Dating-Seite namens Stella Amor, am 29. September gestartet, wirbt mit Filtern für Finanzen, Glauben und Vorlieben. Persönliche Daten sind der Rohstoff sowohl für gezielte Werbung als auch für Social Engineering. Und ein am 30. September veröffentlichtes Interview aus der Computational Neuroscience über spiking neural networks erinnert daran, dass die zugrunde liegenden Modelle immer besser werden, egal was jemand mit ihnen anstellt.

Der gemeinsame Nenner ist nicht, dass eines dieser Beispiele ein Desinformationsnetzwerk wäre. Es ist die Koordinationsebene, die Ticketsysteme, die Tailnets, die Agenten-Frameworks, an der sich Desinformationskampagnen und Sicherheitsvorfälle heute überschneiden. DIVD hat das auf die harte Art erfahren. Die Logs liegen vor.