DIVD verbindet eigenen Angriff mit zwei Zammad-Zero-Days und einem KI-Agenten

BleepingComputer berichtete am 30. September, die beiden Lücken liefen unter CVE-2026-102489 und CVE-2026-102490. Nach Angaben von DIVD erlaubten sie Sitzungsübernahme, Codeausführung aus der Ferne und die Eskalation von einem Zammad-Benutzer zu Root. Der agentische Teil des Angriffs ließ das Ganze in Sekunden ablaufen.

Die Organisation hatte den Einbruch bereits als "laut und sehr, sehr chaotisch" beschrieben. Sie machte einen KI-Agenten dafür verantwortlich, der seine nächsten Schritte ohne äußere Steuerung selbst wählte. DIVD konnte den Vorfall nach eigenen Angaben rekonstruieren, weil der Agent Erklärungen seiner Entscheidungen hinterließ. Die Überlegungen des Angreifers wurden zum Audit-Log.

Zammad ist eine Open-Source-Helpdesk- und Ticketing-Plattform mit KI-Unterstützung. Sie bearbeitet Kundenanfragen, IT-Support-Tickets und interne Vorgänge. Auf der eigenen Website nennt sie mehr als 2.000 Kunden und 55.000 Nutzer, darunter De'Longhi, Amnesty International und NextCloud, wie BleepingComputer schreibt. DIVD fand die Schwachstellen zusammen mit Merlon Security, informierte Zammad und warnt Betreiber gefährdeter Instanzen. Der Rat ist deutlich: auf Version 7 aktualisieren oder die Instanz so schnell wie möglich offline nehmen. Weitere Updates zum Vorfall hat DIVD zugesagt.

Raus aus der Sandbox, hinein ins Netz

Der Fall Zammad fällt in dieselbe Woche wie eine ganze Reihe von Sicherheitsmaterialien zu Agenten. Meta hatte seinen persönlichen KI-Agenten Muse bereits im September angekündigt. Beworben wurde Muse als etwas, das "die Arbeit tatsächlich erledigt", statt Fragen zu beantworten. Ein großer Teil der Ankündigung und ein zugehöriger Architekturbeitrag befassten sich mit Prompt Injection und Datenabfluss. Tailscale beschrieb am 30. September, wie Muse als eigener Knoten einem Tailnet eines Nutzers beitritt. Dort kann er andere Maschinen prüfen, sich mit selbst gehosteten Diensten wie Immich verbinden und eine Tailscale-SSH-Sitzung vermitteln. Tailscale weist darauf hin, dass Muse beim ersten Verbindungsaufbau zu einem Gerät im Tailnet eine ausdrückliche Bestätigung verlangt. Es baut nur ausgehende Verbindungen auf, und der Zugriff lässt sich jederzeit widerrufen.

"Ein Coding-Agent kann schnell eine Änderung vornehmen, aber die schwierigere Frage ist, was er tun durfte und woher wir wissen, dass die Änderung solide ist."

Das Zitat stammt von Zichuan Xiong, Leiter AIOps bei Thoughtworks. Es erschien in einem InfoQ-Beitrag vom 30. September über zwei fünfwöchige Online-Kohorten im Oktober 2026. Die Kohorte AI Security and Privacy Engineering beginnt am 26. Oktober und wird von Katharine Jarmul geleitet, der Autorin von Practical Data Privacy. Die Kohorte AI-Assisted Engineering startet am 19. Oktober und arbeitet an einem gemeinsam genutzten Brownfield-Repository. Sie begrenzt Agentenrechte und trennt Generierung von Prüfung, bevor die Kontrollen in die CI wandern. Verifikation wird als Disziplin gelehrt, nicht als Produktfunktion.

Dieselbe Spannung zeigt sich im Werkzeugbau. Ein GitHub-Projekt namens OpenDLSS-NR, aktualisiert am 30. September, implementiert Nvidias neuronales Rendering-Netz DLSS 5 in Vulkan neu. Es behauptet, seine Zwischenergebnisse stimmten an allen 75 Blockgrenzen byteweise mit dem Original überein. Ein zweiter, unabhängiger WebGPU-Port führt dieselben Bytes im Browser aus. Was man von den Benchmark-Angaben auch hält: Der Verkaufsvorteil des Projekts ist überprüfbare Gleichheit statt Vertrauen.

Agent Haven, ein Ende-zu-Ende-verschlüsseltes Messaging-Netz für KI-Agenten, veröffentlichte am 30. September eine eigene Beschreibung. Sein Client verschlüsselt jede Direktnachricht und jede Notiz, bevor sie den Rechner verlässt, und hält die einzigen Schlüssel. Der Server leitet Chiffretext weiter und sieht Konten, Zeiten und aufgefüllte Größen, aber keine Inhalte. Dieselbe Seite räumt die Grenze ein: Läuft ein Agent auf einem gehosteten Modell, sieht der Anbieter dieses Modells seinen Kontext. Daran ändert keine Verschlüsselung auf der Messaging-Seite etwas.

Nichts davon beantwortet die Frage, ob autonome Agenten Netze unsicherer machen. Der Vorfall bei DIVD legt nahe, dass die Antwort weniger vom Agenten abhängt als davon, was er erreichen darf. Netzsegmentierung und Incident Response hielten den Angreifer davon ab, tiefer vorzudringen. Die Untersuchung läuft noch.