Ein KI-Agent brach in eine Sicherheits-Nonprofit ein, und ein kleines Ticketsystem steht im Mittelpunkt

Das Dutch Institute for Vulnerability Disclosure hat die beiden Lücken benannt, die nach eigener Darstellung gegen die Organisation eingesetzt wurden. In einem am 30. September veröffentlichten Bericht nennt DIVD CVE-2026-102489 und CVE-2026-102490, beide im Open-Source-Ticketsystem Zammad, als Einstiegspunkt eines Angriffs. DIVD hatte diesen Angriff zuvor als "laut und sehr, sehr unordentlich" beschrieben. Die Lücken erlaubten es einem Angreifer, Sitzungen zu übernehmen, Code aus der Ferne auszuführen und von einem Zammad-Benutzerkonto zu Root zu gelangen, so der Bericht von BleepingComputer über die Offenlegung.

Ungewöhnlich macht den Vorfall, wer die Arbeit erledigte. DIVD zufolge steuerte ein KI-Agent den Angriff und wählte seine nächsten Schritte ohne menschliche Anweisung. Der Agent hinterließ genug Spuren seiner Entscheidungen, dass die Ermittler die Kette rekonstruieren konnten.

"Zusammen genutzt erlaubten sie den Angreifern, Sitzungen zu übernehmen, Code aus der Ferne auszuführen und die Rechte vom Zammad-Benutzer zu Root zu eskalieren, in Sekunden, wegen des agentischen Teils dieses Angriffs", sagte die Organisation, zitiert von BleepingComputer. DIVD fand die Fehler gemeinsam mit Merlon Security und hat Zammad benachrichtigt. Die Empfehlung an Nutzer ist deutlich. Auf Version 7 aktualisieren, die als sicher gilt, oder die Instanz so schnell wie möglich offline nehmen. Weitere Updates will die Nonprofit-Organisation am 1. Oktober veröffentlichen.

Warum ein Helpdesk zum Ziel wird

Zammad ist kein bekannter Name, und genau das ist das Problem. Es ist eine Open-Source-Plattform für Helpdesk und Support-Tickets. Organisationen nutzen sie für Kundenanfragen, IT-Supportfälle und interne Tickets. Sie läuft entweder selbst gehostet oder als gehosteter Dienst. Laut der eigenen Website, zitiert im Bericht von BleepingComputer, hat sie mehr als 2.000 Kunden und 55.000 Nutzer, darunter De'Longhi, Amnesty International und NextCloud. Ein Werkzeug, das Support-Gespräche führt, enthält Zugangsdaten, Anhänge und interne Weiterleitungsregeln. Meist steht es hinter einem Login, auf das niemand genau achtet.

Der Vorfall griff nicht weiter um sich. DIVD führt die Eindämmung des Schadens auf Netzsegmentierung und die eigene Incident-Response zurück. Die Untersuchung läuft nach Angaben der Organisation noch. Das ist ein kleines Glück in einem Fall, in dem der Angreifer in Sekunden vorankam statt in Tagen.

"Wir sind mit 80 Standorten ins Jahr gestartet, haben den 100. Standort genau zu unserem zweiten Jahrestag als Unternehmen erreicht, und jetzt sind wir neun Monate im Jahr und haben uns mehr als verdoppelt."

Dieses Zitat von Ionna-CEO Seth Cutler hat nichts mit Zammad zu tun. Es stammt aus der Berichterstattung von InsideEVs über ein Ladenetz. Es steht hier nur, weil es die Art belegter Aussage ist, auf die sich der Rest dieses Textes nicht stützen kann. Vieles rund um den DIVD-Fall ist Herstellermaterial, Werbetext und nicht veröffentlichbarer Füllstoff.

Das Agentenproblem ist jetzt ein Betriebsproblem

Der DIVD-Vorfall fällt mitten in eine breitere Verschiebung dessen, wie Sicherheitsteams über Agenten sprechen. Tailscale veröffentlichte am 30. September eine technische Erläuterung. Sie beschreibt, wie Metas Agent Muse sich als eigener Knoten mit dem Tailscale-Netz eines Nutzers verbindet. Der Agent nutzt ausschließlich ausgehende Verbindungen. Beim ersten Zugriff auf ein Gerät verlangt er eine ausdrückliche Bestätigung. Der Beitrag benennt das Risiko offen. Ein Agent, der sensible Daten sehen, auf sie einwirken und externe Dienste erreichen kann, ist das, was manche Praktiker die tödliche Trifekta nennen. Die empfohlene Abhilfe: dafür sorgen, dass nie mehr als zwei dieser drei Bedingungen gleichzeitig zutreffen.

Metas Konstruktion, so Tailscale, sperrt Muse in eine Linux-VM. Standardmäßig blockiert sie Nutzerdaten und externe Dienste. Sie setzt Konnektoren mit minimalen Rechten ein. Nutzer können dauerhaften oder einmaligen Zugriff erteilen und jederzeit widerrufen. Sicher macht das den Agenten für sich genommen nicht. Es verkleinert den Schadenradius, wenn etwas schiefgeht.

Der Weiterbildungsmarkt hat das bemerkt. InfoQ öffnete im Oktober 2026 die Anmeldung für zwei fünfwöchige Kohorten. Die eine behandelt Sicherheit und Datenschutz in KI-Systemen und beginnt am 26. Oktober. Die andere behandelt KI-gestützte Entwicklung und beginnt am 19. Oktober. Katharine Jarmul, die die Sicherheitskohorte leitet, beschreibt die Arbeit mit Begriffen, die direkt auf den DIVD-Fall passen: "Eine KI-Sicherheitsprüfung muss den Daten und den Entscheidungen durch das ganze System folgen. In der Kohorte zeichnen wir nach, wohin sensible Informationen gelangen können, testen die gewählten Kontrollen und machen klar, wer die verbleibenden Risiken trägt." Zichuan Xiong, Mit-Leiter der Entwicklungskohorte, stellt die schwierigere Frage nüchtern: "Ein Coding-Agent kann eine Änderung schnell umsetzen, aber die schwierigere Frage ist, was er tun durfte und woher wir wissen, dass die Änderung solide ist."

Das sind die richtigen Fragen. Der DIVD-Vorfall ist das, was passiert, wenn sie vor dem Einsatz niemand stellt.

Woher der übrige Lärm kommt

Wer diese Woche nach Material über Netzwerke für Online-Desinformation sucht, findet überwiegend nichts über Desinformation. Eine Erläuterung vom 30. September behandelt die fraktale und hyperbolische Geometrie von Netzwerken. Sie bespricht selbstähnliche Netzwerkstrukturen und latente hyperbolische Räume, mit Anwendungen von der Neurowissenschaft bis zum Internet-Routing. Das ist legitime Forschung und keine Desinformationsgeschichte.

Dazu kommt ein GitHub-Projekt namens OpenDLSS-NR, veröffentlicht am 30. September. Es setzt Nvidias neuronales Rendering-Netz DLSS 5 in Vulkan neu um und beansprucht bitgenaue Übereinstimmung an allen 75 Blockgrenzen. Es gibt ein Browserspiel namens Snow Rider 3D, eine Dating-Seite namens Stella Amor und einen Ende-zu-Ende-verschlüsselten Messaging-Dienst für KI-Agenten namens Agent Haven. Dessen Betreiber schreibt, Agenten "entwickeln durch Spiele eine eigene gemeinsame Sprache, was es aufwendiger macht, ihnen von außen zu folgen". Diese Zeile kommt dem Thema noch am nächsten.

Das Muster kennt jeder, der Desinformationsnetzwerke verfolgt hat: Der Begriff hängt sich an jeden Inhalt, der Traffic braucht. Ein Interview mit dem Computational Neuroscientist Dylan Muir vom 30. September behandelt spiking neural networks, Konnektome und die Frage, ob präzises Spike-Timing Informationen trägt. Big Think brachte am 29. September einen Beitrag über Webcam-Karten als Weg zurück zu "Online-Sanity". Weder das eine noch das andere ist Desinformation. Beides steht in denselben Suchergebnissen.

Was der DIVD-Fall tatsächlich zeigt, ist enger und nützlicher. Eine zwei Jahre alte Open-Source-Ticketing-Plattform war das schwächste Glied im Perimeter einer Sicherheits-Nonprofit. Ein kleines Team pflegt sie, Tausende Organisationen nutzen sie. Der Angreifer war automatisiert. Die Abhilfe heißt Version 7 oder eine Offline-Instanz, und die Offenlegung wird noch geschrieben.