KI-Agenten schreiben die Regeln von Netzwerkangriffen neu, und die Verteidiger wissen es

BleepingComputer berichtete am 30. September, das Dutch Institute for Vulnerability Disclosure (DIVD) führe den eigenen Sicherheitsvorfall auf CVE-2026-102489 und CVE-2026-102490 zurück, zwei Zero-Day-Lücken in Zammad, der Open-Source-Ticketing-Plattform. Zusammen genutzt ermöglichten die Schwachstellen Sitzungsübernahme, Remote-Code-Ausführung und die Eskalation von einem Zammad-Nutzer zu Root. Der Agent bewegte sich in Sekunden. Er hinterließ genügend Entscheidungsprotokolle, damit DIVD den Vorfall rekonstruieren konnte.

Die Organisation hatte den Angriff bereits als "laut und sehr, sehr chaotisch" bezeichnet. Entscheidend ist hier nicht das Chaos, sondern die Geschwindigkeit. Ein menschlicher Angreifer, der dieselben zwei Lücken ausnutzt, bräuchte Aufklärung, den Umgang mit Zugangsdaten und laterale Bewegung. Der Agent erledigte all das ohne externe Steuerung.

KI-Geschwindigkeit trifft auf altmodischen Patch-Verzug

Zammad ist kein Nischenprodukt. Die eigene Website nennt mehr als 2.000 Kunden und 55.000 Nutzer, darunter De'Longhi, Amnesty International und NextCloud, so BleepingComputer. DIVD fand die Schwachstellen gemeinsam mit Merlon Security, informierte den Hersteller und rät Nutzern jetzt, auf Version 7 zu aktualisieren oder Instanzen sofort offline zu nehmen. Die gemeinnützige Organisation kündigte an, am folgenden Tag weitere Updates zum Vorfall zu veröffentlichen. Die Untersuchung läuft noch. Die Unterlagen sagen nicht, wie viele Instanzen betroffen waren oder ob Daten wiederhergestellt wurden.

Die Netzwerksegmentierung begrenzte den Schaden. DIVD zufolge drang der Angreifer nach der ersten Kompromittierung nicht tiefer in die Systeme ein. Das ist ein schwacher Trost. Die organisatorische Lehre ist größer: Ein KI-Agent, der eine Ticket-Warteschlange lesen, zwei Fehler verketten und in Sekunden Rechte eskalieren kann, lässt das Reaktionsfenster zusammenbrechen, das die meisten Sicherheitsteams noch immer für selbstverständlich halten. Wer heute den Patch-Zyklus kontrolliert, kontrolliert den Zeitplan.

Diese Sichtweise taucht auch in Schulungen auf. InfoQ kündigte zwei fünfwöchige Online-Zertifizierungskurse für Oktober 2026 an. Der eine zu KI-Sicherheit und Datenschutztechnik beginnt am 26. Oktober, der andere zu KI-gestützter Entwicklung am 19. Oktober und dreht sich um Coding-Agenten, die in einer bestehenden Codebasis arbeiten. Katharine Jarmul leitet den Sicherheitskurs. Sie sagte, eine KI-Sicherheitsüberprüfung müsse den Daten und Entscheidungen im gesamten System folgen, abbilden, wohin sensible Informationen gelangen, die gewählten Kontrollen testen und klarmachen, wer das verbleibende Risiko trägt. Zichuan Xiong von Thoughtworks, Mitveranstalter des Entwicklungskurses, brachte die operative Frage auf den Punkt: Ein Coding-Agent kann eine Änderung schnell vornehmen. Die schwierigere Frage ist, was er tun durfte und woher wir wissen, dass die Änderung solide ist.

Agenten verbreiten sich schneller als die Kontrollen um sie herum

Gleichzeitig wächst die Angriffsfläche. Meta kündigte im September seinen persönlichen KI-Agenten Muse an. Tailscale veröffentlichte am 30. September eine technische Erklärung dazu, wie Muse als eigener Knoten einem Tailnet eines Nutzers beitritt, andere Maschinen einsehen, sich mit selbst gehosteten Diensten verbinden und Tailscale-SSH-Sitzungen vermitteln kann. Tailscale weist darauf hin, dass die Umsetzung von Muse nur ausgehende Verbindungen aufbaut und beim ersten Verbinden mit einem Tailnet-Gerät eine ausdrückliche Bestätigung verlangt, wobei der Zugriff widerrufen werden kann. Das Unternehmen benennt auch das offensichtliche Risiko: Ein Agent, der selbst gehostete Dienste sehen und SSH nutzen kann, ist genau die Kombination, die Sicherheitsteams beunruhigt.

Dieselbe Spannung zieht sich durch unabhängige Projekte. Agent Haven, ein Ende-zu-Ende-verschlüsselter Messaging-Dienst für KI-Agenten, erklärt auf seiner Website, dass nur der Client die Schlüssel hält und der Server Chiffretext weiterleitet, ohne einen Master-Schlüssel auf seiner Seite. Das Projekt räumt allerdings ein, dass der Modellanbieter den Kontext eines Agenten sieht, wenn dieser auf einem gehosteten Modell läuft, unabhängig von der Verschlüsselung. Verschlüsselung schützt die Leitung, nicht das Modell.

Es gibt eine Gegenströmung, die erwähnenswert ist. OpenDLSS-NR, eine Vulkan-Neuimplementierung von Nvidias neuronalem Rendering-Netzwerk DLSS 5, am 30. September auf GitHub veröffentlicht, erinnert daran, dass dieselben agentischen Techniken auch auf Grafik und Rendering angewendet werden, nicht nur auf Eindringen und Verteidigung. Die Werkzeuge sind universell einsetzbar. Die Risiken sind es auch.

Der Fall DIVD ist das deutlichste Signal dafür, dass das Playbook aus der Desinformations-Ära, in dem ein Netzwerk eine Menge von Konten und Seiten ist, von etwas Schnellerem und schwerer Zuzuordnendem überholt wird. Die Organisation hat mehr Details versprochen. Bis dahin gilt für jeden, der Zammad betreibt, die praktische Empfehlung, die DIVD bereits gegeben hat: auf Version 7 aktualisieren oder offline gehen.