KI-Agenten schreiben die Regeln von Netzwerkangriffen neu, und die Verteidiger wissen es

BleepingComputer berichtete am 30. September, das Dutch Institute for Vulnerability Disclosure (DIVD) habe seinen eigenen Vorfall auf CVE-2026-102489 und CVE-2026-102490 zurückgeführt, zwei Zero-Days in Zammad, der Open-Source-Ticketing-Plattform. Zusammen genutzt ermöglichten die Lücken Sitzungsübernahme, Remote-Code-Ausführung und die Eskalation vom Zammad-Benutzer zu Root. Der Agent war in Sekunden durch. Er hinterließ genug Entscheidungsprotokolle, damit DIVD den Vorfall rekonstruieren konnte.

Die Organisation hatte den Angriff bereits als "laut und sehr, sehr unordentlich" bezeichnet. Die Unordnung ist nicht der Punkt. Die Geschwindigkeit ist es. Ein menschlicher Angreifer, der dieselben zwei Lücken nutzt, bräuchte Aufklärung, den Umgang mit Zugangsdaten und laterale Bewegung. Der Agent erledigte all das ohne externe Steuerung.

KI-Tempo trifft auf altmodischen Patch-Rückstand

Zammad ist kein Nischenprodukt. Die eigene Website nennt mehr als 2.000 Kunden und 55.000 Nutzer, darunter De'Longhi, Amnesty International und NextCloud, so BleepingComputer. DIVD fand die Schwachstellen zusammen mit Merlon Security und informierte den Hersteller. Nutzer sollen jetzt auf Version 7 aktualisieren oder Instanzen sofort offline nehmen. Die gemeinnützige Organisation kündigte weitere Updates zum Vorfall für den folgenden Tag an. Die Untersuchung läuft noch. Keiner der Berichte sagt, wie viele Instanzen betroffen waren oder ob Daten wiederhergestellt wurden.

Die Netzsegmentierung begrenzte den Schaden. DIVD zufolge drang der Angreifer nach der ersten Kompromittierung nicht tiefer in die Systeme ein. Das ist ein schwacher Trost. Die organisatorische Lehre ist größer. Ein KI-Agent kann eine Ticket-Warteschlange lesen, zwei Fehler verketten und in Sekunden Rechte ausweiten. Damit schrumpft das Reaktionsfenster, das die meisten Sicherheitsteams noch immer für selbstverständlich halten. Wer den Patch-Zyklus kontrolliert, kontrolliert jetzt den Zeitplan.

Diese Sichtweise taucht auch in der Weiterbildung auf. InfoQ kündigte zwei fünfwöchige Online-Zertifizierungskurse für Oktober 2026 an. Einer behandelt KI-Sicherheit und Privacy-Engineering und beginnt am 26. Oktober. Der andere behandelt KI-gestütztes Engineering und beginnt am 19. Oktober, mit Fokus auf Coding-Agenten, die in einer bestehenden Codebasis arbeiten. Katharine Jarmul, die den Sicherheitskurs leitet, sagte, eine KI-Sicherheitsprüfung müsse den Daten und Entscheidungen im gesamten System folgen. Sie müsse abbilden, wohin sensible Informationen gehen, die gewählten Kontrollen testen und klären, wer das verbleibende Risiko trägt. Zichuan Xiong von Thoughtworks, Mit-Leiter des Engineering-Kurses, brachte die operative Frage auf den Punkt. Ein Coding-Agent könne eine Änderung schnell umsetzen, doch die schwierigere Frage sei, was er tun durfte und woran wir erkennen, dass die Änderung solide ist.

Agenten verbreiten sich schneller als die Kontrollen um sie herum

Gleichzeitig wächst die Angriffsfläche. Meta stellte seinen persönlichen KI-Agenten Muse bereits im September vor. Tailscale veröffentlichte am 30. September eine technische Erklärung, wie Muse als eigener Knoten einem Tailnet eines Nutzers beitritt. Dort kann er andere Rechner inspizieren, sich in selbst gehostete Dienste einbinden und Tailscale-SSH-Sitzungen vermitteln. Tailscale merkt an, dass die Implementierung von Muse nur ausgehende Verbindungen aufbaut. Außerdem verlangt sie beim ersten Verbindungsaufbau zu einem Tailnet-Gerät eine ausdrückliche Bestätigung, und der Zugriff lässt sich widerrufen. Tailscale benennt auch das offensichtliche Risiko: Ein Agent, der selbst gehostete Dienste sehen und SSH nutzen kann, ist genau die Kombination, die Sicherheitsteams beunruhigt.

Dieselbe Spannung zieht sich durch unabhängige Projekte. Agent Haven, ein Ende-zu-Ende-verschlüsselter Messaging-Dienst für KI-Agenten, erklärt auf seiner Website, der Client halte die einzigen Schlüssel. Der Server leite Chiffretext weiter, ohne einen Hauptschlüssel auf seiner Seite. Der Dienst räumt zugleich ein, dass der Modellanbieter den Kontext eines Agenten sieht, wenn dieser auf einem gehosteten Modell läuft, unabhängig von der Verschlüsselung. Verschlüsselung schützt die Leitung, nicht das Modell.

Eine Gegenströmung lohnt einen Blick. OpenDLSS-NR, eine Vulkan-Neuimplementierung von Nvidias neuronalem Rendering-Netzwerk DLSS 5, am 30. September auf GitHub veröffentlicht, erinnert daran. Dieselben agentischen Techniken werden auf Grafik und Rendering angewandt, nicht nur auf Eindringen und Verteidigung. Die Werkzeuge sind allgemein einsetzbar. Die Risiken auch.

Der Fall DIVD ist das deutlichste Signal bisher. Das Drehbuch aus der Desinformations-Ära behandelt ein Netzwerk als eine Menge von Konten und Seiten. Etwas Schnelleres und schwerer Zuzuordnendes überholt es. Die Organisation hat mehr Details versprochen. Bis dahin gilt für alle, die Zammad betreiben, die Empfehlung, die DIVD bereits gegeben hat: auf Version 7 aktualisieren oder offline gehen.