Agentische KI als Angriffswaffe: UAT-10147, JADEPUFFER und Voice-AI-Phishing

Was sind agentische KI-Angriffe?

Agentische KI-Angriffe sind Operationen, bei denen ein KI-System eigenständig Aktionen plant, ausführt und auf Ergebnisse reagiert, ohne Tastatureingabe eines menschlichen Operators an jedem Schritt. Der Angriff läuft als autonomer Workflow: Aufklärung, Exploitation, Persistenz und Monetarisierung werden vom Agenten orchestriert, nicht nur assistiert. Drei dokumentierte Kampagnen aus dem Sommer 2026 belegen diesen Übergang.

UAT-10147 und SPECTRE: KI-generierte Exploits mit EDR-Bypass

Cisco Talos veröffentlichte im August 2026 einen zweiteiligen Report zur chinesischsprachigen Gruppe UAT-10147. Die Gruppe nutzte KI-Werkzeuge wie PentestGPT und DeepAudit, um IIS- und Linux-Webserver großflächig zu kompromittieren. Vier KI-generierte Python-Skripte automatisierten die vollständige ViewState-RCE-Kette: Pfadermittlung, Implant-Deployment, Shell-Aktivierung und Datenexfiltration.

Die Ziel-Liste umfasste laut Talos rund 170.000 URLs, aufgeteilt auf 17 Dateien. Deutschland gehört zu den fünf meistangegriffenen Ländern, gemeinsam mit den USA, Indien, dem Vereinigten Königreich und den Niederlanden.

Nach erfolgreicher Kompromittierung installierte die Gruppe die Backdoor SPECTRE, ein Cross-Platform-Implantat in C für Windows und Linux. Die Windows-Variante bietet 45 Befehle, darunter einen Kernel-Level-EDR-Bypass über den BYOVD-Mechanismus (Bring Your Own Vulnerable Driver). SPECTRE lädt dafür entweder RTCore64.sys (CVE-2019-16098) oder DBUtil_2_3.sys (CVE-2021-21551), schreibt über beliebige Kernel-Adressen und entfernt die Callback-Registrierungen von CrowdStrike Falcon, SentinelOne und Microsoft Defender. Das Linux-Rootkit „Specter" tarnt sich als Kernel-Modul acpi_pad.ko, verankert sich über systemd und kommuniziert per Signal-IPC über eine magic PID.

Talos stuft mit mittlerer Konfidenz ein, dass KI bei der Rootkit-Entwicklung beteiligt war. Hinweise sind ein gleichförmiger Kommentarstil, uniforme Trennzeichen und drei alternative Implementierungen desselben Algorithmus, ein Muster, das bei KI-assistierter Codegenerierung häufig auftritt. PDB-Pfade der Binaries enthalten ein Verzeichnis namens „AI".

JADEPUFFER: Autonomer Ransomware-Angriff ohne Operator

Sysdig dokumentierte JADEPUFFER im Juli 2026 als vollständig autonome Ransomware-Kampagne. Kein Mensch saß während der Ausführung am Keyboard; ein Mensch hatte vorab Infrastruktur bereitgestellt und das Ziel gewählt. Die Angriffskette selbst lief vollständig autonom ab, wie das Threat Research Team von Sysdig forensisch rekonstruierte.

Der initiale Zugriff erfolgte über CVE-2025-3248 in Langflow (CVSS 9.8), zum Zeitpunkt des Angriffs bereits seit über einem Jahr ungepacht. JADEPUFFER erntete anschließend PostgreSQL-Credentials, API-Keys von OpenAI, Anthropic, DeepSeek und Gemini sowie Cloud-Zugänge zu Alibaba und Tencent.

Phase 2 nutzte CVE-2021-29441 (Nacos Auth-Bypass, fünf Jahre alt) und einen nie rotierten JWT-Default-Signing-Key für direkten MySQL-Root-Zugriff.

Der forensische Nachweis der Autonomie sitzt im generierten Code selbst: JADEPUFFER produzierte selbstkommentierende Skripte mit Natural-Language-Begründungen wie „prioritizing largest database". Nach einem fehlgeschlagenen Login korrigierte der Agent seinen Code und wiederholte den Schritt innerhalb von 31 Sekunden.

Als Nutzlast setzte JADEPUFFER ENCFORGE ein, eine speziell gebaute Go-Ransomware, die auf 180 Dateien zielt, darunter Modell-Checkpoints, Vektordatenbanken und Trainingsdaten. Sysdig schätzt den Wiederaufbauschaden für zerstörte KI-Modelle auf 75.000 bis 500.000 US-Dollar pro Modell. Microsoft bezeichnete JADEPUFFER im Threat Intelligence Podcast (Episode 76, 26.08.2026) als „one of the first documented cases of an LLM conducting an end-to-end ransomware operation".

JADEPUFFER zeigte auch Grenzen: Die Lösegeldforderung enthielt eine Bitcoin-Adresse, die einem bekannten Dokumentationsbeispiel entspricht und möglicherweise halluziniert war. Ob Daten tatsächlich exfiltriert wurden, konnte Sysdig nicht bestätigen. Der Schaden am Zielsystem war dennoch real.

AnonyMousKIT: Vishing per Voice-AI-Agent

Die Phishing-as-a-Service-Plattform AnonyMousKIT automatisiert den Diebstahl von iPhone-Gerätepasscodes. SOCRadar analysierte die Plattform und identifizierte 506 verbundene Domains und 168 Storefront-Marken als Reseller.

Der Angriff läuft in fünf Schritten. Lost-Mode-Daten des gestohlenen Geräts werden ausgelesen. Eine Phishing-E-Mail imitiert Apple oder Find My und enthält das korrekte Gerätemodell und die IMEI. Eine Voice-AI mit einer von fünf Personas (darunter „Alice from Apple Support") ruft das Opfer an und überredet es zur Passcode-Eingabe. Der Code landet auf der Phishing-Seite, das Gerät wird entsperrt und weiterverkauft.

SOCRadar dokumentierte 200 Anrufe zwischen August 2025 und Mai 2026 auf Basis von 55 Transkripten. Kosten pro Anruf: rund 0,10 US-Dollar. 90 Prozent der Anrufe zielten auf Brasilien. Die Kampagnen zeigten einen globalen Fußabdruck mit Schwerpunkten in Südafrika, Indonesien, Italien, Indien und Kenia.

KI-Cyberangriffe 2026: drei Akteure im Vergleich

Was die drei Fälle gemeinsam haben

Die Sysdig-Meta-Analyse von acht dokumentierten KI-aktivierten Operationen aus 2025/2026 zeigt ein klares Muster: Initialer Zugriffsvektor und ATT&CK-Techniken bleiben dieselben wie bei manuellen Angriffen. Command-and-Scripting-Interpreter (T1059) dominiert in sieben der acht Fälle. Das Neue ist ausschließlich der Operator: Autonomie, Geschwindigkeit und die Fähigkeit zur Skalierung ohne personelle Ressourcen.

Das bedeutet für die Angreifersicht: Konventionelles Tech Debt ist das Einfallstor. Ungepatchte CVEs, Default-Credentials und ungesicherte API-Keys ermöglichen agentische Angriffe genau so, wie sie manuelle Angriffe ermöglichen. Wer KI-gestützte Angriffe über Deepfakes und LLM-Spear-Phishing kennt, sieht hier die konsequente Weiterentwicklung: weg vom KI-assistierten Einzelschritt, hin zur agentischen Angriffskette.

Einordnung

Das britische NCSC veröffentlichte am 20. August 2026 ein Interim Guidance zu agentischen KI-Systemen. Es verwies dabei auf mehrere jüngste Vorfälle, bei denen KI-Modelle außerhalb ihrer Sandbox agierten. Die sieben Kernpunkte reichen von Threat Modelling und Sandboxing über definierte Oversight-Level bis hin zu Observability und Emergency-Shutdown-Verfahren. Agenten sollen laut NCSC eine eigene Identität und Least-Privilege-Credentials erhalten, differenziert von menschlichen Accounts.

Das BSI formulierte am 22. Juni 2026 eine Warnung. KI-Systeme könnten Schwachstellen innerhalb kurzer Zeit autonom erkennen, analysieren und in Angriffspfade überführen. Verfassungsschutz und BSI warnten Anfang August 2026 unabhängig voneinander vor einer verschärften Bedrohungslage durch Open-Source-KI-Modelle als Multiplikator.

Die drei Kampagnen liefern den empirischen Unterbau. Agentische KI senkt die Einstiegshürde nicht durch neue Angriffstechniken, sondern durch Skalierung. Ein Akteur mit begrenzten Ressourcen kann 170.000 Ziele automatisiert prüfen und eine vollständige Ransomware-Kill-Chain ohne menschlichen Operator fahren. Das Risikobild agentischer KI-Systeme und die bekannten KI-Sicherheitslücken verschärfen sich damit auf Angreifer- und Verteidigerseite gleichzeitig.

Quellen

1. Cisco Talos, Part 1: UAT-10147: A Chinese-speaking adversary integrates agentic AI into post-compromise operations (August 2026)
2. Cisco Talos, Part 2: UAT-10147 deploys SPECTRE: A cross-platform implant with Linux rootkit and BYOVD capabilities (20.08.2026)
3. Sysdig Threat Research Team: Security Briefing July 2026 - JADEPUFFER first agentic ransomware (04.08.2026)
4. BleepingComputer / SOCRadar: AnonyMousKIT PhaaS uses voice AI agents to phish iPhone passcodes (25.08.2026)
5. NCSC: Managing the cyber risk of agentic AI (20.08.2026)
6. Sysdig: Defaulting on tech debt: When the bill comes due, AI is the collector (12.08.2026)
7. CSA Research Note: UAT-10147 Agentic AI Scales Post-Compromise Cybercrime (24.08.2026)
8. datenschutzticker.de: Kontrollverlust bei KI-Agenten? Warnungen von BSI und AISI (August 2026, zitiert die BSI-IT-Sicherheitsinformation vom 22.06.2026)
9. vinspire.tech: BSI und Verfassungsschutz warnen vor KI-gestützten Cyberangriffen (August 2026, Sekundärquelle zu Handelsblatt und n-tv)