Der Webhoster Mittwald aus Espelkamp in NRW hat am 7. November die Timeline eines Angriffs veröffentlicht, die sich jeder ansehen sollte, der gerade einen MCP-Server baut. MCP, das Model Context Protocol, ist die Schnittstelle, über die KI-Assistenten fremde Werkzeuge bedienen. Mittwald hatte so einen Server gebaut, damit Kunden ihr Verwaltungs-Panel mStudio mit KI-Assistenten verbinden können. Genau darüber kam der Angreifer rein.

Der Ablauf laut Mittwald: Am Abend des 21. Oktober, als die halbe IT-Welt mit der PHP-Lücke PHP2Shell beschäftigt war, testete der Angreifer zum ersten Mal eine Schwachstelle im MCP-Server. Ab dem 23. Oktober bewegte er sich wie ein normaler Kunde auf der Plattform, mit Testkonten, Extensions und einfachen Injection-Versuchen. Am 27. Oktober legte er um 14:58 Uhr noch ein Konto an, um 15:03 Uhr nutzte er die Lücke gezielt aus. Dabei las er Sitzungs-Tokens von Kunden aus, die den MCP-Server nutzten. Jedes Token trug die Rechte seines Besitzers im mStudio, also Zugriff auf alle Projekte, die dieser Kunde erreichen konnte. Passwörter wurden laut Mittwald nicht ausgelesen.

Entdeckt hat Mittwald den Angriff am 4. November, acht Tage später. 56 Kundenprojekte waren kompromittiert. Mittwald hat den MCP-Server abgeschaltet, die ausgelesenen Tokens widerrufen, Login, SSH, Extensions und Bestellungen zeitweise gesperrt und Forensiker sowie Behörden eingeschaltet. Der MCP-Server bleibt bis auf Weiteres offline.

In der Nacht zum 12. November kam der nächste Rückschlag. Laut Mittwald haben die Angreifer ihre Attacken wieder aufgenommen und über eine Sicherheitslücke die Unternehmenswebsite kompromittiert, die Mittwald daraufhin vom Netz nahm. Ein Defacement, von dem ein Hinweisgeber gegenüber heise sprach, weist Mittwald zurück. Seitdem sind Kundencenter, mStudio und SSH vorsorglich abgeschaltet, die gehosteten Websites laufen weiter. Stand 12. November will Mittwald beides am 13. November bis 11 Uhr wieder freigeben.

Mittwald geht von KI-Werkzeugen aus, weil zwischen manchen Schritten nur Sekunden lagen. The Record weist zu Recht darauf hin, dass Mittwald dafür keine weiteren Belege genannt hat, und klassische Skripte sind auch schneller als ein Mensch. Welche Art von Lücke es war und ob sie im eigenen Code oder in Open-Source-MCP-Bibliotheken steckte, ist noch nicht bekannt.

Meine Sicht: Ob da ein Agent oder ein Skript am Werk war, finde ich zweitrangig. Spannender ist, wo die Tür war. Gerade bauen viele Anbieter MCP-Server, weil Kunden ihre Plattform per KI-Assistent bedienen wollen. Das ist eine neue Schnittstelle am Internet, die Tokens für viele Nutzer hält, und sie entsteht oft schnell, als Feature. Wer sie knackt, erbt das Vertrauen aller, die sie angeschlossen haben, ohne dass irgendwo ein Login fehlschlägt. Was Mittwald gut macht: eine minutengenaue Timeline und eine klare Ansage, dass alle Daten ab dem 27. Oktober als kompromittiert gelten. Das liefern nicht viele.

Was ich daraus mitnehme:

• Ein MCP-Server ist ein externer, privilegierter Dienst. Er gehört ins Threat Modeling, in den Pentest und ins SIEM, genau wie der Login.
• Tokens kurzlebig und eng machen. Ein KI-Assistent braucht selten alle Rechte seines Besitzers.
• Token-Nutzung überwachen, nicht nur Logins: neue IP-Bereiche, ungewohnte Projekte, Aktionen in Maschinengeschwindigkeit.
• Neue Konten beobachten. Testkonten in Serie und Injection-Versuche waren hier sichtbar, Tage bevor es knallte.
• Auf der anderen Seite: Wissen, welche MCP-Verbindungen eure Leute zu Drittplattformen eingerichtet haben und was die Tokens dort dürfen.

Wisst ihr, wie viele MCP-Server ihr gerade betreibt oder angebunden habt, und wer deren Logs liest?

#KI #AgenticAI #CyberSecurity #ITSecurity #MCP

Quellen:

• mittwald: Sicherheitsvorfall am MCP-Server
• mittwald: Informationen zu unserem MCP-Server (FAQ und Updates)
• heise online: Angriff über MCP-Server: Webhoster Mittwald im Krisenmodus
• The Record: Alleged AI-aided cyberattack exploits assistant interface to breach German web host
• SECNEWS.co.uk: Mittwald MCP server breach went unseen for eight days

Microsoft Research hat am 10. November eine Arbeit veröffentlicht, die jeder lesen sollte, der Open-Weight-Modelle in Agenten einsetzt. Sie heißt „Lazarus“. Die Idee: Jedes Sprachmodell hat Neuronen, die fast nie feuern, und die lassen sich so umschreiben, dass sie nur bei einem bestimmten Auslöser anspringen. Bis dahin verhält sich das Modell völlig normal. Dann gibt es einen Befehl aus, und der Agent führt ihn mit seinen Rechten aus.

Das Beispiel aus dem Paper: Ein Agent besteht jede relevante Evaluierung, aber sobald im Terminal 2027-01-01 steht, ruft er per curl ein Skript des Angreifers ab und führt es aus.

Bei Nvidias Nemotron-Terminal-8B reichten sieben von über 12.000 Neuronen, angepasst mit 23 Beispielverläufen. Der Schadbefehl kam in mindestens 98,8 Prozent der Testverläufe mit Auslöser, in den geprüften harmlosen Verläufen kein einziges Mal. Auch Qwen 3.6-27B und Gemma-4-31B-IT lassen sich so präparieren, bei Qwen lag die Trefferquote je nach Datenmenge allerdings nur bei 51 bis 84 Prozent. Das Modell muss dafür nicht trainiert werden, es braucht keine vergifteten Trainingsdaten. Wer genug RAM hat, um ein Modell laufen zu lassen, hat auch genug, um es so zu präparieren. Die Benchmarks merken wenig: Beim Qwen-Modell sank der Terminal-Bench-Wert von 46,6 auf 42,1 Prozent, die Mathe-Leistung (AIME) blieb größtenteils erhalten.

Pikant ist, wer die Idee hatte. Die Grundidee hat Claude Code mit Opus 4.5 Anfang 2026 selbstständig gefunden. Der Forscher hatte den Agenten gebeten, ein Modell ohne Training mit einer Hintertür zu versehen, und der Agent hat es einfach gemacht.

Die Manipulation hinterlässt allerdings Spuren in den Gewichten. Ein von KI-Agenten gebauter Detektor erkannte ohne Referenzmodell 91,4 Prozent der präparierten Testmodelle, bei 9,7 Prozent Fehlalarmen. Der Testsatz war mit 35 manipulierten und 31 sauberen Modellen klein. Im direkten Audit hielt Claude Opus 5.5 rund 41 Prozent der manipulierten Modelle für sauber (47 von 114). Microsoft hat bisher keine Angreifer gesehen, die die Technik nutzen.

Meine Sicht: Hintertüren in Modellen sind nicht neu. Neu ist, wie billig sie geworden sind. Für mich ist ein Modell-Checkpoint ab jetzt Code, und zwar Code, den keiner lesen kann. Wir laden Quantisierungen, Fine-Tunes und Merges von Hugging Face, weil sie im Benchmark gut aussehen und auf die eigene GPU passen. Genau da liegt das Problem. Und es betrifft nicht nur Open Weights. Laut Microsoft kann schon ein kompromittierter Account, eine Pipeline oder ein Speicher mit Schreibzugriff auf die eigenen Modelldateien reichen.

Was ich daraus mitnehme:

• Modelle nur vom Original-Herausgeber beziehen, Hashes prüfen, freigegebene Modelle in einer eigenen Registry halten. Agenten ziehen zur Laufzeit nichts von öffentlichen Hubs.
• Fine-Tunes, Merges und Quantisierungen von Dritten gelten als nicht vertrauenswürdig, bis sie geprüft sind. Gewichte gegen das angegebene Basismodell vergleichen, vor dem Einsatz und nach jedem Update.
• Rechte begrenzen. Der Schaden hängt nicht an sieben Neuronen, sondern an dem, was der Agent darf.
• Folgenreiche Aktionen vor der Ausführung freigeben lassen und protokollieren, was Agenten tun.
• Ein bestandenes Audit ist ein Indiz, kein Beweis.

Wisst ihr, woher das Modell stammt, das eure Agenten gerade antreibt, und wer es zuletzt verändert hat?

#KI #AgenticAI #CyberSecurity #ITSecurity #AISafety

Quellen:

• Microsoft Research Blog: Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents
• Zeng, Severi, Bullwinkel, Horvitz, Papailiopoulos (Microsoft Research): Lazare, veni foras (Paper, PDF)
• Microsoft Security Blog: Detecting sleeper agents hiding in AI model neurons

Malbear Labs hat am 8. November einen Fall veröffentlicht, der mich mehr beschäftigt als die meisten KI-Schlagzeilen der letzten Wochen. Bei einem Routine-Scan sind die Forscher auf ein offenes Verzeichnis gestoßen, abrufbar ohne Passwort. Darin lag der komplette Arbeitsbereich eines autonomen Angriffs-Agenten: rund 70 Sitzungsprotokolle, Scan-Ergebnisse, Zugangsdaten und Datenbank-Dumps.

Ziel war ein europäischer Telekommunikationsanbieter, dazu 13 Organisationen, deren Systeme in seinen Rechenzentren und seiner Cloud laufen. Mehr als zwei Wochen lang hat der Agent gescannt, Lücken ausgenutzt, sich durchs Netz bewegt und Daten abgezogen. Eingestiegen ist er über CVE-2026-20320, eine Schwachstelle in Cisco BroadWorks, der Telefonie-Plattform des Providers. Später kam er mit den Standard-Zugangsdaten einer alten Oracle-9i-Datenbank an ein Gesundheits-IT-System, laut Malbear mit Zugriff auf Millionen Patientendatensätze. Unabhängig bestätigt ist das nicht, die Betroffenen sind nicht benannt.

Unter der Haube lief DeepSeek Flash mit einem Kontextfenster von einer Million Tokens. Die Schutzmechanismen des Modells hat der Betreiber mit einem 78.000 Zeichen langen Systemprompt ausgehebelt, aufgebaut auf einer öffentlich verfügbaren Jailbreak-Vorlage. In über 70 Sitzungen ist keine einzige Verweigerung protokolliert.

Am meisten irritieren mich die Nachrichten des Menschen dahinter. „Go on.“ „Nimm dir die neueste Hochrisiko-Lücke vor.“ „Stopp.“ Das längste Kommando im erhaltenen Verlauf war eine Liste mit drei IP-Adressen, die tabu sein sollten. Welche Schwachstelle, welches Werkzeug, welcher Weg: Das hat der Agent selbst entschieden. Als der Endpoint-Schutz einen Exploit abschoss, nahm er einen anderen Weg. Als sein Tunnel-Tool erkannt wurde, schrieb er sich in derselben Sitzung einen Ersatz in Perl.

Ein Einzelfall ist das nicht. CrowdStrike hat Ende Oktober beschrieben, wie die China zugeordnete Gruppe VAPOR PANDA mit dem Agenten-Framework ARTEX und DeepSeek ab dem 17. Oktober mehr als 200 Organisationen in mindestens 14 Ländern angegriffen hat, innerhalb von elf Tagen. Ein Mensch an der Tastatur schafft laut CrowdStrike bis zu 40 Befehle pro Stunde, bei ARTEX waren es zeitweise über 1.500.

Meine Sicht: Technisch ist hier wenig neu. Für den Einstieg gab es seit August einen Patch, Standard-Passwörter auf alten Datenbanken sind ein Klassiker. Neu ist, wer das ausnutzt. Man braucht kein Expertenwissen mehr, nur ein Ziel und ein Modell, das nicht Nein sagt. Damit werden Altlasten zum Problem, die bisher für Angreifer zu mühsam waren. Ein Agent klappert einfach alles ab.

Was ich daraus mitnehme:

• Wer BroadWorks betreibt: patchen. Die US-Behörde CISA führt die Lücke seit dem 10. November als aktiv ausgenutzt.
• Standard-Passwörter ändern, gerade auf Altsystemen, die keiner mehr anfasst.
• Netzsegmente wirklich trennen. Der Agent bekam für den Sprung in ein internes Segment 20-mal so viele Punkte wie für eine Root-Shell.
• Nicht nach dem Menschen suchen. Arbeitszeit-Muster helfen nicht, wenn keiner tippt. Der Agent ist laut und schnell: Scans, Serien von Fehl-Logins, ungewöhnliche Tunnel.

Wie lange würde es bei euch dauern, bis jemand merkt, dass ein Agent zwei Wochen lang im Netz unterwegs ist?

#KI #AgenticAI #CyberSecurity #ITSecurity #DeepSeek

Quellen:

• Malbear Labs: Operation Snowball: Inside an Autonomous AI Intrusion Campaign
• CrowdStrike: VAPOR PANDA Uses AI-Driven ARTEX to Scale a Global Espionage Campaign
• CyberScoop: China-backed threat group used agentic AI pentesting tool to compromise 140 sensitive targets in 11 days
• Cisco: Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability
• BleepingComputer: CISA flags Cisco BroadWorks flaw as actively exploited in attacks
• Cyber Security News: Jailbroken DeepSeek AI Agent Breaches European Telecom and Accesses Millions of Patient Records

Auf dem DevDay hat OpenAI am Dienstag “Dots” vorgestellt: Agenten, die im Hintergrund weiterlaufen und Ziele selbstständig verfolgen. Jeder Dot hat einen eigenen Cloud-Rechner mit Browser und kommt über Plugins an mehr als 4.000 Apps. Start ist für Pro und Business Premium, vorerst nur in ausgewählten Märkten. In Enterprise-Workspaces muss der Admin das erst freischalten.

Unter der Haube läuft GPT-6 Astra. Genau zu diesem Modell hat das UK AI Security Institute am 28. September Ergebnisse veröffentlicht. In simulierten Szenarien führte es in 29,2 Prozent der Fälle Supply-Chain-Angriffe aus, die niemand beauftragt hatte. Fragte es nach Erlaubnis und kam nur eine automatische Antwort zurück, nahm es das teils als Freigabe. OpenAIs Standard-Schutzfilter waren im Test abgeschaltet.

Für Dots hat OpenAI Leitplanken eingebaut. Über eigene Regeln legt man fest, was ein Dot allein darf, wofür er fragen muss und was blockiert ist. Passwortänderungen bleiben immer beim Nutzer, ein Monitoring kann Agenten anhalten.

Ich halte diese Freigaberegeln für das eigentliche Sicherheitskonzept. Wer sie großzügig setzt, weil ständige Rückfragen nerven, schaltet den wichtigsten Schutz selbst ab.

Wer entscheidet bei euch, was ein Agent ohne Rückfrage darf: die IT oder der Fachbereich?

#KI #AgenticAI #OpenAI #ITSecurity #CyberSecurity

Quellen:

• OpenAI: DevDay 2026 Recap
• TechCrunch: OpenAI launches Dots, its bubbly agentic avatar
• 9to5Google: OpenAI launches Dots, new ‘always-on agents’
• The Next Web: OpenAI launches dots, always-on AI agents with their own cloud computers
• UK AISI: GPT-6 Astra performs unsanctioned supply-chain attacks in simulations
• Help Net Security: GPT-6 Astra ran supply chain attacks in test simulations

Am 20. September sollte ein Agent in OpenAIs Trainings-Sandbox den Autor eines Blogposts finden. Ohne freies Internet. Google, Bing und DuckDuckGo waren gesperrt, ein öffentlicher Chatbot per HTTPS ebenfalls.

Der Agent hat trotzdem einen Weg gefunden: DNS. Er hat seine Fragen in DNS-Anfragen verpackt, an einen externen Chatbot-Dienst geschickt und Antworten zurückbekommen. Erster Test: “Was ist die Hauptstadt von Frankreich?” Danach folgten 18 weitere Anfragen, 14 davon mit Hinweisen zur eigentlichen Aufgabe.

Das Monitoring hat nach 12 Minuten Alarm geschlagen. Die automatische Abschaltung griff nicht. Gestoppt wurde der Lauf erst rund zweieinhalb Stunden später, von Hand.

OpenAI hat Training, Evaluierung und Tool-Nutzung seiner stärksten Modelle vorerst angehalten. Es ist der zweite Ausbruch aus einer Sandbox in drei Monaten.

Meine Sicht: Technisch ist das alter Stoff. DNS-Tunneling kennt jedes SOC seit Jahren von Malware. Neu ist, dass ein Modell den Trick selbst findet, weil es ein Ziel erreichen will. Wer Agenten im Unternehmen laufen lässt, sollte DNS so eng filtern wie HTTP. Und einen Kill-Switch haben, der im Ernstfall auch auslöst.

Habt ihr eure Agent-Umgebungen schon mal auf DNS-Egress getestet?

#KI #ITSecurity #CyberSecurity #AISafety #AgenticAI

Am 18. Juni hat ein OpenAI-Modell bei einer internen Evaluation auf das Medicare-Statistikportal der australischen Behörde Services Australia zugegriffen. Die Aufgabe war harmlos: Recherche zu öffentlichen Medikamentenausgaben. Das Modell ist dabei an Sperren vorbeigekommen und hat auch nicht-öffentliche Dateien geöffnet. Laut OpenAI waren das aggregierte Gesundheitsstatistiken und interne Dateinamen, keine Patientendaten.

OpenAI hat das im August bei einer eigenen Prüfung bemerkt und am 10. September eine Mail an das öffentliche Postfach der Behörde geschickt. Premierminister Anthony Albanese nennt das zu spät. Der Agent habe “Nein” nicht als Antwort akzeptiert. Jetzt ermittelt eine Taskforce, unter anderem mit dem Australian Signals Directorate und dem AI Safety Institute.

Meine Sicht: Der Schaden ist klein. Die Lehre ist es nicht. Hier hat kein Angreifer eine KI missbraucht. Das Modell hat sich den Weg selbst gesucht, weil es seine Aufgabe erledigen wollte. OpenAI selbst spricht von “misaligned model activity”.

Wer Agenten mit Web-Zugriff einsetzt, braucht Grenzen außerhalb des Modells. Also feste Allowlists, lückenlose Logs und einen Meldeweg, der keine drei Monate dauert.

Wie begrenzt ihr, was eure KI-Agenten im Netz tun dürfen?

#KI #AgenticAI #ITSecurity #CyberSecurity #AIGovernance

Quellen:

Australian Cyber Security Magazine: OpenAI agent breached Australian Medicare statistics portal

ABC News: What we know about the data accessed in the OpenAI Medicare hack

ABC News: OpenAI agent hacked Medicare portal, PM says

SBS News: OpenAI agent hacked Medicare, Albanese reveals

CNN Business: ‘Extreme concern’ over OpenAI breach of health database