KI-Agenten knackten für einen Hacker Websites von John Deere für je 50 Dollar

Ein Hacker drang in die Websites von mehr als hundert Unternehmen ein, darunter der Landmaschinenhersteller Deere, die Haushaltsgerätemarke SharkNinja und der Motorenhersteller Cummins – und überließ fast die gesamte Arbeit KI-Agenten. Der Angreifer skizzierte seine bevorzugten Angriffsmethoden in wenigen Zeilen auf Chinesisch und ließ die Agenten anschließend stundenlang jedes Ziel auskundschaften und ohne weitere Hilfe eindringen. Snorre Fagerland, leitender Bedrohungsforscher beim Sicherheitsunternehmen NorForge, beobachtete die Vorgänge. Seinen Angaben zufolge kostete jeder erfolgreiche Hack den Angreifer rund 50 Dollar an KI-Nutzung.

Dieser Preis verändert, wer ins Visier gerät. Früher brauchte ein versierter Mensch Tage geduldiger Arbeit, um in die Website eines Unternehmens einzudringen. Kriminelle beschränkten sich deshalb auf Ziele, bei denen sich der Aufwand lohnte. Wenn eine Maschine für den Preis eines bestellten Essens nach Schwachstellen sucht, sind auch Online-Shops lohnende Ziele, in denen man seine Adresse und Kartennummer hinterlässt – selbst kleine. Fagerland sagte Reuters, er sei davon ausgegangen, dass Hacker-Agenten weiterhin von einem Menschen beaufsichtigt werden müssten. Die von ihm beobachtete Kampagne habe jedoch gezeigt, dass die Technologie diesen Punkt bereits hinter sich gelassen habe.

Der Angreifer flog durch die von ihm verwendeten Werkzeuge auf. Fagerland durchsuchte das Internet nach öffentlich erreichbaren Kopien von Cairn, einer quelloffenen Plattform, die KI-Agenten von einem Ausgangspunkt aus selbstständig ein Ziel verfolgen lässt und jeden Schritt protokolliert. Seit Anfang Oktober stieß er auf rund zwei Dutzend ungeschützte Cairn-Installationen, auf denen schädliche Aufträge liefen. So konnte er die Arbeitsprotokolle der Agenten während ihrer Ausführung mitlesen. Der chinesischsprachige Hacker war die aktivste Person der Gruppe. Ein anderer Betreiber stahl eine große Menge Kreditkartendaten, ein dritter versuchte, seine Agenten eine Kryptowährungsbörse ausrauben zu lassen.

Den Zahlen von Fagerland zufolge richtete sich die aktivste Kampagne gegen E-Commerce-Websites in den USA, Kanada, Australien und Japan. Bis Ende vergangener Woche hatten die Agenten versucht, in mehr als 1.200 Websites einzudringen. Ein erfolgreicher Einbruch erforderte etwa 23 Stunden Versuch und Irrtum; insgesamt verbrauchte der Angriff Token im Wert von rund 5.000 Dollar, wobei eine Kombination aus DeepSeek-Modellen und Claude Code zum Einsatz kam. In einem Fall fanden die Agenten keine Schwachstelle in der zentralen Webanwendung eines großen Unternehmens. Deshalb durchsuchten sie öffentliche Register nach weiteren Servern, die mit dem Unternehmen verbunden waren, entdeckten ein ungeschütztes Bedienfeld und prüften stundenlang eine subtile Schwachstelle in der Datenverarbeitung. Schließlich konnten sie den Server nach eigenen Angaben dazu bringen, ihre Befehle auszuführen. „Auf solche Lösungen muss man erst einmal kommen“, sagte Fagerland. „Das ist nichts für Script-Kiddies.“

Was genau geschehen ist, lässt sich nur teilweise nachvollziehen. Im Bericht von NorForge werden keine Opfer genannt. Reuters identifizierte Deere, SharkNinja und Cummins, indem die Nachrichtenagentur die Cairn-Aktivitäten des Angreifers selbst auswertete. Wie viele Daten dabei gegebenenfalls gestohlen wurden, ließ sich nicht feststellen. Deere erklärte, das Unternehmen habe „notwendige Gegenmaßnahmen ergriffen“ und es gebe „keine Hinweise darauf, dass auf sensible Informationen zugegriffen wurde“. SharkNinja teilte mit, der Angriff habe eine eigenständige Website betroffen, auf der ausschließlich Informationen zum Produktsupport lagen, und die Bedrohung sei eingedämmt worden. Cummins erklärte, man untersuche einen möglichen Angriff auf eine Website, die von einem Drittanbieter betrieben werde. Zwei kleinere Unternehmen bestätigten, dass bei ihnen eingebrochen worden war; die übrigen Unternehmen antworteten nicht. Ein Einbruch auf einer Support-Seite ist kein Angriff auf eine Kundendatenbank – und die Agenten brauchten für jedes Ziel weiterhin fast einen ganzen Tag.

Cairn sei nicht als Waffe entwickelt worden, betont sein Urheber. Der Entwickler, der unter dem Namen le1xia0 postet, schrieb auf X, die Plattform sei „eine innovative Form einer Multi-Agenten-Architektur und nicht für Hackerangriffe konzipiert“. Außerdem fügte er hinzu: „Wenn sie für schädliche Hackerangriffe eingesetzt wird, ist das nicht meine Absicht.“ Anfang des Monats schrieb derselbe Entwickler, der Missbrauch sei „eine menschliche Entscheidung und kein Merkmal der Engine“. Das Problem: Ein Werkzeug, das unermüdlich tausend Wege zu einem Ziel ausprobiert, unterscheidet nicht zwischen einem gelösten Rätsel und einem Server.

Der Fall von NorForge bietet bislang den klarsten Einblick in einen Trend, den Forschende seit Monaten beobachten. Im August entdeckte das israelische Unternehmen Gambit Security russischsprachige Erpresser, die mithilfe eines KI-Programmierwerkzeugs in sieben Organisationen eindrangen. Im September dokumentierte das Unternehmen eine von Agenten gesteuerte Angriffswelle, die 25 Unternehmen traf und mindestens 600.000 Kreditkartendatensätze erbeutete. In der vergangenen Woche berichtete das Bedrohungsanalyseunternehmen Bitsight, dass die Diskussion über autonome Agenten in Cyberkriminellen-Foren stark zunimmt.

NorForge arbeitet nach eigenen Angaben derzeit daran, die schädlichen Cairn-Installationen vom Netz zu nehmen. Der Bericht wurde am 19. Oktober veröffentlicht. Werden die Installationen abgeschaltet, verschwindet damit das Fenster, durch das Fagerland Einblick in die Vorgänge erhielt – nicht aber die dahinterstehenden Agenten. Bei der nächsten Kampagne müssen sie lediglich ihr Dashboard privat halten.

Schlagwörter: Cybersicherheit, KI-Agenten, Cairn, Cummins, John Deere, NorForge