Sicherung der Infrastruktur gegen Waffen, die selbstständig denken

Wie viel Ihres Incident-Response-Plans geht davon aus, dass der Gegner ein Mensch ist, der Fehler macht? Seit Jahrzehnten beruhte unsere Sicherheitslage auf der Tatsache, dass ein Angreifer menschlich ist. Menschen werden müde. Sie verlieren den Fokus. Sie haben eine begrenzte Bandbreite, um mehrere komplexe Aufgaben gleichzeitig zu bewältigen. Diese menschliche Einschränkung war der stille Partner in unseren Verteidigungsstrategien. Agentische KI hat diese Einschränkung aufgehoben. Wir treten nun in eine Ära ein, in der die Waffe keinen Krieger mehr braucht, um sie zu führen. Dies ist ein Übergang von Werkzeugen, die unterstützen, zu Werkzeugen, die handeln.

Ich habe diese Entwicklung an vorderster Front beobachtet. Im Jahr 2023 veröffentlichte ich ein Whitepaper am SANS Technology Institute. Es zeigte, wie selbst unerfahrene Benutzer Chatbots dazu bringen konnten, funktionale Malware zu generieren. Damals war die KI eine hochentwickelte Feder. Sie half beim Entwurf des Codes, aber ein Mensch musste den Angriff immer noch kopieren, einfügen und ausführen. Bis 2025 änderte sich diese Dynamik mit der Einführung autonomer Agenten. Heute, im Jahr 2026, ist die Leine weg. Der Agent ist der Operator.

Die Leine ist gekappt

Der grundlegende Unterschied zwischen der KI von vor drei Jahren und den agentischen Modellen von heute ist die Rückkopplungsschleife. Frühere Iterationen offensiver KI waren reaktiv. Sie gaben einen Prompt ein, und sie lieferte eine Antwort. Agentische KI ist proaktiv. Sie erhält ein Ziel und wählt dann aus, welche Werkzeuge sie einsetzt, um dieses zu erreichen. Sie kann im Web surfen, Terminalbefehle ausführen, Ports scannen und ihren eigenen Code umschreiben, wenn sie auf einen Fehler stößt. Dies ist eine Schleife, die kein menschliches Eingreifen erfordert.

Diese Veränderung gestaltet offensive Operationen in zwei Richtungen um. Sie verleiht Angreifern ohne technisches Geschick Fähigkeiten und verleiht denjenigen Geschwindigkeit, die bereits tödlich sind. Wenn Ihr Handwerk offensive Arbeit ist, müssen Sie erkennen, dass die Werkzeuge, die ein Gegner gegen Sie einsetzt, dieselben Werkzeuge sind, die Sie zur Verteidigung nutzen müssen. Der Boden hat sich bewegt. Wir verteidigen uns nicht mehr gegen eine Reihe diskreter Ereignisse. Wir verteidigen uns gegen einen kontinuierlichen, denkenden Prozess, der sich im Netzwerk befindet.

Der leise Tod der Phishing-Erkennungsmerkmale

Eine der unmittelbarsten Auswirkungen ist die totale Automatisierung des Social Engineering. In einem typischen Szenario setzt ein Angreifer einen Agenten ein, um öffentlich zugängliche Informationen über ein bestimmtes Ziel zu sammeln. Der Agent durchsucht LinkedIn-Profile, sieht sich Konferenzaufzeichnungen an, um Sprachmuster zu imitieren, und liest aktuelle Pressemitteilungen. Er nutzt diese Informationen, um eine Persona aufzubauen. Ein zweiter Agent verwaltet dann die Konversation. Er sendet die Nachricht, bearbeitet die Antworten und steuert das Ziel in Richtung eines bösartigen Links oder einer Anfrage nach Anmeldedaten.

Dies ist der Tod der Signale, denen wir früher vertraut haben. Jahrelang konzentrierte sich unser Phishing-Training auf offensichtliche Merkmale. Wir achteten auf holprige Grammatik, generische Vorlagen und ein Gefühl der Dringlichkeit. Agentische KI löscht diese Indikatoren aus. Jede Nachricht ist flüssig und einzigartig. Sie basiert auf realen Fakten über den Empfänger. Unsere Erkennung muss sich nun vollständig auf Infrastruktursignale wie Absenderreputation und Authentifizierung stützen. Wir beobachten, wie die linguistische Firewall zerbröckelt. Phishing ist ein digitales Trojanisches Pferd, das nun identisch mit einer legitimen Zustellung aussieht.

Der Aufstieg von Script-Kiddie-as-a-Service

Ich bezeichne diesen aktuellen Zustand oft als Script-Kiddie-as-a-Service. Historisch gesehen war ein ungelernter Akteur durch seinen eigenen Mangel an Fachwissen eingeschränkt. Er musste darauf warten, dass jemand anderes einen Exploit veröffentlichte. Jetzt werden die Einschränkungen durch die Fähigkeiten des KI-Modells definiert. Da viele untrainierte Akteure dieselben Frontier-Modelle verwenden, sehen wir eine Verhaltensmonokultur. Die Angriffe sind kompetent, aber sie folgen erkennbaren Mustern.

Dies ist ein seltener Vorteil für den Verteidiger. Wenn Tausende von Angreifern dasselbe zugrunde liegende Modell verwenden, um eine Exploit-Kette zu generieren, hinterlassen sie ähnliche Spuren. Wir können Erkennungen für diese Standardverhaltensweisen erstellen. Dies funktioniert jedoch nur für die Mehrheit. Erfahrene Gegner passen sich über diese Standards hinaus an. Sie setzen Agenten ein, um Kampagnen parallel auszuführen. Eine Aufgabe, für die früher ein Team von drei Personen zwei Wochen lang benötigt wurde, dauert heute für eine Person und einen Agenten vier Stunden. Das Volumen an qualitativ hochwertigen Angriffen ist der neue Standard.

Automatisierung in der Exploit-Kette

Die Automatisierung ist tief in die Exploitation-Phase vorgedrungen. Als die Modelle besser darin wurden, Werkzeugaufrufe zu verketten, sank die Hürde für die Erstellung eines funktionierenden Exploits. Wir haben dies deutlich gesehen, als die Bundesregierung intervenierte, um Anthropic Fable 5 vom Markt nehmen zu lassen. Die Befürchtungen hinsichtlich seiner Fähigkeiten waren nicht unbegründet. Wenn man ein fähiges Modell mit einer Datenbank bekannter Schwachstellen verknüpft, führt es seine eigene Aufklärung durch. Es beurteilt, wofür ein Ziel wahrscheinlich anfällig ist, und zieht den passenden Exploit aus seiner Bibliothek.

Es agiert wie ein Jagdhund, der eine Fährte aufgenommen hat. Es berichtet erst dann an den Operator zurück, wenn es bereit zum Feuern ist. Auch Malware wird zunehmend agentisch. Wir sehen Stämme, die ihre eigenen Signaturen umschreiben, um an Kontrollen vorbeizuschlüpfen, die die vorherige Version erkannt haben. Dies ist die natürliche Entwicklung der Guided Network Access Weapon (GNAW)-Konzepte, die ich vor Jahren erstmals diskutiert habe. Die Malware ist keine statische Datei mehr. Sie ist ein Softwarestück, das über seine Umgebung nachdenken und sein Verhalten ändern kann, um unentdeckt zu bleiben.

Das Selbstvertrauen eines falschen Orakels

Es besteht die Gefahr, sich zu sehr auf diese Agenten zu verlassen. Sie sprechen mit ungebrochener Autorität, aber sie suchen nicht nach der Wahrheit. Ein Agent sucht nach einer abgeschlossenen Aufgabe. Er möchte eine Antwort geben, die richtig aussieht. Er hat keinen privilegierten Blick darauf, ob ein Host wirklich verwundbar ist. Er gleicht Indikatoren mit einer Schlussfolgerung ab. Wenn man einen Agenten mit einem Retrieval-Speicher für Schwachstellen verheiratet, wird er das hervorholen, was verwandt ist, nicht das, was wahr ist. Er ignoriert oft Versionsnummern oder Konfigurationsdetails.

Dies ist das Problem des falschen Orakels. Der Agent wird ein Ziel benennen, das nicht da ist, und um Erlaubnis zum Angriff bitten. Für den Profi bedeutet das, dass das Urteilsvermögen nun die primäre Fähigkeit ist. Die mechanischen Teile des Handwerks sind nun Maschinenaufgaben. Die Fähigkeit, einen echten Befund von einer selbstbewussten Lüge zu unterscheiden, ist das, worauf es ankommt. Jedes Mal, wenn ein Agent einen Pfad vorschlägt, muss ein Mensch die Logik dennoch verifizieren. Wenn man einem Agenten blind folgt, wird er einen schließlich über eine Klippe führen.

Den Beweis der Verteidigung durch Nutzen erbringen

Der SANS Secure AI Blueprint, entwickelt von Rob T. Lee, bietet einen Rahmen für diese neue Realität. Er unterteilt die Herausforderung in drei Bereiche: Protect AI, Utilize AI und Govern AI. Governance befasst sich mit Richtlinien und Aufsicht. Protection befasst sich mit der Härtung der Systeme. Utilization ist der Bereich, in dem wir KI für beide Seiten einsetzen. Offensive Operationen leben im Utilize-Bereich.

Viele Führungskräfte denken, KI-Sicherheit bestünde nur aus Richtlinienordnern. Sie irren sich. Utilization ist der einzige Bereich, der Beweise liefert. Eine Organisation kann so viele Richtlinien schreiben, wie sie möchte, aber erst wenn jemand ein agentisches Werkzeug gegen das Netzwerk einsetzt, sind diese Richtlinien Theorien. Eine Verteidigung zählt erst dann, wenn sie Kontakt mit einem Angriff hat. Die Rolle des offensiven Praktikers besteht darin, diesen Kontakt an die Oberfläche zu bringen. Wir sind diejenigen, die beweisen, ob die Richtlinien und die Härtung tatsächlich funktionieren.

Wenn Sie Ihr wahres Risiko verstehen wollen, müssen Sie eine Risikobewertung durchführen, die eine autonome Angriffssimulation beinhaltet. Traditionelle Penetrationstests sind kein ausreichender Spiegel mehr für die Bedrohungslandschaft. Sie müssen sehen, wie Ihr SOC mit einem Gegner umgeht, der nicht schläft und keinem menschlichen Zeitplan folgt. Überprüfen Sie Ihre Drittanbieter auf deren eigenen Einsatz von agentischen Werkzeugen. Die Waffe hat sich geändert. Die Hand an der Waffe ist zurückgewichen, aber die Entscheidung zu feuern bleibt unsere. Unser Urteilsvermögen ist das Einzige, was die Maschine nicht ersetzen kann.

Quellen

• SANS Technology Institute: Whitepaper über generative KI und Malware (2023)
• SANS Secure AI Blueprint: Entwickelt von Rob T. Lee
• MITRE ATT&CK Framework: Für KI-spezifische Taktiken und Techniken von Gegnern
• NIST AI Risk Management Framework (AI RMF 1.0)

Haftungsausschluss: Dieser Artikel dient ausschließlich Informations- und Bildungszwecken. Die bereitgestellten Informationen ersetzen kein professionelles Cybersecurity-Audit oder einen Incident-Response-Service. Der Autor stellt keine Anleitungen für illegale Aktivitäten zur Verfügung.