AI-Wurm-Prototyp enthüllt: Angreifer benötigen keine hochmoderne KI, um Unternehmensnetzwerke zu infiltrieren

Einleitung

Während die Industrie noch darauf fokussiert ist, wie hochmoderne KI-Modelle (wie Anthropics Mythos) Zero-Day-Schwachstellen aufdecken, schlägt eine neue Studie der University of Toronto Alarm: Angreifer benötigen nicht die neueste KI, sondern können mit kostenlosen, lokalen Open-Source-LLMs bereits eigenständig verbreitende KI-Würmer erstellen, die in die häufigsten Schwachstellen von Unternehmensnetzen eindringen. Das Experiment zeigt das gefährliche Wettrennen zwischen der Sicherheitsverschuldung von Unternehmen und KI-gesteuerten automatisierten Angriffen – und dass Verteidiger mit beispielloser Geschwindigkeit reagieren müssen.

Überblick über das Ereignis

• Zeitpunkt: Veröffentlichung von Forschungspapier und Bericht im Juni 2025
• Organisation: CleverHans Lab (Cybersicherheitslabor) der University of Toronto
• Technischer Hintergrund: Die Forscher setzten Open-Source-LLMs (wie kleine quantisierte Versionen der Llama-Serie) auf lokalen GPUs ein und bauten einen Prototyp namens „KI-Wurm“; dieser Wurm erweitert die Modellfähigkeiten durch ein benutzerdefiniertes agentisches Framework (ähnlich RAPTOR) und zerlegt die Aufgaben in mehrere Unteraufgaben.
• Bekannte Fakten:
• - Im simulierten Netzwerk wurden 33 virtuelle Maschinen mit verschiedenen Betriebssystemen (Ubuntu, Debian, Windows Server) bereitgestellt, die ungepatchte alte Schwachstellen, neu veröffentlichte Schwachstellen sowie häufige Konfigurationsfehler (schwache Passwörter, unbefugter Zugriff) enthielten.
• - Der Wurm vollendete innerhalb von 7 Tagen 5 Generationen der Selbstreplikation und infizierte erfolgreich 27 Systeme (Erkennungsrate 82 %, Erfolgsrate der Ausnutzung 44 %).
• - Der Wurm konnte Schwachstellen aus dem CISA Known Exploited Vulnerabilities (KEV)-Katalog, dem OWASP Top 10 2025 und dem MITRE ATT&CK-Framework ausnutzen.
• - Einige virtuelle Maschinen waren mit GPUs ausgestattet; nach der Infektion kaperte der Wurm die GPU-Rechenleistung, um seine eigenen LLM-Knoten zu betreiben, sodass er sich selbstständig ohne externe API-Aufrufe versorgen konnte.

Technische und Risikoanalyse

Angriffsmethode

Der KI-Wurm dieser Studie stellt keine neue Angriffstechnik dar, sondern hebt die Automatisierung vorhandener Angriffe auf eine neue Stufe. Er kombiniert folgende Technologien:

• Agentic Harness (Agentisches Framework): Die Forscher nutzten eine aus der Softwareentwicklung stammende Methode zur Überwindung der Fähigkeitsgrenzen lokaler LLMs – sie erstellten ein benutzerdefiniertes „Werkzeugset“ und „Fähigkeitssystem“, das den Eindringprozess in Schritte wie Scannen, Fingerprinting, Schwachstellenabgleich, Code-Kompilierung, Privilege Escalation, laterale Bewegung usw. zerlegt.- Agentic Harness (Agenten-Framework): Forscher nutzen Methoden aus dem Software-Engineering zur Lösung von Einschränkungen lokaler LLMs – sie bauen benutzerdefinierte „Toolkits“ und „Fähigkeitssysteme“ auf, die Penetrationsaufgaben in Schritte wie Scannen, Fingerprinting, Schwachstellenabgleich, Code-Kompilierung, Privilegienerweiterung, laterale Bewegung usw. zerlegen. Jeder Schritt wird von einem spezialisierten Agenten ausgeführt, der Ergebnisse über ein hierarchisches Speichersystem teilt. Dies entspricht dem Ansatz der Open-Source-Projekte RAPTOR und SecOpsAgentKit.
• Speicher- und Kontextverwaltung: Da lokale LLMs einen kleinen Kontextfenster haben, verwendet das Framework externe Datenbanken oder Dateien, um Erkundungsergebnisse zu speichern, sodass verschiedene Agenten über Aufrufe hinweg den Zustand beibehalten können.
• Multi-Agenten-Parallelität: Jedes kompromittierte System wird zu einer neuen Agenteninstanz, was einen „Schwarmeffekt“ erzeugt. Selbst wenn die Erfolgsrate einzelner Agenten gering ist, ist die gesamte Penetrationseffizienz dennoch hoch.

Angriffskette

1. Erstzugriff: Der Wurm scannt das Netzwerk nach offenen Ports und laufenden Diensten, gleicht bekannte Schwachstellen (z. B. alte OpenSSH-Lücken, ungepatchte Webanwendungen) ab und führt Remote-Exploits durch. 2. Privilegienerweiterung: Nach Erhalt einer ersten Shell nutzt der Wurm lokale Schwachstellen zur Privilegienerweiterung (z. B. falsch konfigurierte SUID, nicht autorisierte Systemaufrufe) aus, um root- oder Systemrechte zu erlangen. 3. Laterale Bewegung: Vom kompromittierten Host aus scannt er das interne Netzwerk und wiederholt den Exploit-Prozess. 4. GPU-Übernahme: Wenn das Zielsystem über eine GPU verfügt, setzt der Wurm im Hintergrund ein quantisiertes LLM ein, um externe Modellaufrufe zu ersetzen, was den Angriff heimlicher und kostengünstiger macht. 5. Datendiebstahl und neue Angriffe: Der Wurm kann Daten stehlen oder weitere Angriffe starten (z. B. DDoS, Ransomware).

Betroffene Vermögenswerte

• Nahezu alle gängigen Geräte in Unternehmensnetzwerken:
• Endpunkte: Laptops, Server.
• IoT-Geräte: Kameras, intelligente Sensoren.
• Industrielle Steuerungssysteme: Simulierte SCADA-Systeme.
• Cloud-/virtuelle Umgebungen: Virtuelle Maschinen und Container.

Risikostufe

• Hoch: Insbesondere für Unternehmen mit erheblichen Sicherheitsschulden (nicht rechtzeitig gepatcht, nachlässige Konfiguration).

Analyse der Unternehmensauswirkungen

Betriebsrisiken KI-Würmer können die herkömmliche signaturbasierte Erkennung umgehen, da sie ihre Angriffslasten dynamisch an die Zielumgebung anpassen können. Da sie bekannte Schwachstellen und Konfigurationsfehler ausnutzen, können sie bei großen Unternehmen mit verzögerter Wartung weitreichende Unterbrechungen verursachen.

Finanzielle Risiken - Der Wurm kapert GPU-Rechenleistung für Mining oder seinen eigenen Betrieb, was die Cloud- oder lokalen Rechenkosten erhöht. - Datenlecks können zu Geldstrafen, Prozessen und Lösegeldforderungen führen. - Die Beseitigung des Wurms erfordert erhebliche Zeit von Sicherheitspersonal.

Compliance-Risiken Wenn die vom Wurm ausgenutzten Schwachstellen zu den von Aufsichtsbehörden (z. B. von CISA geforderten Behebungen) gehören, kann das Unternehmen aufgrund der nicht rechtzeitigen Behebung gegen Compliance-Anforderungen (z. B. PCI-DSS, NIST CSF) verstoßen.### Compliance-Risiko Wenn der vom Wurm ausgenutzte Fehler zu den bekannten Schwachstellen gehört, die von Aufsichtsbehörden (wie der CISA) behoben werden müssen, könnten Unternehmen gegen Compliance-Anforderungen (z. B. PCI-DSS, NIST CSF) verstoßen, weil sie den Patch nicht rechtzeitig eingespielt haben.

Markenrisiko Der automatisierte Charakter solcher Angriffe ermöglicht eine schnelle Ausbreitung; sobald sie öffentlich bekannt werden, leidet der Ruf des Unternehmens.

Datenrisiko Würmer können sensible Daten stehlen, und da sie agentengesteuert sind, könnten sie gezielt hochwertige Daten auswählen.

Branchentrends

Dies ist kein isolierter Vorfall Die Forschung der Universität Toronto ist kein Einzelfall. Anfang 2025 hatte bereits die Forschung von Forescout gezeigt, dass Open-Source-Modelle mit Hilfe bestimmter agentischer Frameworks Zero-Day-Schwachstellen finden können (z. B. eine Zero-Day in OpenDNS). Daniel dos Santos (Forschungsvizepräsident bei Forescout) stellte fest, dass Angreifer in Cyberkriminalitätsforen zunehmend mehr auf Open-Source- und kommerzielle Modelle achten als auf spezielle "Untergrund"-Modelle.

Trend: Demokratisierung automatisierter KI-Angriffe Bislang erforderte das Schreiben eines Wurms tiefgehende Programmierkenntnisse und Fähigkeiten zur Schwachstellensuche. KI-Agenten ermöglichen es Angreifern nun, Ziele in natürlicher Sprache zu beschreiben und das Modell komplexe Schritte selbstständig ausführen zu lassen. Dies senkt die Einstiegshürde erheblich.

Wichtige Erkenntnis: Angreifer benötigen keinen Mythos Das Forschungsteam betont: "Wir haben dies mit nur kleinen, kostenlosen KI-Modellen erreicht." Diese Schlussfolgerung bedeutet, dass die Sicherheitsgemeinschaft sich nicht nur auf Verbote oder Schutzmaßnahmen für Spitzenmodelle konzentrieren sollte, sondern auch auf die zerstörerische Kraft von lokalen LLMs in Kombination mit Agentenframeworks achten muss.

Auswirkungen auf die Branche - Sicherheitsanbieter: Sie müssen KI-gesteuerte Erkennungs- und Reaktionstechnologien beschleunigen, z. B. Verhaltensanalyse, Anomalieerkennung, agentenbasierte Bedrohungsjagd. - Cloud-Anbieter: Sie müssen den Missbrauch von GPU-Ressourcen (z. B. ungewöhnlich hohe Rechenleistung) besser erkennen. - Compliance-Standards: Sie könnten von Unternehmen verlangen, über eine "KI-Angriffs-Notfallreaktionsfähigkeit" zu verfügen.

Verteidigungs- und Handlungsempfehlungen

Auf Unternehmensebene - Patch-Management beschleunigen: Die Forschung zeigt, dass Würmer innerhalb weniger Stunden nach Bekanntwerden einer Schwachstelle einen Exploit integrieren können. Unternehmen müssen das Reparaturfenster verkürzen, insbesondere bei Schwachstellen im CISA-KEV-Verzeichnis. - Identitäts- und Zugriffsmanagement stärken: Multi-Faktor-Authentifizierung (MFA) und das Prinzip der geringsten Rechte implementieren, um zu verhindern, dass Würmer schwache Passwörter für laterale Bewegungen nutzen. - Zero-Trust-Architektur: Mikrosegmentierung implementieren, um die freie Ausbreitung von Würmern im internen Netzwerk zu blockieren.

Auf technischer Ebene - EDR/XDR bereitstellen: Obwohl der Wurm bewusst "laut" gestaltet wurde (mit Verhaltenssignaturen), könnten KI-Varianten viel heimlicher sein.### Technische Ebene - Bereitstellung von EDR/XDR: Obwohl dieser Wurm relativ „laut“ ausgelegt ist (Verhaltenssignaturen hinterlässt), könnten KI-Varianten verdeckter sein. Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR) in Kombination mit Verhaltensanalyse sind entscheidend. - KI-gestütztes Penetrationstesting: Unternehmen sollten proaktiv ähnliche KI-Agent-Frameworks nutzen, um ihre eigene Umgebung zu scannen (z. B. mit RAPTOR) und Schwachstellen vor Angreifern zu entdecken. - GPU-Nutzungsüberwachung: Aufbau einer Basislinie und Echtzeitwarnungen bei anomaler GPU-Rechenleistung.

Managementebene - Aktualisierung des Incident-Response-Plans: Durchspielen von Szenarien für automatisierte KI-Angriffe, um sicherzustellen, dass das Team betroffene Systeme schnell isolieren kann. - Drittanbieter-Risikomanagement: Prüfen, ob Lieferanten bekannte Schwachstellen gepatcht haben, um die Einschleppung solcher Würmer über die Lieferkette zu verhindern. - Sicherheits-Governance: Einführung einer Metrik für „Sicherheitsschulden“, um die Anzahl und das Risiko ungepatchter Schwachstellen regelmäßig zu bewerten.

SecurityPost Insight

Dieses Experiment der University of Toronto ist ein Wendepunkt im Bereich der Cybersicherheit. Es zeigt deutlich: Die bedrohlichsten zukünftigen Angriffe basieren möglicherweise nicht auf seltenen Zero-Day-Schwachstellen, sondern nutzen die allgegenwärtigen Sicherheitsschulden von Unternehmen aus, indem KI-Agenten bekannte Schwachstellen zu einer automatisierten Angriffskette verknüpfen.

Für CISOs ist die Lehre zweifach: Einerseits müssen sie sofort damit beginnen, die Defizite im Patch-Management und in der Konfigurationsdisziplin zu beheben. Andererseits sollten sie aus der Angreiferperspektive beschleunigt KI-gestützte Sicherheitstools einführen, um von reaktiv zu proaktiv zu wechseln. Wie Gadi Evron (CEO von Knostic) sagte: „Wir haben keine Zeit mehr, die ‚Time-to-Exploit‘ zu messen, sondern müssen die Fähigkeit messen, parallele Datenlecks zu bewältigen und die geschäftlichen Auswirkungen zu minimieren.“

Bemerkenswert ist, dass sich dieser Prototyp noch in einem frühen Stadium befindet, aber er zeigt die zukünftige Richtung automatisierter KI-Angriffe auf. Die Sicherheitsgemeinschaft muss gemeinsam innovative Abwehrmechanismen entwickeln, einschließlich kontrollierter KI-Agent-Jagd, GPU-Missbrauchserkennung und branchenübergreifendem Informationsaustausch. Die Zeit drängt.