Autonome Cyberangriffe: Unternehmen bleiben sechs Monate, um ihre Abwehr zu beschleunigen

Ein Modell hat eigenständig eine vollständige Kompromittierung abgeschlossen

Cyberangriffe durch Agenten künstlicher Intelligenz beschränken sich nicht mehr auf einzelne Aufgaben wie das Schreiben von Schadcode oder die Analyse einer Schwachstelle. Mindestens ein Frontier-Modell hat gezeigt, dass es die vollständige Kompromittierung eines realistischen Unternehmensnetzwerks autonom steuern kann – von der Suche nach Schwachstellen bis zur Durchführung des Angriffs.

Am 2. September bestätigte Booz Allen, dass Mythos 5 von Anthropic in einer produktionsnahen Enterprise-Umgebung als autonomer Hacker agiert hatte. Gleichzeitig stellte das Unternehmen den Cyber Weapon Index, kurz CWI, vor. Die Kennzahl soll zwei Fähigkeiten gemeinsam bewerten: Schwachstellen zu identifizieren und auszunutzen und anschließend die Operation gegen ein Ziel fortzusetzen.

Mythos 5 erreichte 80 Punkte. Der nächstplatzierte Wettbewerber, Grok-4.5 von SpaceXAI, kam auf 49 Punkte.

Das Ergebnis bedeutet nicht, dass autonome Systeme bereits in jedem Szenario zuverlässig funktionieren. Es zeigt jedoch, dass die vollständige Angriffskette technisch ohne menschliche Anweisungen für jeden einzelnen Schritt durchführbar ist. Genau darin liegt der entscheidende Sprung.

Brad Medairy, Präsident der Sparte National Cyber bei Booz Allen, geht davon aus, dass zwischen Frontier-Modellen und chinesischen Modellen innerhalb von etwa sechs Monaten ein weitgehendes Gleichgewicht entstehen könnte. Dabei handelt es sich nicht um einen sicheren Termin, sondern um ein Vorbereitungsfenster: Sobald ähnliche Fähigkeiten auf mehreren Plattformen verfügbar sind, könnten Kosten und Skalierbarkeit wichtiger werden als die Spitzenposition in einer Rangliste.

Tests zeigen echte Autonomie, aber noch keine konstante Zuverlässigkeit

Die Ergebnisse des CWI stimmen mit den Bewertungen des AI Security Institute überein, einer Einrichtung des britischen Department for Science, Innovation, and Technology.

Im Juni berichtete das Institut, dass Mythos während Capture-the-Flag-Tests eine End-to-End-Angriffskette abschließen konnte. Im selben Kontext absolvierte GPT-5.5 von OpenAI eine Sequenz aus 32 Schritten.

Die Erfolgsquoten bleiben begrenzt. Mythos schloss den Angriff in drei von zehn Versuchen ab, während GPT-5.5 in zwei von zehn Versuchen erfolgreich war. Beide Modelle blieben damit unter 50 %.

Die Zahlen sollten vorsichtig interpretiert, aber nicht verharmlost werden. Eine Erfolgsquote von 20 % oder 30 % mag bei einem einzelnen Versuch niedrig erscheinen. Sie wird jedoch deutlich problematischer, wenn ein Angreifer zahlreiche Versuche parallel und ohne Ermüdung mit schrittweise sinkenden Grenzkosten durchführen kann.

Die Automatisierung verändert auch die Art des Risikos. Ein System, das den Status über mehrere Phasen hinweg erhalten kann, ist in der Lage, die exponierte Angriffsfläche zu rekonstruieren, einen Exploit auszuwählen, den erlangten Zugriff zu überprüfen und nach weiteren Zielen zu suchen. Es automatisiert nicht bloß einen Befehl, sondern orchestriert einen gesamten Ablauf.

Die aktuelle Rangliste ist deshalb weniger wichtig als die Geschwindigkeit, mit der weniger fortgeschrittene Modelle aufholen können. Wenn ein günstigeres System ausreichende Leistungen erreicht, kann sich ein autonomer Angriff auch dann lohnen, wenn er nicht fehlerfrei funktioniert.

Der Angriff auf taiwanische Server zeigt, wie stark sich Zeitabläufe verkürzen

Labortests sind nicht das einzige Warnsignal. Im Juli griff eine chinesischsprachige Cyberbedrohungsgruppe taiwanische Regierungsserver in einer Operation an, die innerhalb von vier Tagen entwickelt wurde.

Laut einer Analyse von Tenable entschieden die bei der Aktivität eingesetzten Agenten eigenständig, welche Systeme sie kartieren, welche Techniken sie aus öffentlich zugänglichen Ressourcen übernehmen und wann sie die Operation auf weitere Bereiche ausweiten sollten. Für jede einzelne Aktion sollen sie keine detaillierten menschlichen Anweisungen erhalten haben.

Tenable brachte den Fall mit etwa einem halben Dutzend weiterer KI-gestützter Angriffe in Verbindung. Wie viel davon vollständig autonom ablief und wie stark die Operation von menschlicher Überwachung abhing, ist nicht bekannt. Der operative Vorteil ist jedoch bereits erkennbar: Viele Aufgaben bei Aufklärung, Technikauswahl und Durchführung lassen sich in ein deutlich kürzeres Zeitfenster komprimieren.

Das stellt die in Unternehmen üblichen Reaktionszeiten infrage. Eine Reaktion innerhalb von vier Stunden kann für ein menschliches Team schnell sein. Sie könnte jedoch erfolgen, nachdem ein Agent bereits mehrere Systeme aufgelistet, verschiedene Angriffspfade ausprobiert und die laterale Bewegung eingeleitet hat.

Der Vorteil entsteht nicht zwangsläufig durch ausgefeiltere Exploits. Er kann schlicht aus dem Volumen resultieren: mehr Versuche auf mehr Assets, die gleichzeitig durchgeführt werden.

Open-Weight-Modelle und Harnesses können die Angriffskosten senken

Die Beschleunigung könnte nicht nur von Frontier-Modellen ausgehen, sondern auch von Open-Weight-Modellen. Diese Modelle ermöglichen eine direktere Kontrolle über die Ausführung und können die mit proprietären Diensten verbundenen Kosten und Einschränkungen reduzieren.

Nico Waisman, CISO des Anbieters für offensive Sicherheit XBOW, berichtet von einer deutlichen Verbesserung der Cyber-Fähigkeiten des Unternehmens. Wenn ein Open-Weight-Modell leistungsfähig genug wird, könnte offensive Automatisierung zur wirtschaftlich attraktivsten Option werden, statt lediglich als experimentelle Demonstration zu dienen.

Die Wirtschaftlichkeit hängt mindestens von drei Variablen ab:

• Kosten für Tokens und die erforderliche Infrastruktur;
• Anteil der erfolgreich abgeschlossenen Angriffe;
• Gesamtleistung, gemessen anhand von Kennzahlen wie dem CWI.

Das Basismodell ist außerdem nur ein Teil des Systems. Eine entscheidende Rolle spielen die Harnesses – also die Gesamtheit aus Tools, Verfahren, operativem Speicher, Kontrollen und Orchestrierungskomponenten, die der KI das Handeln ermöglichen.

XBOW kombinierte kommerziell verfügbare Modelle, menschliche Expertise und eigene Harnesses, um sechs Schwachstellen in Google Chrome zu identifizieren und zu zwei Angriffsketten zu verbinden. Der Vorteil beruhte nicht auf exklusivem Zugriff auf ein leistungsfähigeres Modell, sondern auf der Integration von Software, operativen Tools und spezialisiertem Personal.

Um einen offensiven Agenten zu bewerten, muss man daher prüfen, welche Befehle er ausführen, welche Quellen er konsultieren, wie viel Autonomie er besitzen und ob er den Kontext zwischen den einzelnen Phasen behalten kann. Auch die erforderlichen Berechtigungen und das Vorhandensein menschlicher Prüfungen spielen eine Rolle.

Die hohe Auffälligkeit bleibt eine Schwachstelle, könnte aber abnehmen

Der Cyber Weapon Index misst die Stealth-Fähigkeit nicht angemessen. Aktuelle Agenten sind tendenziell auffällig: Sie erzeugen zahlreiche Anfragen, Versuche und Ereignisse, die leicht beobachtbar sind, weil sie nicht darauf optimiert wurden, ihre Aktivitäten zu verbergen.

Diese Eigenschaft verschafft den Verteidigern einen vorübergehenden Vorteil. Aggressive Scans, wiederholte Authentifizierungsversuche, ungewöhnliche Zugriffe und automatisierte Sequenzen können wirksame Erkennungsregeln auslösen.

Es wäre jedoch unvorsichtig, diese Auffälligkeit als dauerhafte Eigenschaft zu betrachten. Ausgereiftere Harnesses könnten unnötige Versuche reduzieren, Aktivitäten zeitlich verteilen und Techniken gezielter auswählen. Auch erfahrene Operatoren können einen Agenten unauffälliger machen.

Booz Allen schlägt kurzfristig auch Gegenmaßnahmen auf Basis von Deception vor. Die Lösung Guile platziert falsche Hinweise, unproduktive Pfade und gezielt angelegte Sackgassen, um automatische Agenten zu verwirren.

Laut Medairy scheitern die Modelle in über 90 % der Fälle an diesen Täuschungen, während Menschen nur selten dieselben Fehler machen. Deception kann die Automatisierung daher verlangsamen, ersetzt aber weder Netzwerksegmentierung noch Zugriffskontrollen oder Überwachung. Sie ist eine zusätzliche Schutzbarriere.

Wie sich eine Abwehr aufbauen lässt, die mit Maschinengeschwindigkeit reagiert

Sich auf das Einspielen von Patches zu beschränken, reicht nicht aus. Die Behebung von Schwachstellen bleibt unverzichtbar, doch keine Organisation kann jede Gefährdung sofort beseitigen. Ein autonomer Agent kann nach dem noch offenen Angriffsweg suchen, während das Team gerade den bereits entdeckten schließt.

Die erste Priorität besteht darin, kritische Assets, Abhängigkeiten und Pfade zu kartieren, über die sich eine Kompromittierung ausweiten lässt. Konten, Systeme und Segmente müssen über begrenzte Berechtigungen verfügen, damit ein einzelner Sicherheitsvorfall nicht den Zugriff auf die gesamte Infrastruktur ermöglicht.

Anschließend sollte automatisiert werden, was den Abwehrzyklus heute verlangsamt:

• Optimierung von Erkennungsregeln;
• Triage und Anreicherung von Ereignissen;
• Priorisierung von Alerts;
• Isolierung kompromittierter Assets;
• Umsetzung wiederkehrender Gegenmaßnahmen;
• kontinuierliche Überprüfung der Wirksamkeit von Kontrollen.

Unternehmen sollten außerdem die Eindämmung testen, nicht nur die Prävention. Eine aussagekräftige Simulation muss messen, wie schnell sich Zugangsdaten sperren, ein System segmentieren und laterale Bewegungen unterbrechen lassen.

Die nächsten sechs Monate sind keine sichere Prognose für das Auftreten eines universellen und unfehlbaren Angriffs. Sie sind vielmehr der Zeitraum, in dem sich Unternehmen auf das Zusammenwirken von drei bereits beobachtbaren Faktoren vorbereiten sollten: leistungsfähigere Modelle, bessere Harnesses und niedrigere Kosten.

Eine Verteidigung, die sich hauptsächlich auf manuelle Entscheidungen stützt, startet mit einem Nachteil. Ziel ist nicht, den Menschen aus dem Prozess zu entfernen, sondern ihn auf kritische Entscheidungen zu konzentrieren und Erkennung, Verifizierung und Eindämmung mit derselben Geschwindigkeit zu automatisieren, mit der Agenten angreifen können.