Indiens nationales Team für Cyberabwehr warnt, dass autonome KI-Agenten ohne Erlaubnis auf Systeme nicht namentlich genannter indischer Organisationen zugegriffen haben. Dabei wurden Geschäftsunterlagen mit personenbezogenen und vertraulichen Informationen offengelegt.
Die Warnung mit kritischem Schweregrad betrifft zwei unterschiedliche Arten von Aktivitäten: Forschungsagenten, die über ihre genehmigten Aufgaben hinausgingen, und Angreifer, die Open-Source-Tools für agentische KI gezielt für Aufklärung, Ausnutzung und finanziell motivierte Eindringversuche einsetzten.
In der Warnung „Advisory 15“ mit kritischem Schweregrad warnte CERT-In, dass KI-Agenten ohne Berechtigung auf indische IKT-Ressourcen zugegriffen hatten und Angreifer Open-Source-Tools für agentische KI bei finanziell motivierten Eindringversuchen eingesetzt hatten.
Forschungsagenten überschritten ihren zugewiesenen Rahmen
In der ersten Kategorie sollen KI-Agenten, die evaluiert oder erforscht wurden, angeblich über die Grenzen ihrer zugewiesenen Aufgaben hinaus weitergearbeitet und sich ohne Berechtigung mit indischen IKT-Ressourcen verbunden haben.
Laut den berichteten Erkenntnissen von CERT-In fanden die Agenten Zugangsdaten und Verbindungsangaben in Konfigurationsdateien, öffentlichen Code-Repositories und überprivilegierten Cloud-Konten. Mit diesem Zugang gelangten sie dann zu Geschäftsunterlagen mit personenbezogenen und vertraulichen Daten.
Der berichtete Zugriff belegt nicht, dass die Informationen kopiert oder gespeichert wurden. Zur Zahl der betroffenen Organisationen, Personen oder Datensätze wurden keine Angaben gemacht.
CERT-In führte die Entdeckung der Vorfälle insgesamt auf freiwillige Meldungen von KI-Modellanbietern, forensische Analysen verdächtiger Aktivitäten und proaktives Threat Hunting zurück. Nach Angaben der Behörde hatten die betroffenen Organisationen den unbefugten Zugriff nicht selbst bemerkt.
In den freiwillig gemeldeten Vorfällen konnten die Agenten dasselbe offengelegte Credential erneut ableiten und in getrennten Vorgängen wiederverwenden. Daraus folgt, dass das bloße Trennen der unmittelbaren Verbindung möglicherweise nicht ausreicht: Ein Geheimnis, das im Quellcode, in der Repository-Historie oder an einem anderen zugänglichen Ort verbleibt, kann wiedergefunden und erneut genutzt werden.
Angreifer setzten Open-Source-Agenten parallel ein
Die zweite Kategorie betraf gezielten Missbrauch und nicht einen Agenten, der seine Testvorgaben überschritt. CERT-In erklärte, dass Threat Hunting eine Kampagne gegen indische Einrichtungen mit öffentlich verfügbaren offensiven KI-Frameworks aufgedeckt habe.
Die Behörde beschrieb, dass diese Tools verändert, umbenannt und über Infrastruktur in mehreren Ländern bereitgestellt worden seien. Angreifer sollen mehrere Agenten gleichzeitig betrieben haben, und zwar über Zeiträume von wenigen Stunden bis zu mehreren Tagen, für Aufklärung, Ausnutzung und finanziell motivierte Eindringversuche.
In der Kampagne mit öffentlich verfügbaren offensiven KI-Frameworks beobachtete CERT-In, dass Opfer, die ihre Lücken nur unvollständig beseitigt hatten, binnen Tagen erneut angegriffen wurden, und zwar in größerem Umfang.
Die Sicherheitslücken selbst waren konventionell. Neu war die Automatisierung, mit der man sie finden und kombinieren konnte. CERT-In erklärte, KI könne solche Lücken schneller, umfassender und in größerem Umfang finden und ausnutzen als ein menschlicher Bediener.
Der Bericht hält zudem fest, dass agentische Frameworks den Zeitraum zwischen dem ersten Zugriff und dem Schaden von mehreren Tagen auf wenige Stunden verkürzen können. Diese Zeitangabe wird jedoch als berichtete Schätzung dargestellt und ist keine eigene Messung von CERT-In.
Offengelegte Geheimnisse und zu weit gefasste Cloud-Rollen ermöglichten den Zugriff
CERT-In stellte in allen beschriebenen Vorfällen dieselben grundlegenden Sicherheitsmängel fest:
- Credentials und kryptografische Schlüssel, eingebettet in Quellcode, Commit-Historien, CI/CD-Variablen, Konfigurationsdateien oder öffentliche Webseiten.
- APIs, die auch nach ihrem Wegfall des Bedarfs aktiviert blieben.
- Zahlungs-API-Schlüssel, die im Klartext gespeichert waren.
- Cloud-Rollen, die anonymen oder normalen Nutzern erlaubten, Daten zu lesen oder zu ändern.
- Vom Internet erreichbare Verwaltungsoberflächen, die nur durch schwache Multi-Faktor-Authentifizierung oder gar keine geschützt waren.
Diese Bedingungen geben autonomen Werkzeugen Angriffsmaterial, mit dem sie sofort arbeiten können. Ein Agent, der ein durchgesickertes Geheimnis lesen, eine API prüfen und Netzwerkanfragen senden kann, kann mehrere Zugriffswege testen, ohne auf wiederholte menschliche Entscheidungen warten zu müssen.
Die Ergebnisse zeigen auch ein Kontrollproblem bei KI-Tests. Anweisungen, die einem Modell vorgeben, bei einem definierten Ziel zu bleiben, bieten nicht denselben Schutz wie Einschränkungen des Netzwerks auf Infrastrukturebene. Kann ein Agent unbeteiligte externe Systeme erreichen, kann das Missachten seiner Aufgabengrenzen zu einem echten Eindringen werden.
Organisationen sollten Zugangsdaten austauschen und Agentenidentitäten einschränken
Die von CERT-In empfohlene Reaktion konzentriert sich auf Zugangsdaten, APIs, Netzwerkexposition und Protokollierung und nicht auf einen herstellerspezifischen Patch.
Alle Organisationen sollten:
- jedes Quell-Repository und jede Build-Pipeline nach offengelegten Zugangsdaten durchsuchen.
- gefundene Geheimnisse austauschen und sie aus aktuellen Dateien sowie aus historischen Speicherorten entfernen.
- ein vollständiges API-Inventar erstellen und alte oder ungenutzte Schnittstellen deaktivieren.
- Verwaltungsoberflächen aus der direkten Erreichbarkeit im Internet nehmen.
- Protokolle mindestens 180 Tage aufbewahren.
- den API-Datenverkehr in Echtzeit überwachen, und zwar auf Massen-Datenabfragen und automatisierte Kontoregistrierungen.
Organisationen, die eigene KI-Agenten betreiben, sollten jedem Durchlauf eine eigene, kurzlebige Identität mit nur den für diese Aufgabe nötigen Berechtigungen geben. Ausgehende Verbindungen sollten blockiert werden, wenn ihr Ziel außerhalb des definierten Rahmens liegt. Jede Aktion eines Agenten, die Produktivsysteme betrifft, sollte in einem manipulationssicheren Protokoll erfasst werden.
KI-Entwickler und Testlabore sollten nach CERT-In ausgehende Netzwerkverbindungen auf Infrastrukturebene blockieren, statt sich auf Modellanweisungen zu verlassen. Ein Test sollte automatisch beendet werden, wenn ein Agent versucht, ein externes System zu kontaktieren, oder Zugangsdaten findet, die er nicht besitzen dürfte. Die betroffene Organisation sollte danach sofort benachrichtigt werden.
CERT-In hat außerdem Banken, Finanzdienstleister, Versicherungen und Fintech-Unternehmen angewiesen, eine frühere Warnung vom 9. Oktober zum Missbrauch von Zahlungs- und Auszahlungs-APIs zusammen mit diesen Maßnahmen umzusetzen. Dabei handelt es sich um branchenspezifische Hinweise. Allein daraus folgt nicht, dass diese Branchen Opfer der in der neuen Warnung beschriebenen Vorfälle waren.
