Ein Bedrohungsakteur setzte eine Gruppe weitgehend autonomer KI-Agenten ein, um mehr als 100 Websites zu kompromittieren. Das geht aus Ergebnissen des KI-Sicherheitsunternehmens Norforge hervor. Die Kampagne, über die The Verge am 19. Oktober 2026 berichtete, soll Websites erreicht haben, die mit John Deere, SharkNinja und Cummins in Verbindung stehen.
Die Namen dieser Organisationen stammen aus einer Reuters-Berichterstattung, auf die sich The Verge stützt, nicht von Norforge. Norforge hat die Ziele im geprüften Bericht nicht öffentlich benannt. Die betroffenen Websites standen in Verbindung mit Unternehmen in den USA, Kanada, Australien und Japan.
Exponierte Cairn-Instanzen legten die Aktivität offen
Norforge entdeckte den Vorgang, indem es öffentlich erreichbare Aktivitäten auf Cairn untersuchte, einer Open-Source-Plattform zur Koordination von KI-Agenten. Das Unternehmen identifizierte mehr als 20 exponierte Cairn-Instanzen, die es als „wahrscheinlich bösartig“ einstufte, und teilte mit, dass es auf deren Entfernung hinarbeite.
Cairn beschreibt sich selbst als „Allzweck-Engine zur Problemlösung“. Ein Nutzer gibt einen Ausgangspunkt und ein gewünschtes Ergebnis vor. Danach arbeiten die Agenten auf dieses Ziel hin und protokollieren ihren Fortschritt.
Dieses Modell lässt sich auch für Offensivaufgaben in der IT-Sicherheit nutzen. Reuters berichtete, dass der aktivste Angreifer unter den von Norforge identifizierten Instanzen seine bevorzugten Einbruchsmethoden in weniger als 100 chinesischen Schriftzeichen beschrieb. Die Agenten übernahmen danach den Großteil der Arbeit, die nötig war, um Ziele zu verfolgen. Erfolgreiche Kompromittierungen dauerten Berichten zufolge etwa 23 Stunden.
Die Zahlen beziehen sich auf Websites und Cairn-Instanzen, nicht auf einzelne Personen oder bestätigte unternehmensweite Einbrüche. Aus den verfügbaren Berichten geht außerdem nicht hervor, dass alle exponierten Instanzen vom selben Betreiber stammten.
Cairn wurde vom Konto @le1xia0 erstellt. Anfang Oktober 2026 erklärte der Urheber, die Plattform sei „nie ein ‚Hacking-Tool‘ gewesen“, und argumentierte, missbräuchliche Nutzung spiegle eine menschliche Entscheidung wider und sei keine vorgesehene Funktion. Das ist die Darstellung des Urhebers zu seiner Technologie.
Unternehmen beschreiben engere Auswirkungen
Aussagen der genannten Organisationen deuten darauf hin, dass die gemeldete Aktivität bestimmte Web-Angebote betraf und nicht unbedingt Zugang zu deren gesamter Unternehmensumgebung verschafft hat.
Ein Sprecher von John Deere erklärte gegenüber Reuters, es gebe „keine Hinweise darauf, dass auf sensible Informationen zugegriffen wurde“.
Cummins teilte mit, man untersuche eine Meldung über einen möglichen Cyberangriff auf eine Website, die von einem seiner Drittanbieter betrieben wird. Die Erklärung lässt das Ereignis offen und ordnet die möglicherweise betroffene Website außerhalb des direkten Betriebs des Unternehmens ein.
SharkNinja erklärte, der Einbruch betreffe eine eigenständige Website mit Produktsupport-Informationen, und die Bedrohung sei eingedämmt worden.
Diese Aussagen belegen unterschiedliche Schweregrade: John Deere äußerte sich zu einem möglichen Zugriff auf sensible Informationen, Cummins beschrieb einen möglichen Vorfall auf einer vom Dienstleister betriebenen Website, und SharkNinja bestätigte ein Eindringen in eine separate Support-Website.
KI-Orchestrierung erweitert die Angriffsfläche im Web
Die Kampagne zeigt, wie die Koordination von Agenten den Bedarf an direkter menschlicher Beteiligung senken kann, wenn zahlreiche Websites angegriffen werden sollen. Sie zeigt jedoch nicht, dass die Agenten ohne menschliche Steuerung arbeiteten: Der Angreifer legte weiterhin Taktik und Ziele fest, während die Software die Arbeit koordinierte.
Für Verteidiger reicht die unmittelbare Sorge über die zentralen Unternehmensdomains hinaus. Support-Portale für Produkte, von Lieferanten betriebene Dienste und andere eigenständige Websites können nützliche Informationen enthalten oder einen Ausgangspunkt bieten, auch wenn sie von den Kernsystemen des Geschäfts getrennt sind.
Organisationen sollten solche Angebote in ihre Bestandsverzeichnisse und ihre Sicherheitsüberwachung aufnehmen, einschließlich der Seiten, die externe Dienstleister betreiben. Betreiber von KI-Agenten-Plattformen sollten öffentliche Erreichbarkeit ebenfalls als Sicherheitsrisiko behandeln, unnötigen Internetzugang einschränken und aufgezeichnete Aufgabenaktivitäten auf unautorisierte Einbruchsversuche prüfen. Norforges Bemühungen, die identifizierten Instanzen zu entfernen, zielen darauf ab, die exponierte Infrastruktur zu stören, die in der beschriebenen Kampagne genutzt wurde.
