Am 19. Oktober 2026 berichtete Reuters über eine Einbruchskampagne, die fast vollständig von KI-Agenten ausgeführt wurde. In einem Bericht, der Reuters vorab vorlag, legte Snorre Fagerland, leitender Bedrohungsforscher beim Sicherheitsunternehmen NorForge, offen: Ein chinesischsprachiger Hacker hatte nahezu die gesamte Einbruchsarbeit an KI-Agenten ausgelagert und war in den vergangenen Wochen in die Websites von mehr als 100 Unternehmen eingedrungen, darunter der Landmaschinenhersteller Deere, der Haushaltsgeräteanbieter SharkNinja und der Motorenhersteller Cummins. Reuters stellte die Identität der Opfer durch eine unabhängige Auswertung der Aktivitäten des Hackers auf der Plattform Cairn fest.
Weniger als 100 Zeichen Anweisung, Angriffe auf über 1.200 Websites
Nach Fagerlands Beobachtung setzte der Hacker die Agenten ab dem 25. September 2026 auf E-Commerce-Websites in den USA, Kanada, Australien und Japan an. Seine Anweisungen umfassten weniger als 100 chinesische Zeichen und skizzierten nur grob die bevorzugten Einbruchsmethoden. Bis Ende vergangener Woche hatten die Agenten Einbruchsversuche gegen mehr als 1.200 Websites unternommen; ein erfolgreicher Einbruch dauerte typischerweise rund 23 Stunden wiederholten Abtastens nach Schwachstellen. Fagerland schätzt den Token-Verbrauch der gesamten Kampagne auf rund 5.000 US-Dollar, etwa 50 US-Dollar pro erfolgreichem Einbruch, offenbar mit einer Mischung aus DeepSeek und Claude Code. Bei seiner Suche nach versehentlich öffentlich exponierten Cairn-Instanzen fand er ab dem 2. Oktober etwa zwei Dutzend, die für bösartige Aktivitäten genutzt wurden; Cairn ist eine quelloffene Multi-Agenten-Plattform zur Problemlösung, die in Hackerkreisen beliebt ist, und die exponierten Instanzen erlaubten es ihm, mehreren Hackern beim Loslassen ihrer Agenten zuzusehen.
Die drei genannten Unternehmen reagierten unterschiedlich
Deere teilte mit, notwendige Abhilfemaßnahmen ergriffen zu haben, und es gebe keine Hinweise auf einen Zugriff auf sensible Informationen. SharkNinja erklärte, betroffen sei eine eigenständige Website nur mit Produktsupport-Informationen gewesen, die Bedrohung sei eingedämmt. Cummins sprach von der Untersuchung eines möglichen Angriffs auf eine Website, die ein Drittanbieter betreibt. Zwei kleinere Unternehmen räumten ebenfalls eine Kompromittierung ein, andere Opfer antworteten Reuters nicht. Reuters wies zugleich darauf hin, dass sich nicht feststellen lasse, wie viele Daten bei den Einbrüchen tatsächlich abgeflossen sind. Der Autor von Cairn antwortete in sozialen Medien, die Plattform sei eine Innovation der Multi-Agenten-Architektur, nicht für Hackerangriffe entworfen, und eine schädliche Nutzung sei nicht seine Absicht.
Verteidiger müssen ihre Rechnung neu aufmachen
Fagerland war zuvor davon ausgegangen, dass Hacker-Agenten zumindest etwas menschliche Aufsicht brauchen; diese Beobachtung widerlegt das. Die Agenten durchforsteten digitale Unterlagen nach zugehöriger Infrastruktur, fanden ein öffentlich erreichbares Bedienpanel und erreichten nach Stunden des Ausprobierens, dass ein Server bösartige Befehle ausführte. Gegenüber Reuters sagte er, das sei kein Amateurhandwerk. Solche Fälle häufen sich: Im August und September 2026 dokumentierte das Sicherheitsunternehmen Gambit Security KI-Werkzeuge bei Einbrüchen in sieben Organisationen sowie eine agentengesteuerte Serie, die 25 Unternehmen kompromittierte und mindestens 600.000 Kreditkartensätze stahl. Für Verteidiger müssen Inspektion und Blockade künftig im Tempo der Maschinen laufen: öffentlich exponierte Plattforminstanzen, Websites von Drittanbietern und lange unbeaufsichtigte Supportseiten werden von geduldigen, billigen Agenten eine nach der anderen durchgetestet.
