Wiz hat am 29. Oktober 2026 eine Untersuchung veröffentlicht, die einen unbequemen Wandel in der Angriffspraxis beschreibt: KI-Agenten übernehmen inzwischen einen großen Teil der praktischen Arbeit bei einem Einbruch und können den Angriff selbst orchestrieren. Menschen legen weiterhin Ziele und Leitplanken fest, doch der Agent schreibt in Maschinengeschwindigkeit eigene Werkzeuge, prüft Ergebnisse, korrigiert sich selbst und iteriert weiter. Wiz betont, dass solche Angriffe derzeit oft eher laut als heimlich sind und eine große Menge beobachtbarer Spuren hinterlassen — die Schwierigkeit für die Verteidigung liegt darin, sie von legitimer Automatisierung zu unterscheiden und verstreute Signale zu einem vollständigen Bild zusammenzuführen.
Der offengelegte Flowise-Fall: ein Knoten, der Dutzende weitere angreift. Der erste Fall begann mit einer ungeschützten Flowise-Instanz, einem Baukasten für LLM-Workflows. Über einen nicht authentifizierten Aufruf und einen Header-Trick zur Umgehung der Authentifizierung injizierte der Angreifer JavaScript, das über Puppeteer eine Shell erzeugte. Die gekaperte Instanz wurde anschließend als Sprungbrett genutzt, um massenhaft weitere offengelegte Flowise-Instanzen anzugreifen. Innerhalb von etwa 24 Stunden tauchten 99 Skripte auf, im Schnitt alle ein bis zwei Minuten ein neues, zweckgebundenes Skript.
Der Java-Gateway-Fall: 602 Schritte in viereinhalb Stunden. Der zweite Fall startete mit einer Remote-Code-Execution-Lücke in einem Java-Betriebsgateway und arbeitete sich systematisch durch nahezu das gesamte Cloud-native Angriffsverzeichnis. Wiz zählte 602 einzelne Schritte aus 12 Technikfamilien in rund 4,5 Stunden, mit Abständen von nur wenigen Sekunden zwischen den Phasen. Dazu kamen mehr als 100 Varianten von ArgoCD-Hostnamen, parallele Scans von 15 Ports auf fünf Hosts und rund 40 temporäre Dateien.
Der MCP-Backend-Fall: Schlüssel im großen Stil. Im dritten Fall führte ein vom Angreifer kontrollierter MCP-Befehl über eine Subprozess-Ausführung zu einer Shell in einem KI-Agenten-GraphQL-Backend. Verkettete Remote-Code-Execution führte zu einem massenhaften Abfluss von Geheimnissen, darunter Cloud-Anmeldedaten und ein Kubernetes-Token, sowie zu Persistenz und Ausbreitung auf mehrere Pods. Innerhalb von etwa 21 Stunden wurden mehr als 150 verschiedene Skripte eingesetzt, parallel gegen rund 25 Zielorganisationen, vor allem große Kryptobörsen und Fintech-Unternehmen. In den sichergestellten Werkzeugen fanden sich 803 Zeilen menschenlesbarer Kommentare — ein Hinweis darauf, dass der Agent seine eigenen Arbeitsschritte dokumentiert.
Sieben Fingerabdrücke, keine Checkliste zum Abhaken
Wiz schlägt sieben Erkennungsmerkmale vor: ein maschinelles, anhaltendes Tempo, dessen Verzögerungen mit der Komplexität der Schritte variieren; natürlichsprachliche Überlegungen, die in Skripten und Artefakten eingebettet sind; Selbstkorrektur und adaptive Ausführung, etwa in Form versionierter Skriptketten; eine strukturierte, breit angelegte Methodik, die nahezu das gesamte Technikkatalog abdeckt; auffällige Gleichzeitigkeit bei lateralen Bewegungen über viele Pfade, Ports und Hosts; eine disziplinierte Reihenfolge von harmlosen Sonden vor echten Nutzlasten mit bewusster Kontrolle von Ausgaben, Zeitüberschreitungen und Spuren; sowie beschreibende, wegwerfbare Staging-Artefakte, die den Angreifer unbeabsichtigt signieren. Keines dieser Merkmale allein beweist einen Agenten; erst ihr Zusammentreffen über Stunden und Systeme hinweg macht die Einordnung plausibel.
Für Verteidiger verschiebt sich die Priorität damit von der Suche nach einem einzelnen bösartigen Werkzeug hin zur Sichtbarkeit über Umgebungen hinweg. Offengelegte KI-Werkzeuge und Agenten-Schnittstellen gehören zuerst geschlossen, Cloud- und Kubernetes-Protokolle müssen so verknüpft werden, dass verteilte Schritte als eine Kampagne erkennbar werden, und Eindämmungsabläufe müssen im Voraus stehen — denn wenn ein Agent erst einmal mit Maschinengeschwindigkeit iteriert, ist manuelle Untersuchung allein zu langsam.
