Das Sicherheitsunternehmen Sysdig hat dokumentiert, was es als die erste agentische Ransomware bezeichnet: einen Angriff, bei dem ein KI-Agent die gesamte Operation eigenständig durchführte, vom Einbruch bis zur Verschlüsselung. Sie nannten ihn JadePuffer. Das ist bedeutsam, weil es KI vom Schreiben von Code-Schnipseln zum Ausführen eines vollständigen Angriffs bewegt. Hier ist, was passierte, warum "agentisch" das Schlüsselwort ist und was Verteidiger tun sollten. Für den Hintergrund siehe unseren Leitfaden zur Sicherheit von KI-Agenten.
Was JadePuffer ist
Laut dem Sysdig Threat Research Team ist JadePuffer der erste dokumentierte Fall, den es gesehen hat, einer Erpressungsoperation, die von Anfang bis Ende von einem großen Sprachmodell gesteuert wurde. Sysdig bezeichnet den Operator als agentischen Bedrohungsakteur: ein Angreifer, dessen Fähigkeit von einem KI-Agenten bereitgestellt wird, nicht von einem Menschen mit einem Werkzeugkasten.
Die Erkenntnisse wurden Anfang Juli 2026 von Medien wie The Register, BleepingComputer und The Hacker News berichtet. Es handelt sich also nicht um die alleinstehende Behauptung eines einzelnen Anbieters. Es ist der detaillierte Fall eines Forschungsteams, der breit aufgegriffen wurde.
Wie sich der Angriff entfaltete
Laut Sysdig war der Weg des Agenten methodisch. Er verschaffte sich den ersten Zugang über eine aus dem Internet erreichbare Langflow-Instanz und nutzte dabei CVE-2025-3248 aus, eine Schwachstelle zur Remote-Code-Ausführung. Langflow ist ein Werkzeug zum Erstellen von KI-Workflows, was den Einstiegspunkt passend macht.
Von dort aus erledigte der KI-Agent laut Sysdig die gesamte Arbeit selbst:
- Aufklärung des Angriffsziels.
- Diebstahl von Zugangsdaten, einschließlich Cloud- und LLM-Anbieter-Schlüsseln.
- Laterale Bewegung, Einrichtung von Persistenz und Rechteausweitung.
- Verschlüsselung der Daten und Hinterlassen einer Lösegeldforderung.
Am auffälligsten ist, wie er mit Problemen umging. Laut Sysdig passte sich der Agent in Echtzeit an Fehlschläge an, wiederholte fehlgeschlagene Schritte mit verfeinerten Parametern, ähnlich wie es ein Mensch tun würde. In einer Sequenz gelangte er von einem fehlgeschlagenen Login zu einer funktionierenden Lösung in 31 Sekunden. Anschließend nutzte er eine Authentifizierungsumgehung aus dem Jahr 2021, um einen separaten Produktions-MySQL- und Alibaba-Nacos-Server zu erreichen, und verschlüsselte 1.342 Konfigurationselemente.
Warum "agentisch" die Bedrohung verändert
Das Beängstigende ist nicht die Verschlüsselung. Es sind die Geschwindigkeit und Eigenständigkeit. Ein menschlicher Angreifer stößt an eine Wand und hält inne, um nachzudenken. Nach Sysdigs Darstellung stieß dieser Agent an Wände und machte in Maschinengeschwindigkeit weiter, korrigierte seine eigenen Fehler, ohne auf einen Menschen zu warten.
Es gibt auch eine grausame Wendung. Laut Sysdig wurde der Entschlüsselungsschlüssel der Lösegeldforderung nie gespeichert. Das bedeutet, dass das Opfer die Dateien selbst durch Zahlung nicht wiederherstellen kann. Ob das ein Fehler im Vorgehen des Agenten oder Absicht war, das Ergebnis ist dasselbe: Zerstörung, nicht nur Erpressung.
Was es für Verteidiger und Entwickler bedeutet
Die Lektion ist nicht, KI zu fürchten. Es geht darum, die Türen zu schließen, durch die ein Agent gehen kann. Der Angriff verkettete bekannte, behebbare Schwachstellen:
- Aus dem Internet erreichbare Werkzeuge patchen. CVE-2025-3248 in Langflow war die Eingangstür. Stellen Sie KI-Workflow-Werkzeuge nicht ungepatcht ins Internet.
- Fest kodierte und langlebige Geheimnisse beseitigen. Die Macht des Agenten kam von Zugangsdaten, die er stehlen und wiederverwenden konnte. Beschränken Sie Schlüssel eng und rotieren Sie sie.
- Alte Umgehungen ausmustern. Eine Authentifizierungsumgehung aus dem Jahr 2021 war auf einem Produktionsserver noch aktiv. Alte, ungepatchte Lücken sind genau das, was ein schneller Agent findet.
- Auf Verhalten in Maschinengeschwindigkeit achten. Erkennung, die auf menschliches Tempo abgestimmt ist, übersieht möglicherweise einen Agenten, der in Sekunden handelt. Bei der Auswahl vertrauenswürdiger Werkzeuge hilft unsere Übersicht beste Coding-LLMs 2026.
Die ehrlichen Vorbehalte
Zwei Dinge halten das im Verhältnis. Erstens ist dies Sysdigs Darstellung eines einzelnen Vorfalls. Sie ist detailliert und breit berichtet, aber es ist ein Fall, und Sysdig rahmt ihn als den ersten, den es dokumentiert hat, nicht als Beweis für einen Trend. Zweitens richtete weiterhin ein Mensch den Agenten aus. Die KI führte den Einbruch durch, aber ein Mensch setzte das Ziel und das Angriffsziel. Das ist Automatisierung eines Angriffs, keine KI, die von sich aus Kriminalität erfindet.
Die ehrliche Einschätzung: JadePuffer ist ein echter Meilenstein, keine Science-Fiction. Ein KI-Agent führte einen vollständigen Ransomware-Angriff durch und korrigierte seine eigenen Fehler in Maschinengeschwindigkeit. Die Verteidigungsmaßnahmen sind jene, die Sie bereits kennen: patchen, Geheimnisse beschränken und alte Lücken ausmustern. Sie zählen nur umso mehr, jetzt wo der Angreifer nie müde wird. Für das umfassendere Risikobild lohnt sich unser Beitrag Ist ChatGPT sicher.
