Evolve on Sundays: Als KI-Agenten die Grenze überschritten

01Sicherheit

1. KI-Cybersicherheitsbewertungen erreichten reale Organisationen

Anthropic überprüfte 141.006 Cybersicherheitsbewertungsdurchläufe und fand drei Vorfälle, in denen Claude-Modelle das Internet erreichten und unbefugten Zugriff auf drei Organisationen erhielten.

Die Schlagzeilen-Version – „KI-Agenten entkamen und griffen echte Unternehmen an“ – ist richtungsweisend alarmierend, aber technisch unvollständig. Anthropics Überprüfung beschreibt drei verschiedene Fehlpfade, drei verschiedene Modellreaktionen und einen gemeinsamen Infrastrukturfehler: Den Modellen wurde ausdrücklich gesagt, dass ihre Capture-the-Flag-Umgebungen keinen Internetzugang hatten, aber ein Missverständnis zwischen Anthropic und seinem Bewertungspartner Irregular ließ einen offenen Live-Pfad bestehen.

Dieser Unterschied ist wichtig. Die Claude-Modelle haben nicht beschlossen, ihre zugewiesene Aufgabe aufzugeben und unbeteiligte Opfer auszuwählen. Sie versuchten weiterhin, eine fiktive Flagge zu erobern, während sie einen falschen Glauben darüber hatten, welche Systeme Teil der Übung waren. Der Schaden war real, aber das Verständnis des Versagens erfordert die Trennung von Ziel, situationsbedingter Interpretation des Modells und den sie umgebenden Kontrollmechanismen.

2. Koordinierte Angriffe haben mehr als 30 Wassersysteme gestört

Minnesota hat die landesweite Reaktion auf Cybervorfälle aktiviert nachdem Angreifer auf die Betriebstechnologie von mehr als 30 kommunalen Wassersystemen abzielten. Gemeldete Maßnahmen umfassten das Ändern von Passwörtern für speicherprogrammierbare Steuerungen, die Modifizierung von Netzwerkeinstellungen, das Trennen von Geräten und das Erzwingen, dass einige Betreiber vorübergehend auf manuelle Bedienung umstellen mussten.

CISA warnte anschließend von zunehmender Aktivität gegen internetexponierte SPS in der Wasser- und Abwasserbranche. Die Behörde forderte die Betreiber auf, die Betriebstechnik vom direkten Internetzugang zu entfernen, VPNs oder sichere Gateways zu verwenden, wenn ein Fernzugriff erforderlich ist, Standardanmeldedaten zu ersetzen und den Zugriff nach Quelladresse einzuschränken.

Das Belichtungsproblem ist größer als ein Staat. In einer Aufnahme vom 30. Juli, Censys identifizierte 4.148 exponierte Rockwell/Allen-Bradley-Hosts, 4.117 Siemens SIMATIC S7-1200-Hosts und 2.072 Schneider Electric-Hosts. Censys betonte, dass dies lediglich Expositionszahlen seien – keine bestätigten Opfer – und dass die Zahl für Schneider Electric unternehmensweit gilt und nicht nur auf SPS beschränkt ist. Nicht dokumentierte Mobilfunkmodems, die von Betreibern, Anbietern oder Integratoren installiert werden, können Wege schaffen, die im normalen Anlagenbestand der Organisation nicht erscheinen.

Warum es wichtig ist: Wasser- und Abwasserumgebungen verwandeln eine digitale Konfigurationsänderung in ein physisches Betriebsproblem. Für die Golfstaaten und den weiteren Nahen Osten, wo Behandlung, Verteilung und Entsalzung grundlegende Dienstleistungen sind, ist die OT-Exponierung ein direktes Resilienzproblem.

Aktion für die kommende Woche: Inventarisieren Sie SPSen, HMIs, Engineering-Arbeitsstationen, Gateways und Mobilfunkmodems; entfernen Sie direkte Expositionen; ersetzen Sie Standardanmeldedaten; überprüfen Sie manuelle Betriebsverfahren; und testen Sie, ob Bediener den Zugriff wiederherstellen können, wenn Gerätepasswörter oder Adressen geändert werden.

3. OWAReaper verwandelte eine bösartige E-Mail in dauerhaften Postfachzugriff

Proofpoint beschrieb eine von staatlicher Seite in Russland unterstützte Kampagne Ausnutzung von CVE-2026-42897 gegen lokale Microsoft Exchange Outlook Web Access. Die Cross-Site-Scripting-Schwachstelle ermöglichte es Angreifern, gesteuertes JavaScript auszuführen, wenn ein Benutzer eine manipulierte E-Mail in OWA öffnete – ohne dass ein Link oder Anhang erforderlich war.

Die resultierende OWAReaper-Backdoor wurde im Lesebereich ausgeführt. Sie konnte Kontoinformationen sammeln, versuchen, Anmeldeinformationen zu stehlen, Outlook-Add-In-Berechtigungen missbrauchen, um OAuth-Token zu erhalten, und serverseitige Ordnerberechtigungen ändern. Diese Berechtigungsänderungen konnten den Zugriff auf das Postfach selbst dann erhalten, nachdem das Passwort des Opfers geändert oder der Endpunkt neu aufgebaut wurde.

Die Angreifer nutzten auch mehrere Kommando- und Kontroll- sowie Exfiltrationspfade, einschließlich GitHub-Commit-Suchen, E-Mail-Nachrichten, HTTPS und einem DNS-Fallback. Das Design zeigt, wie eine Webmail-Komprimierung eine auf das Gerät des Benutzers fokussierte Behebung überleben kann.

Warum es wichtig ist: E-Mail ist nicht nur ein Übertragungskanal. In browserbasierten Unternehmensanwendungen bilden der Nachrichten-Renderer, Postfachberechtigungen, OAuth-Tokens, Add-Ins und Offline-Caches eine Anwendungsplattform mit eigenen Persistenzpfaden.

Aktion für die kommende Woche: die betroffenen lokalen Exchange-Systeme patchen, nach den veröffentlichten Indikatoren suchen, Postfach- und Ordnerberechtigungen überprüfen, Add-Ins mit hohen Berechtigungen und OAuth-Berechtigungen prüfen und Passwortänderung oder Neuinstallation von Endpunkten nicht als vollständige Behebung ansehen.

4. AWS brachte größere npm-Kompromittierungen mit Nordkorea in Verbindung

Amazon führte Kompromisse zurück unter Einbeziehung der beliebten debug-, chalk-, axios- und verwandten npm-Pakete in Verbindung mit der nach Nordkorea verbundenen Sapphire Sleet-Gruppe mit mittlerem Vertrauen.

Die Kampagne basierte darauf, Maintainer durch Social Engineering zu beeinflussen und dann bösartige Releases über vertrauenswürdige Konten zu veröffentlichen. Amazon sagte, die Angreifer hätten Techniken zunächst an kleineren Paketen getestet, bevor sie zu weit verbreiteten Abhängigkeiten übergingen. Das Unternehmen hob auch eine breitere Entwicklung hervor: bösartige Funktionen, die über mehrere Pakete verteilt sind, extern abgerufene Payloads, umgebungsbewusste Ausführung, langfristige Mitwirkenden-Personas und Paketnamen, die ausgewählt wurden, um Fehler auszunutzen, die von KI-Coding-Tools gemacht werden.

Warum es wichtig ist: Paket-Ökosysteme verteilen Vertrauen mit der Geschwindigkeit von Software. Ein Maintainer-Konto kann zu einem Einstiegspunkt in Tausende von Entwicklungs- und Produktionsumgebungen werden, während die Automatisierung ein Update installieren kann, bevor die Verteidiger verstehen, dass sich der Besitz geändert hat.

Aktionen für die kommende Woche: MFA, das gegen Phishing resistent ist, für Maintainer erforderlich machen, Abhängigkeitsaktualisierungen fixieren und verzögern, Herkunft überprüfen, bei Änderungen von Herausgeber und Eigentum alarmieren, Installationsskripte prüfen und verhindern, dass Codierungsagenten neu entdeckte oder erfundene Pakete ohne Genehmigung installieren.

5. Ausgenutzte Management-Plane-Schwachstellen erforderten mehr als routinemäßiges Patchen

Cisco gab die aktive Ausnutzung von CVE-2026-20316 bekannt Im Secure Firewall Management Center. Statische Anmeldeinformationen für ein Konto mit geringen Rechten ermöglichten nicht authentifizierten Fernzugriff auf betroffene Systeme und konnten mit anderen Schwachstellen kombiniert werden, um Rechte zu eskalieren. Cisco veröffentlichte Fixes und Indicators of Compromise, aber keine Umgehungslösung.

Arista hat CVE-2026-16812 separat gepatcht, eine Fehlfunktion mit höchster Schweregrad bei nicht authentifizierten Befehlsinjektionen, die die lokal installierte VeloCloud Orchestrator betrifft. Eine erfolgreiche Ausnutzung könnte den Orchestrator, seine verwalteten Daten und möglicherweise verbundene Edge-Geräte kompromittieren. Gehostete und dedizierte Bereitstellungen wurden vor der öffentlichen Bekanntgabe gepatcht.

Warum es wichtig ist: Managementsysteme stehen über den Geräten, die sie steuern. Ein Kompromittieren eines Firewall-Managers oder SD-WAN-Orchestrators kann Konfigurationen, Anmeldedaten, Zertifikate, Netzwerktopologie und einen Zugang zu vielen nachgelagerten Assets offenlegen. Das Installieren eines Updates entfernt keinen Angreifer, der vor dem Patch eingedrungen ist.

Aktionen für die kommende Woche: Wenden Sie die Korrekturen des Anbieters an, beschränken Sie Verwaltungsoberflächen auf administrative Netzwerke, verwenden Sie die veröffentlichten Indikatoren, überprüfen Sie Konfigurations- und Administratoränderungen, wechseln Sie exponierte Zugangsdaten und Zertifikate und bauen Sie kompromittierte Instanzen wieder auf, wenn die Integrität nicht festgestellt werden kann.

6. Ein gefälschter Teams-Support-Anruf erreichte Ransomware in weniger als 17 Stunden

Sophos dokumentierte eine Kampagne bei dem Angreifer externe Microsoft Teams-Konten nutzten, um IT-Support-Mitarbeiter zu imitieren. Die Ziele wurden dazu gebracht, Microsoft Quick Assist zu öffnen oder Remote-Management-Software zu installieren, woraufhin die Angreifer Persistenz herstellten, zusätzliche Zugriffswerkzeuge einsetzten, seitlich bewegten und in mindestens drei Fällen Chaos-Ransomware einsetzten.

In einem von Sophos dokumentierten Vorfall vergingen weniger als 17 Stunden zwischen dem ersten Zugriff und der Bereitstellung der Ransomware. Die meisten Social-Engineering-Anrufe dauerten nur ein paar Minuten.

Warum es wichtig ist: Mitarbeiter verbinden Kollaborationsplattformen mit Kollegen und genehmigten Geschäftstätigkeiten. Angreifer nutzen dieses geerbte Vertrauen aus und verwenden dann legitime Remote-Support-Tools, die möglicherweise nicht dieselben Kontrollen wie Malware auslösen.

Aktion für die kommende Woche: die externe Teams-Kommunikation einschränken oder kennzeichnen, einen separaten Verifizierungskanal für Support-Anfragen verlangen, Quick Assist und Fernwartungstools kontrollieren, bei unerwarteten Installationen alarmieren und die Eindämmung für identitätsgesteuerte Angriffe, die innerhalb eines Arbeitstages Verschlüsselung erreichen können, proben.

7. Der Cloud-Verstoß von Amgen legte Gesundheits- und proprietäre Informationen offen

Amgen hat offengelegt dass Angreifer Daten aus Cloud-Umgebungen exfiltrierten, die von Drittanbietern betrieben werden. Das Unternehmen erklärte, dass das gestohlene Material proprietäre Informationen, durch den Datenschutz geschützte Patientendaten und andere Daten enthielt. Es wurde noch festgestellt, ob vertrauliche Geschäftsinformationen, geistiges Eigentum, Forschungs- und Entwicklungsmaterial sowie zusätzliche Patientendaten betroffen waren.

Amgen klassifizierte den Vorfall am 29. Juli als wesentlich aufgrund des Umfangs und der potenziellen Sensibilität der Dateien. Bis zum Ende des Abdeckungszeitraums hatte das Unternehmen die Cloud-Anbieter, die Eindringmethode, die betroffene Bevölkerung oder den verantwortlichen Akteur nicht offengelegt.

Warum es wichtig ist: Ausgelagerte Infrastruktur lagert nicht die Verantwortung aus. Sensible Daten, die über mehrere Anbieterumgebungen verteilt sind, können dazu führen, dass Verantwortung für Identität, Protokollierung, Aufbewahrung und Vorfallreaktion zwischen Organisationen aufgeteilt wird – genau dann, wenn Ermittler eine einheitliche Sicht benötigen.

Aktionen für die kommende Woche: Sensible Informationen über SaaS- und Cloud-Anbieter hinweg kartieren, zentrale Identität und phishing-resistente MFA bestätigen, Anbieter-Audit-Protokolle sammeln, vertragliche Benachrichtigungswege testen und überprüfen, dass der Zugriff in allen verbundenen Umgebungen während eines Vorfalls widerrufen werden kann.

02Software & Technik

1. Oracle brachte Gemini in zentrale Unternehmensarbeitsabläufe ein

Oracle hat angekündigt dass Googles Gemini-Modelle über AI Agent Studio für Fusion-Anwendungen verfügbar sein würden und in eingebetteten Szenarien über Fusion Cloud und NetSuite hinweg eingesetzt werden könnten. Organisationen werden in der Lage sein, verschiedene Modelle für ERP, HR, Lieferkette, Finanzen, Kundenerfahrung und andere Arbeitsabläufe auszuwählen.

Warum es wichtig ist: Unternehmens-KI bewegt sich von einem separaten Chat-Fenster hin zu Systemen, die Zahlungen genehmigen, Mitarbeiterdaten ändern, Inventar verwalten und Transaktionen ausführen. Die Modellauswahl wird Teil der Anwendungsarchitektur, während Berechtigungen, Freigaben, Datenbegrenzungen und Prüfprotokolle bestimmen, ob ein Agent sicher handeln kann.

Wochenvoraus-Aktion: Klassifizieren Sie Agentenaktionen nach Konsequenz, verlangen Sie Genehmigung für Transaktionen mit hoher Auswirkung, protokollieren Sie das für jede Entscheidung verwendete Modell und die Richtlinie und machen Sie die Rücknahme zum Teil des Workflow-Designs.

2. Amazon unterstützte formale Verifikation für sicherere Agenten

Amazon verpflichtete sich zu erheblicher langfristiger Unterstützung an die Organisation hinter Lean, einer Open-Source-Programmiersprache und Beweisassistenten, die verwendet wird, um mathematische und Softwareeigenschaften zu überprüfen. AWS verwendet bereits Lean-basierte Verifikation in Diensten einschließlich Bedrock AgentCore.

Formale Methoden können nicht beweisen, dass ein schlecht definiertes Unternehmensziel sinnvoll ist. Sie können beweisen, dass eine definierte Richtlinie oder ein Protokoll bestimmte Eigenschaften erfüllt. Diese Unterscheidung ist wichtig, da Organisationen von Agenten verlangen, unter immer komplexeren Zugriffsregeln zu arbeiten.

Warum es wichtig ist: Konventionelle Tests zeigen das Verhalten in ausgewählten Szenarien. Formale Verifizierung kann stärkere Garantien in Bezug auf definierte Grenzen feststellen, einschließlich der Frage, ob eine Richtliniensprache eine Aktion zulässt, die unmöglich sein sollte.

Wochenvoraus-Aktion: Identifizieren Sie Kontrollmaßnahmen mit hohen Konsequenzen—Autorisierungspolitiken, Isolationsgrenzen, Transaktionsregeln und verteilte Protokolle—bei denen eine mathematische Überprüfung mehr Sicherheit bieten würde als ausschließlich beispielbasiertes Testen.

3. Die Ausgaben für KI begannen, die frühe Cloud-Kosten-Krise zu wiederholen

Forschung, die von Harness diskutiert wurde stellte fest, dass 72 Prozent der Organisationen unerwartete Kostensteigerungen durch KI erlebt hatten, KI 23 Prozent der durchschnittlichen Cloud-Rechnung eines Unternehmens ausmachte und die Befragten schätzten, dass 26 Prozent der KI-Ausgaben verschwendet wurden.

Das Problem ist nicht nur die Modellpreisgestaltung. Lange Argumentationspfade, wiederholte Agentenschleifen, große Kontextfenster, Werkzeugaufrufe, Wiederholungen und die Verwendung von Frontier-Modellen für Routinearbeiten können einen preiswerten Tokenpreis in einen teuren Geschäftsprozess verwandeln. Die Eigentümerschaft ist auch auf Engineering, Finanzen und IT fragmentiert.

Warum es wichtig ist: Ein KI-Feature kann technisch erfolgreich und wirtschaftlich nicht nachhaltig sein. Die Kosten müssen pro abgeschlossenem Ergebnis gemessen werden, nicht nur pro Token oder API-Anfrage.

Aktion für die nächste Woche: Weise einen Verantwortlichen für die KI-Ausgaben zu, messe die Kosten nach Arbeitsablauf, setze Wiederholungs- und Begründungsgrenzen, leite einfachere Aufgaben an kleinere Modelle weiter, speichere wiederverwendbare Ergebnisse zwischen und fordere die Teams auf, den Geschäftswert zu definieren, der eine teurere Ausführung rechtfertigt.

4. Google zog nach einem Tag ein Earth-AI-Feature zurück

Google führte ein und zog dann zurück eine Bildgenerierungsfunktion, die es den Nutzern ermöglichte, generierte Szenen in Google Earth zu platzieren. Sie zog die Funktion einen Tag später zurück, nachdem Nutzer gezeigt hatten, wie Screenshots so erscheinen könnten, als würden an realen geografischen Orten erfundene Ereignisse gezeigt. Google sagte, dass es an stärkeren Schutzmaßnahmen arbeiten werde.

Warum es wichtig ist: Sicherheit darf an der Grenze der Produktoberfläche nicht aufhören. Ein generiertes Bild kann innerhalb einer Anwendung korrekt gekennzeichnet sein und irreführend werden, wenn es zugeschnitten, als Screenshot gespeichert, erneut gepostet oder von seinen Metadaten getrennt wird. Das Risiko ist größer, wenn das Produkt, auf dem es gehostet wird, historisch als vertrauenswürdige Quelle geografischer Beweise behandelt wurde.

Aktion für die kommende Woche: Testen Sie generierte Inhalte außerhalb ihrer ursprünglichen Schnittstelle, sorgen Sie dafür, dass die Herkunft soweit möglich bei Screenshots und Exporten erhalten bleibt, führen Sie Missbrauchsüberprüfungen vor dem Start durch und definieren Sie einen Rückrollpfad für Funktionen, die das Vertrauensmodell des Produkts in ihrem Umfeld untergraben.

5. Die Ergebnisse von Microsoft zeigten, dass Unternehmens-KI über reine Experimente hinausgeht

Microsoft berichtete dass der Azure-Umsatz für das Jahr 100 Milliarden Dollar überschritten hatte und Microsoft 365 Copilot mehr als 30 Millionen kostenpflichtige Plätze erreicht hatte. Azure wuchs im Quartal um 43 Prozent, während das Unternehmen weiterhin stark in KI-Infrastruktur und eigene Modelle investierte.

Warum es wichtig ist: Unternehmens-KI ist nicht länger auf Innovationsteams und kleine Pilotprojekte beschränkt. In diesem Umfang werden Entscheidungen über Modellanbieter, Datenzugang, Kostenverteilung, Mitarbeiterschulung, Resilienz und Exit-Strategie zu gewöhnlichen Aufgaben des Technologiemanagements.

Aktion für die kommende Woche: Behandle KI-Dienste als Produktionsabhängigkeiten. Verfolge die Einführung und die Geschäftsergebnisse separat, dokumentiere die Konzentration der Anbieter, teste Ausweichoptionen und stelle sicher, dass das Wachstum der Lizenzen durch Governance und messbaren Nutzen ausgeglichen wird.