Die Exploit-Fabriken: Ihre Firewall ist zur Frontlinie geworden

Bevor der Bericht ins Detail geht, räumt er ausdrücklich mit einer verbreiteten Annahme auf: „Viele Kommentatoren konzentrieren sich auf das Risiko, dass KI Exploits in großem Maßstab produziert. Das ist eine reale Gefahr, aber das Risiko durch die Einführung von KI ist über die gesamte Angriffskette hinweg ausgeprägter, wo Gegner schneller, auf einer breiteren und tieferen Fläche und mit weniger Mitteln vorgehen können.“ Behalten Sie diesen Satz bis zum Ende des Artikels im Kopf: Das folgende Kapitel beschreibt eine spektakuläre Exploit-Fabrik, und genau das macht sie irreführend.

Was der Bericht eine Exploit-Fabrik nennt #

Früher stießen offensive Operationen an zwei Obergrenzen: die Verfügbarkeit funktionierender Exploits und die Verfügbarkeit von Operatoren, die sie einsetzen können. Eine Exploit-Fabrik ist eine Einrichtung, die die erste Grenze sprengt. Anthropic hat mehrere Akteure identifiziert, die autonome Arbeitsketten aufgebaut haben, um Schwachstellenforschung agentenbasiert und kontinuierlich zu betreiben. Der Befund ist nüchtern: In mehreren Fällen hat KI das Tempo von Forschung, Tests und Exploit-Entwicklung deutlich beschleunigt.

Wer die Fabrik betrieb #

Die Operation trägt die Kennung GTG-10007. Die chinesischsprachigen Operatoren lebten wahrscheinlich in Changsha in der Provinz Hunan. Zwei von ihnen wurden als Bachelorstudenten an einer Fakultät für Informatik und Kommunikation einer Universität der Provinz identifiziert. Einer hatte ein Praktikum bei einem chinesischen Sicherheitsanbieter gemacht und führte Vorstellungsgespräche bei einem anderen für eine Stelle im Bereich offensive Cybersicherheit. Dieses Detail ist nicht nebensächlich: Es zeigt genau, welches Niveau 2026 nötig ist, um eine solche Kette zu betreiben.

Der Bericht zieht aus solchen Fällen übrigens einen Schluss, der die Arbeit der Analysten erschwert: Raffinesse ist kein verlässliches Signal mehr für die Identität dessen, der die Operation führt. Eine technisch makellose Abfolge sagt nicht mehr, ob Sie einem staatlichen Dienst oder zwei motivierten Studenten gegenüberstehen. Für ein KMU ist die Folge einfach: Es bringt nichts mehr, sich zu fragen, „wer uns angreifen würde“.

Der Bericht beschreibt die KI als Engineering- und Orchestrierungsschicht des gesamten Programms. Fünf Baustellen liefen parallel, mit gemeinsamen Werkzeugen und gemeinsamer Infrastruktur:

• die eigentlichen Einbrüche in Produktivsysteme;
• die Aufklärung ausländischer Regierungsnetze im Nahen Osten, in Europa und in Südostasien;
• das Reverse Engineering von Sicherheitsprodukten auf der Suche nach neuen Schwachstellen;
• die Entwicklung und das Testen eigens entwickelter Schadsoftware;
• der Aufbau und die Pflege einer Plattform zur Sammlung nachrichtendienstlicher Informationen.

Der Umfang der Zielauswahl und drei konkrete Opfer #

Das Team nahm rund fünfzig Organisationen ins Visier: Bildung, Handel, Energie, Technologie, Gesundheit, Finanzen, Industrie sowie mehrere Regierungsbehörden weltweit. Drei Ergebnisse werden im Einzelnen beschrieben, und keines davon ist ein Verteidigungsministerium:

• ein kompromittiertes Unternehmen für Online-Bildung, aus dessen Cloud-Speicher Hunderte Megabyte personenbezogener Daten von Schülern abgezogen wurden;
• ein Handelsunternehmen, in dessen Produktivsysteme die Angreifer vordrangen, mit Zugriff auf interne Rechner und dem Nachweis, die Umgebung live verändern zu können, also Preise, Bestände oder Abläufe zu ändern;
• eine Regierungsbehörde in Südostasien, aus der Bürgerdateien abgezogen wurden: Namen, Telefonnummern, Wohnadressen.

Die Firmware-Schleife, Schritt für Schritt #

Hier die Kette, wie der Bericht sie beschreibt: so, wie sie ohne menschliches Eingreifen lief.

1. Beschaffung. Die Firmware-Images des Herstellers werden abgerufen, mit einem eigens dafür geschriebenen spezialisierten Skill entschlüsselt und dann zu nutzbaren Dateisystemen entpackt. Das ist der Schritt, den die Hersteller für schützend halten: Er fällt als erster.
2. Kartierung. Ein Agent lädt die Binärdateien über einen Werkzeugserver in einen Decompiler, verschafft sich einen Überblick über das Image und arbeitet dann die Ketten von Dekompilierungen und Querverweisen durch. Der Bericht spricht von Tausenden Dekompilierungsaufrufen, wobei aufeinanderfolgende Sequenzen den Aufrufstrom dominieren: Die Maschine liest das Produkt Zeile für Zeile, ohne zu ermüden.
3. Hypothesen. Der Agent stellt Hypothesen über Schwachstellen auf, gestützt auf eine Wissensbasis, die er im Laufe der Zeit erweitert, und auf frühere Recherchen zu Proofs of Concept. Parallele Agenten suchen Komponente für Komponente nach verwundbaren Mustern, mit zwei ständigen Vorgaben: Belege verlangen und das Projektgedächtnis nutzen.
4. Schreiben. Die Kette lässt den Exploit-Code gegen die ausgewählten Hypothesen schreiben.
5. Test. Der Code wird gegen Laborkopien des Zielprodukts ausprobiert. Das ist der Baustein, der alles ändert: Ohne Prüfstand bleibt ein Exploit Theorie.
6. Iteration. Der Code wird in einer Schleife korrigiert und erneut getestet, bis er funktioniert.
7. Bevorratung. Der funktionierende Exploit wandert in das private Portfolio des Operators: ein Bestand, der nur so schnell veraltet, wie Patches veröffentlicht werden.

Der angegebene Ertrag: „Ein Arbeitsablauf, der laufend über Netzwerkgeräte iterierte, brachte mehr als ein Dutzend mögliche Zero-Day-Funde in einem einzigen Monat hervor.“ Parallel richtete sich ein anhaltender Forschungsaufwand auf ein bedeutendes Sicherheitsprodukt, aus der Klasse von Software, die genau dafür eingesetzt wird, Einbrüche zu erkennen. Er brachte mehrere bis dahin unbekannte Schwachstellen hervor, die der Akteur in seinem eigenen Labor validierte, und derselbe Aufwand lieferte funktionierende Exploits gegen mehrere Familien von Netzwerk- und Sicherheitsgeräten. In einem getrennten Strang wurden genau diese Geräte bei echten Regierungskunden weltweit angegriffen.

Was das für Sie ändert: Der Bestand an unbekannten Lücken in Geräten am Netzrand hängt nicht mehr von der Zahl verfügbarer Forscher ab. Er hängt von dem Rechenbudget ab, das ein Akteur dafür aufwenden will. Konkret wird der Abstand zwischen zwei Sicherheitshinweisen Ihres Herstellers kürzer werden, und das Fenster zwischen der Veröffentlichung eines Patches und seiner Ausnutzung ebenfalls. Eine Organisation, die ihre Sicherheitsupdates „im nächsten Quartal“ einspielt, geht kein kleines zusätzliches Risiko mehr ein: Sie stellt sich strukturell auf die falsche Seite dieses Wettlaufs.

Die Schleife zur Aufklärung der Angriffsfläche #

Eine zweite Kette lief ununterbrochen, ohne Bezug zur ersten. Ihr Eingang: Scan-Bereiche, abgeleitet aus Zielbranchen. Ihr Motor: ein Suchdienst für offen erreichbare Systeme, abgefragt über einen eigenen Werkzeugserver, ergänzt durch Sonden, die den Fingerabdruck der Ergebnisse nehmen. Ihr Ausgang: eine Karte der exponierten Fläche, deren Einstiegspunkte gegen bereits bekannte Schwachstellen eingestuft werden. Und jeder Durchlauf speist ein dauerhaftes Projektgedächtnis, das die Zielliste für die nächste Runde erweitert. Das Framework wurde gegen mehrere ausländische Regierungs- und diplomatische Behörden eingesetzt und gegen mehr als ein Dutzend chinesische Unternehmen.

Was das ändert: Die Frage lautet nicht mehr „bin ich interessant?“, sondern „bin ich erfasst?“. Eine Suchmaschine für offen erreichbare Systeme sieht Ihre öffentliche Adresse, Ihr Dienstbanner und Ihre Versionsnummer. Die Einstufung gegen bekannte Lücken ist automatisch, und sie ist kostenlos.

Die Flotte aus dreizehn Sammel-Agenten #

Dritte Kette: dreizehn dauerhafte Sammel-Agenten, ausgelöst von einer geplanten Aufgabe, die Inhalte auf Zielwebsites finden und herunterladen sollten, darunter öffentliche Websites des US-Militärs und der US-Regierung, etwa Ausschreibungen, und Profile in sozialen Netzwerken. Die Mittel: mehrschichtige Crawler, Techniken zur Umgehung von Bot-Schutz und Ausgänge über kommerzielle Proxys. Eine angrenzende Pipeline fasste die abgerufenen Inhalte zusammen und bewertete sie im Format einer nachrichtendienstlichen Notiz, bevor sie an ein Verteilungsportal geliefert wurden. Der Bericht hebt den entscheidenden Punkt hervor: Diese Flotte lief nach einem festen Zeitplan, ohne Menschen in der Schleife.

Die an diese Flotte angebundene Sammelplattform erntete massenhaft und unbeaufsichtigt Material aus offenen Quellen, ausgerichtet auf staatliche nachrichtendienstliche Prioritäten: Militärdoktrin und öffentlich zugängliche amtliche Veröffentlichungen, regionale Fachpresse zur Verteidigung, Quellen zur öffentlichen Politik. Nichts Illegales am Rohmaterial, alles ist öffentlich. Neu ist die Industrialisierung einer Beobachtungsarbeit, die früher ganze Teams beschäftigte, und ihre automatische Umwandlung in verwertbare Notizen.

Das dauerhafte Kampagnengedächtnis #

Das Bindemittel des Ganzen ist weniger spektakulär und wichtiger als alles andere. Ziellisten, abgegriffene Zugangsdaten, Stand jedes Einsatzes, dauerhafte Anweisungen: Alles wurde zwischen den Arbeitssitzungen aufbewahrt. Jede Wiederaufnahme setzte also mitten in der Kampagne an, mit dem angesammelten Kontext, und die Fähigkeiten zur Sammlung und Schwachstellenforschung liefen weiter, wenn ihre Eigentümer abwesend waren. Eine offensive Operation ist dann keine Folge einzelner Anstrengungen mehr, sondern ein Prozess, mit Zustand, Warteschlange und Wiederaufnahme nach einer Störung.

Die Agentenschwärme #

Der Bericht verwendet den Ausdruck „Agentenschwärme“: Ein Hauptagent zerlegt die Arbeit für Aufklärung und Post-Exploitation und verteilt sie dann an viele Unteragenten, die parallel laufen. Das ist der Unterschied zwischen einem Handwerker und einem Fließband. Ein Operator verfolgt nicht mehr eine Spur nach der anderen, sondern dreißig, und liest nur noch die Ergebnisse.

War ein Einbruch erfolgreich, listete der Assistent die Rechner auf, weitete seine Rechte durch wiederverwendete Zugangsdaten und über offen erreichbare Administrationsschnittstellen aus, sammelte Zugangsdaten und Datenspeicher ein, schickte das Material an die Infrastruktur des Operators und machte dann mit dem gerade Erbeuteten beim nächsten Rechner weiter. Ein Detail, das viel über die Vorsicht des Teams sagt: Trotz weltweiter Zielauswahl in den automatisierten Ketten konzentrierten sich die von Hand geführten Einbrüche ausschließlich auf chinesische Opfer.

Was das konkret für Ihre Verteidigung ändert: Die beiden Hebel, die einen Agentenschwarm bremsen, sind die, die die seitliche Ausbreitung unterbrechen. Erstens Zugangsdaten, die nur an einer Stelle gelten: kein identisches lokales Administratorpasswort auf dreißig Rechnern, kein Dienstkonto, das zwischen zwei Anwendungen wiederverwendet wird. Zweitens Administrationsschnittstellen, die nicht von jedem beliebigen Rechner im Netz antworten. Ein Agent, der auflistet, Rechte ausweitet und weiterspringt, lebt genau von diesen beiden Bequemlichkeiten.

Die Warnung, die man nicht übersehen darf #

Zurück zum Satz vom Anfang. Das Risiko konzentriert sich nicht auf die Produktion von Exploits: Es verteilt sich über die gesamte Angriffskette. Aufklärung, Werkzeugentwicklung, Datenauswertung, Ausnutzung: Jedes Glied wurde durch KI gestärkt, und die Summe macht den Unterschied. Der Bericht fügt zwei Nuancen hinzu, die es verdienen, zitiert zu werden. Erstens behalten die Menschen die Entscheidungen, die ihnen wichtig sind: Wahl der Ziele, Monetarisierung der Ergebnisse, Prüfung. Zweitens sind Autonomie und Schwere zwei getrennte Achsen: Mehrere der schwerwiegendsten Kompromittierungen im Bericht stammen aus Operationen, bei denen ein Mensch jeden Schritt lenkte.

Der Schluss ist ökonomisch, und er sollte eine Geschäftsführung überzeugen. Autonomie drückt die Kosten einer Kampagne (weniger nötige Fähigkeiten, weniger Arbeit pro Opfer), ohne den möglichen Ertrag zu ändern. Diese Verschiebung macht bisher randständige Ziele lohnend und begünstigt Operationen mit mehr Volumen und weniger Sorgfalt.

Übersetzt für ein KMU: Der Netzrand sind Sie #

Ein KMU wird nicht wegen seiner Geheimnisse ins Visier genommen. Es wird ins Visier genommen, weil seine Firewall, sein VPN-Konzentrator, sein NAS, sein Mail-Gateway, sein Multifunktionsdrucker oder seine IP-Kamera aus dem Internet erreichbar und einer Suchmaschine für offen erreichbare Systeme bekannt sind. Die Überwachung der Geräte am Netzrand, die sehr schnell nach Veröffentlichung einer Lücke ausgenutzt werden, war schon der Schwerpunkt der ANSSI in ihrem letzten Lagebild; dieses Kapitel erklärt, woher der Bestand an Lücken kommt und warum die Zeit der ruhigen Lücken zu Ende geht.

1. Inventarisieren, was offen erreichbar ist. Nicht das, was Sie zu exponieren glauben, sondern das, was tatsächlich antwortet. Ein externer Scan aus dem Internet, einmal im Quartal, über alle Ihre öffentlichen Adressen. Bei der Hälfte der Funde wird es sich um Dinge handeln, von denen niemand wusste, dass sie eingeschaltet sind.
2. Alles aus dem Internet nehmen, was dort nichts verloren hat. Administrationsoberflächen, RDP, Datenbanken, Überwachungs-Dashboards: hinter ein VPN oder einen Bastion-Host, nie direkt erreichbar. Das ist die Maßnahme, die das meiste Risiko für das wenigste Geld beseitigt.
3. Über Sicherheitsupdates in Tagen entscheiden, nicht in Monaten. Bei einem Gerät am Netzrand mit einer Lücke zur Codeausführung ohne Authentifizierung wird das Fenster in Stunden gemessen. Unsere Antwort ist ein Werkzeug, das den Stand der IT-Umgebung zeigt und die Entscheidung einem Menschen überlässt, ergänzt durch eine tägliche CVE-Überwachung.
4. Das Ende des Supports wie eine Störung behandeln. Ein Gerät, das keine Patches mehr erhält, ist nicht „etwas alt“: Es ist dauerhaft verwundbar für alles, was noch kommt, und die hier beschriebene Fabrik arbeitet, ohne sich um sein Alter zu kümmern. Es wird ersetzt oder verlässt das Netz.
5. Die Hinweise der Hersteller Ihrer Geräte abonnieren und in weniger als einer Stunde wissen, ob Sie betroffen sind. Das setzt voraus, dass Sie wissen, welche Modelle und Versionen Sie betreiben, daher Punkt 1.
6. Segmentieren. NAS, Kameras und Torsteuerung gehören nicht ins selbe Netz wie die Buchhaltung. Eine Kompromittierung am Netzrand muss eine Kompromittierung am Netzrand bleiben. Wir haben eine Falle bei der Firewall-Konfiguration beschrieben, die zeigt, warum man Segmentierung überprüfen muss, statt sie anzunehmen.
7. Protokollieren und hinsehen. Ein Gerät am Netzrand, das seine Protokolle nirgendwohin schickt, wird Ihnen am Tag seiner Übernahme nichts verraten. Die zentrale Sammlung ist das, was aus einer Ahnung einen Befund macht.
8. Sich nicht auf Verschleierung verlassen. Einen Port ändern, ein Banner verbergen, offensichtliche Namen vermeiden: Das hält einen neugierigen Menschen zehn Minuten auf und einen Agenten null Sekunden.

Morgen ein Themenwechsel: das Kapitel über illegale Destillation und warum das, was Sie in einen billigen KI-Assistenten tippen, nicht dort bleibt, wo Sie denken.

Quellen #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10. September 2026): Kapitel Cyber operations, Abschnitt GTG-10007 Exploit foundries and autonomous attack frameworks, Seiten 24 bis 27.
• Anthropic, derselbe Bericht: Einleitung des Kapitels Cyber operations und Abschnitt AI's increasingly autonomous role in cyber operations, für die Verteilung des Risikos über die Angriffskette und die ökonomische Analyse der Autonomie.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025 (Lagebild der Cyberbedrohung 2025): zur schnellen Ausnutzung von Geräten am Netzrand.
• Verwandte Artikel: Selbstaudit nach ANSSI, Patch-Management, CVE-Überwachung, das Ende der ruhigen Lücken.