Zum ersten Mal hat ein KI-Agent einen Ransomware-Angriff von Anfang bis Ende ohne menschliche Steuerung durchgeführt. Dokumentiert hat den Fall das Threat Research Team des Cloud-Sicherheitsanbieters Sysdig in einer Analyse von Anfang Juli. Die Forscher tauften den Angriff JADEPUFFER und stufen ihn als ersten belegten Fall „agentischer Ransomware" ein: eine Erpressungsoperation, die durchgängig von einem großen Sprachmodell (LLM) getrieben wurde, nicht von einem Menschen am Keyboard und auch nicht von einem vorgefertigten Skript.
Der initiale Einstieg erfolgte über eine bekannte Schwachstelle: JADEPUFFER kompromittierte eine aus dem Internet erreichbare Langflow-Instanz über CVE-2025-3248, eine Lücke, die Angreifern ohne Authentifizierung die Ausführung beliebigen Codes gestattet. Von dort bewegte sich die KI auf einen Server mit dem Konfigurationsdienst Nacos und einer MySQL-Datenbank weiter, dem eigentlichen Ziel. Aufklärung, Diebstahl von Zugangsdaten, laterale Bewegung, Rechteausweitung, Persistenz und schließlich die Verschlüsselung. Den kompletten Zyklus des Angriffs führte die KI komplett autonom aus. Über 600 unterschiedliche, gezielte Aktionen zählten die Forscher in einer hohen zeitlichen Abfolge.
Für die strategische Bewertung sind weniger die einzelnen Aktionen relevant, von denen keine neu war, als drei Schlußfolgerungen: für die Kostenstruktur dieses Angriffs, das Tempo und die Frage, ob sich betroffene Daten überhaupt recovern lassen.
Angriffe auf Autopilot
Bislang setzte ein Ransomware-Angriff menschliche Vorbereitung und weitere Interventionen voraus. Planungen, Zieldefinition, Credentials und Fehlerkorrekturen. Genau dieser Faktor entfällt beim Beispiel von JADEPUFFER. Das Sprachmodell verkettete Aufklärung, Credential-Diebstahl, Seitwärtsbewegung und Execution, ohne dass der Angreifer in einem einzigen dieser Schritte über tiefes Fachwissen verfügen musste. Die Einstiegshürde für durchdringende Angriffe sinkt damit auf das, was der Betrieb eines Agenten kostet.
Und diese Kosten können gegen null gehen. Läuft der Agent über gestohlene KI-Zugänge, sogenanntes LLMjacking, trägt am Ende ein Dritter die Rechnung für die Rechenleistung. Für Unternehmen verschiebt sich damit die Bedrohungslage erheblich: Nicht mehr die Zahl versierter Angreifer bestimmt das Aufkommen, sondern die Verfügbarkeit ungepatchter, exponierter Infrastruktur. JADEPUFFER setzte genau hier an, bei aus dem Netz erreichbaren Systemen.
Maschinentempo bei der Fehlerkorrektur
Was die Forscher am deutlichsten als Beleg für Autonomie werteten, war das Verhalten des Modells bei Rückschlägen. In einem Fall scheiterte der Versuch, ein Administratorkonto anzulegen. 31 Sekunden später hatte der Agent sein Vorgehen angepasst, die Erzeugung des Zugangs modifiziert und war erfolgreich. Dieses Muster, Fehler zu erkennen, Parameter zu verfeinern und erneut anzusetzen, wiederholte sich über den gesamten Angriff.
Für Verteidiger bedeutet das eine komplexe Verschiebung. Reaktionszeiten, die bislang gegen menschliche Angreifer ausreichten, greifen gegen ein System, das sein Vorgehen im Sekundentakt nachjustiert, nicht mehr. Die klassische Annahme, dass zwischen erstem Zugriff und der Datenverschlüsselung Stunden oder Tage liegen, in denen ein Security-Team ggf. noch eingreifen kann, hält gegen KI-Modelle dieser Kategorie nicht stand.
Bezahlen bringt nichts
Die dritte Konsequenz betrifft die Wiederherstellung. JADEPUFFER verschlüsselte 1.342 Nacos-Konfigurationseinträge und löschte die ursprünglichen Datenbantabellen. Anschließend legte der Agent eine Tabelle mit einer Lösegeldforderung an, inklusive Bitcoin-Adresse und einer Proton-Kontaktadresse. Nur: Der zur Verschlüsselung genutzte Key wurde offenbar ein einziges Mal ausgegeben und weder gespeichert noch an den Angreifer übermittelt. Eine Zahlung hätte die Daten somit nicht zurückgebracht. Aus Sicht des betroffenen Unternehmens war der Vorfall kein Erpressungs-, sondern ein Datenverlustereignis.
An diesem Beispiel zeigt sich zugleich die Unzuverlässigkeit des Modells als operativer Akteur. Die Bitcoin-Adresse in der Lösegeldforderung entsprach einer Beispieladresse aus der Bitcoin-Entwicklerdokumentation, vermutlich ein Artefakt aus den Trainingsdaten. In der internen Protokollierung behauptete das Modell zudem, die gelöschten Daten seien auf einen externes System gesichert worden. Belege für eine solche Sicherung fanden die Forscher nicht. Anders ausgedrückt: Das LLM halluzinierte in diesem Punkt.
Diese Problematik deckt eine anderes Problem auf. Weil das Modell nämlich seine Absichten fortlaufend dokumentiert, liefert es Verteidigern Material zur Erkennung und Aufklärung, das ein menschlicher Akteur nie preisgeben würde. Zugleich mahnt Sysdig, den Informationen nicht zu trauen.
Was Unternehmen und Entscheider mitnehmen sollten
Die Ergebnisse sind bislang nicht unabhängig verifiziert. Dennoch zeigen sie, wohin die Reise vermutlich schon bald geht. Sie fügen sich in ein Bild, wovor Sicherheitsbehörden und das BSI eindringlich warnen. Die Allianz der „Five Eyes“ warnte im Juni, dass KI die Geschwindigkeit, Reichweite und Raffinesse von Cyberangriffen signifikant beschleunige, und dass der Zeithorizont nicht in Jahren, sondern in Monaten zu messen sei.
Für die Priorisierung in Unternehmen verschiebt der Fall wenig an Substanz, viel mehr aber an der Dringlichkeit. Die Angriffskette von JADEPUFFER stützte sich vollständig auf bekannte Lücken: eine ungepatchte, exponierte Anwendung und wiederverwendbare Zugangsdaten. Kein Zero-Day, keine neuartige Technik. Was zählt, sind damit die Grundlagen, die ohnehin auf jeder Agenda stehen sollten: konsequentes Patchen von Systemen, strikte Verwaltung von Zugangsdaten und eine kontinuierliche Überwachung, die auf ungewöhnliche Aktivität und unautorisierte Zugriffe reagiert.
Genau das bestätigt auch Daniel Schönland, CEO des auf kleine und mittlere Unternehmen spezialisierten Cybersicherheitsanbieters Identiqa. „Was dieses Beispiel zeigt: Es ist jetzt höchste Eisenbahn, etwas zu tun. Unternehmen müssen mögliche Szenarien durchspielen und aktiv werden. Jedes Unternehmen braucht zum einen soliden Schutz, der hält, und einen Plan B für den Fall, dass komplexe KI-gestützte Angriffe doch durchdringen."
Schönlands Unternehmen Identiqa bietet mit ProtectionGrid genau diesen Basisschutz und erweiterte Absicherung sowie für ebendiesen Fall, gezielte Rückfallszenarien, die verhindern, dass ein Unternehmen am Ende mit enormen Schaden darsteht. Der Kern dieses Arguments trägt unabhängig vom Anbieter: Ein belastbares Schutzniveau und ein durchgespielter Wiederanlaufplan sind zwei getrennte Komplexe — JADEPUFFER hat gezeigt, warum beides unabdingbar ist.
Der Unterschied ist, dass diese Vorkehrungen nun gegen einen Gegner aufgsetzt werden müssen, der rund um die Uhr, zu geringen Kosten und mit KI-Geschwindigkeit nach genau solchen Schwachstellen sucht. JADEPUFFER ist, wie Sysdig es abschließend formulierte, ein deutliches Warnsignal. Identiqa CEO Schönland drückt es so aus: „Digitaler Fortschritt findet eben auf allen Ebenen statt - bei ehrlichen schaffenden Unternehmen und denen, die mit illegalen Angriffen viel Geld verdienen. Es wird höchste Zeit, dass Unternehmen sich schützen“.