Die dramatische Fassung der Geschichte ist schnell geschrieben: “KI-Agenten griffen eine nukleare Sicherheitsbehörde an.” Die nützliche Fassung ist präziser. Nach Berichten von The Register, taiwanischen Medien und Forschung von Dream soll ein chinesischsprachiger Operator im Juli ein Open-Source-Multi-Agent-Framework gegen taiwanische Regierungsumgebungen eingesetzt und danach Scans auf Lieferanten, eine nukleare Sicherheitsbehörde und Energieunternehmen ausgeweitet haben. Die Lehre ist nicht, dass KI plötzlich eigenständig hackt. Die Lehre ist, dass agentische Automatisierung gewöhnliche Schwächen schneller verkettet, als eine langsame, fragmentierte Verteidigung reagiert.

KI-Agenten erkunden Webportale, während ein Schutzschild kritische Infrastruktur schützt Die Details sind entscheidend. The Register berichtete, Dream habe ein Online-Archiv von etwa 160 MB mit 1.395 Dateien zur Operation gefunden. Die Kampagne soll in den ersten vier Julitagen gelaufen sein, mit bis zu acht Sub-Agents und 12 Angriffswellen. Sie begann bei einem Regierungsportal und führte zu verbundenen Systemen, Konten, API-Endpunkten und Zugangsdaten. Berichtet wurden 85 kompromittierte Regierungskonten und mehr als 2.500 exfiltrierte Personaldatensätze. Dream nannte Taiwan im öffentlichen Bericht nicht direkt; The Register, Financial-Times-Bezüge und taiwanische Quellen identifizierten Taiwan oder verwiesen auf offizielle Bestätigung KI-gestützter Angriffe auf Regierungswebsites.

Dass eine nukleare Sicherheitsbehörde im späteren Scanning auftaucht, ist ernst. Es ist aber kein Beleg für eine Kompromittierung von Operational Technology, Reaktorsteuerung oder physische Auswirkungen. Öffentlich berichtet sind vor allem Webportale, Accounts, APIs, SSO-Objekte, Personaldaten, Lieferanten und energiebezogene Organisationen. Das reicht für Konsequenzen ohne zusätzliche Dramatik.

Was offenbar geschah

Die Kette begann mit Aufklärung eines Regierungsökosystems. Agenten kartierten ein Portal, extrahierten eingebettete URLs, fanden API-Endpunkte, OAuth client IDs und Keycloak-Konfigurationsobjekte und verbanden sie mit 21 verwandten Regierungssystemen. Die Methode ist nicht neu. Neu ist die Verpackung: Mehrere Aufgaben laufen parallel, Ergebnisse werden für den Operator verdichtet, und die nächste Welle startet, bevor ein Mensch jede Seite gelesen hat.

Die gemeldeten Schwächen sind bekannt: nicht authentifizierte APIs, versteckte Endpunkte mit authentifizierten Sessions, offengelegte Benutzerdatenbanken, vorhersehbare Passwortmuster, CAPTCHA-Solving-Behauptungen, SSO-Client-Secrets und interne Datenbankzugänge für MSSQL, Oracle und Sybase. Dafür braucht es keine magische KI. Es braucht Endpoint-Inventar, verpflichtende Authentifizierung, Secret-Rotation, geschlossene Admin-Flächen, Segmentierung und Passwortrichtlinien, die Password Spraying unattraktiv machen.

Der wichtige Punkt ist das Tempo. Die Kampagne soll danach Lieferanten, ein Regierungsmailsystem, eine sensible Behörde und mehr als sieben Energieunternehmen parallel gescannt haben. Selbst wenn Teile davon nur Sondierung waren, ist das Muster relevant: Ein agentischer Workflow, der die Form einer Umgebung verstanden hat, kann sie gegen benachbarte Portale, Anbieter und verbundene Dienste wiederverwenden.

“Nahezu autonom” heißt nicht menschenlos

Der Begriff near-autonomous erzeugt Aufmerksamkeit, sollte aber operativ gelesen werden. Menschen verschwinden nicht. Sie wählen Ziele, Infrastruktur, Werkzeuge und Entscheidungen. Der Unterschied: Sie delegieren viele kleine Entscheidungen. Ein Sub-Agent enumeriert Endpunkte, ein anderer sucht Schwachstellen und GitHub-Bezüge, ein anderer testet Authentifizierung, ein weiterer sammelt Session-Artefakte, und ein anderer dokumentiert, was in die nächste Welle geht.

Das trifft Verteidigungen, die auf menschliches Untersuchungstempo ausgelegt sind. Ein kleines Team sieht API-Enumeration, Password Spraying und Lieferanten-Scans möglicherweise als getrennte Ereignisse in getrennten Queues. Eine Agentenkampagne erzeugt sie gleichzeitig und wiederholt. Sie senkt außerdem die Kosten vieler kleiner Hypothesen: Braucht dieser Endpunkt Authentifizierung? Legt dieses Keycloak-Objekt einen Client offen? Funktioniert dieses Passwortmuster? Teilt der Lieferant dieselbe Namenskonvention?

Alte Fehler werden teurer

Die nützliche Lektion lautet: KI-gestützte Angriffe bestrafen zuerst langweilige Lücken. Gibt eine offene API eine Benutzertabelle zurück, muss der Agent nicht brillant sein. Zeigt ein Portal OAuth client IDs, kann ein Modell sie klassifizieren, aber die Exposition ist schon da. Liegen Datenbankzugänge in einem erreichbaren Export, ist Secret Management das Problem. Nutzen Servicekonten vorhersehbare Passwörter, macht Automatisierung den Spray nur breiter.

Die erste Reaktion sollte daher keine “Anti-KI-Angriffsplattform” sein. Sie sollte ein Kontrollreview sein. Verlangen alle öffentlichen und halböffentlichen APIs die vorgesehene Authentifizierung? Gibt es ein Inventar aller Routen und Owner? Werden SSO-Secrets rotiert? Gelten Keycloak- und OAuth-Objekte als sensible Konfiguration? Kann das SOC vier Tage API-Erkundung über Web-, WAF-, Identity- und Datenbanklogs rekonstruieren?

Fragmentierte Verantwortung verschärft das Risiko. Portal, SSO, API-Gateway, Lieferantenzugriff und Detection Engineering liegen oft bei verschiedenen Teams. Agentische Angriffe nutzen diese Nähte. Sie müssen nicht genial sein, wenn die Organisation nicht schnell weiß, welche Systeme verbunden sind und welche Credentials widerrufen werden müssen.

Erkennung und Gegenmaßnahmen

Detection sollte Verhalten betrachten, nicht das Wort KI. Suchen Sie nach schneller Endpunkt-Erkennung, wiederholten 404/403-Mustern mit später erfolgreichen authentifizierten Requests, ungewöhnlichem Zugriff auf OAuth- oder Keycloak-Routen, Password-Spray-Wellen, CAPTCHA-Anomalien, großen JSON-Exports und Tool-Clustern, die nach der ersten Umgebung verwandte Anbieter treffen. Korrelieren Sie Weblogs mit Identity-Provider-Events, WAF-Entscheidungen, API-Gateway-Telemetrie und Datenbankzugriffen.

Ein einzelner Scan ist Internetrauschen. Wenige Loginfehler sind nicht automatisch Angriff. Ernst wird das Muster, wenn Enumeration, Credential-Versuche, Session Discovery und Datenexport zusammenkommen, besonders über verbundene Systeme. Agentische Workflows erzeugen genau dieses Cluster, weil jede Teilaufgabe die nächste füttert.

Die ruhige Checkliste ist klar: exponierte APIs inventarisieren; versteckte Endpunkte authentifizieren; SSO-Secrets rotieren; OAuth-Clients begrenzen; Datenbankzugänge aus Webexports entfernen; API-Enumeration begrenzen; öffentliche Portale, Admin, Staging und Lieferanten trennen; testen, ob vier Tage Aktivität rekonstruierbar sind. Bei Energie und kritischer Infrastruktur trennt Segmentierung zwischen IT und Operational Technology einen Webvorfall von einem Sicherheitsvorfall.

Warum Worte zählen

“Nur Automatisierung” verkennt den Taktwechsel: Ein Werkzeug, das Aufklärung koordiniert, Schwachstellen nachschlägt, Annahmen testet und die nächste Zielliste baut, verkürzt die Zeit zwischen Fund und Ausnutzung. Panik ist ebenso falsch. Öffentliche Fakten belegen nicht, dass KI kritische Infrastruktur kontrolliert hat.

Die praktische Antwort ist bewusst unspektakulär: Endpunkte kennen, Identitätsobjekte schützen, Secrets rotieren, Password Spraying bremsen, kritische Systeme segmentieren, Lieferantenpfade überwachen und Logs verbindbar machen. Sind diese Kontrollen schwach, nutzt agentische Automatisierung die Schwäche schneller. Sind sie stark, produziert sie mehr Fehlversuche, bessere Alarme und weniger Wirkung.

Quellen

Dream-Forschung zu einem Multi-Agent-Framework gegen Regierungsstellen in Asien; The Register vom 12. August 2026; Taipei Times, Focus Taiwan und Guardian zu taiwanischen Angaben; Hacker News item 49281266; Verweise auf Financial Times; defensive Leitlinien zu API-Authentifizierung, SSO-Secrets, WAF/API-Gateway und MITRE ATT&CK.