Autonomer KI-Agent kompromittiert das Netzwerk von DIVD

Ein autonomer Agent im Netzwerk von DIVD

Am 29. September 2026 hat BleepingComputer^[1] die Rekonstruktion eines Einbruchs veröffentlicht, die das Maß für agentisches Risiko verschiebt. Das Dutch Institute for Vulnerability Disclosure wurde Opfer einer Intrusion, die ein KI-Agent in voller Autonomie vorangetrieben hat.

Die niederländische Organisation beschreibt den Angriff mit eigenen Worten, «loud and very very messy», laut und sehr unordentlich. Sieben Jahre ruhiger Arbeit enden hier.

DIVD versammelt freiwillige Forscher, durchkämmt das Netz nach Systemen mit bekannten Lücken, warnt die Betreiber und weist den Weg zur Schadensbegrenzung. Das Opfer betreibt diesmal selbst das Geschäft, andere Opfer zu warnen. Der Fall verdient Aufmerksamkeit aus einem präzisen Grund: Der Lärm des Agenten macht eine Kette lesbar, die bei besserer Steuerung stumm bliebe.

Der Einstieg bleibt menschlich und klassisch

Die erste Phase trägt die immer gleiche Signatur. Der Angreifer hat eine «technische Schwachstelle» in einem System ausgenutzt, das DIVD unter Verschluss hält. In einem Punkt war die Organisation ausdrücklich: Das betroffene Produkt ist nicht Citrix NetScaler.

Von dort an übernimmt der Agent die Arbeit und führt die Post-Exploitation-Phase aus.

Eine offizielle CVE fehlt. Produkt, Version und Patch-Status bleiben außerhalb der Mitteilung, und dieses Desk verzeichnet die Lücke, statt sie mit Vermutungen zu füllen.

BleepingComputer hat DIVD genau nach dem Typ der Lücke und ihrem Aktualisierungsstand gefragt: Zum Zeitpunkt der Veröffentlichung fehlte die Antwort. Die erste öffentliche Erwähnung des Falls erscheint am 25. September 2026 auf DataBreaches.Net^[2], die auf die laufende Untersuchung eines als agentic AI-powered bezeichneten Angriffs hinweist.

Wie man einen Agenten bei der Arbeit erkennt

Die Signatur automatischen Verhaltens liegt im Rhythmus.

«Wir sahen den Agenten automatisch arbeiten, weil er nach jeder Aktion den nächsten Schritt entschied, mit Lichtgeschwindigkeit und mit schlampiger Logik», berichtet DIVD. Die Entscheidung Schritt für Schritt, im Blindflug, erzeugt eine dichte und repetitive Spur. Ein menschlicher Operator überspringt die nutzlosen Versuche, ein Agent geht sie alle durch.

Der zweite Hinweis wiegt noch schwerer: Der Agent erläuterte die eigenen Aktionen in Kommentaren, und zwar reichlich. Wer untersucht, findet ein Tagebuch vor, das der Angreifer selbst geschrieben hat.

Password Spraying gegen Adversary-in-the-Middle

DIVD spricht von «some pretty dumb things». Der lehrreichste Fall betrifft eine interne Kollision: Der Agent hat den eigenen Adversary-in-the-Middle-Angriff mit einer Password-Spraying-Kampagne gestört.

Das Abfangen einer authentifizierten Sitzung lebt von Stille. Der massenhafte Passwortversuch löst Kontosperren, Warnmeldungen und Fehlerzähler aus und verbrennt damit die Bedingung, die das Abfangen nützlich macht. Zwei korrekte Techniken heben sich gegenseitig auf, wenn sie nebeneinander laufen.

DIVD hält den Agenten für schlecht trainiert und schlecht konfiguriert für eine Arbeit dieser Art und ist für diesen Fehler dankbar, wegen des Materials, das auf dem Feld liegen blieb.

Was dem Angreifer fehlte

Die Schwere lässt sich auch an der kurzen Liste der Zutaten messen. Dieser Einbruch gelang mit null Prompt Injection, null kompromittiertem MCP-Server, null vergifteter Lieferkette, null neuartigem Exploit gegen ein agentisches Framework.

Der Agent ist hier ein Post-Exploitation-Werkzeug, wie ein Implant oder ein Command-Framework. Der technologische Sprung betrifft die Hände, und die Eingangstür bleibt jene, die wir seit zwanzig Jahren patchen. Wer den agentischen Angriff als zukünftiges Ereignis erwartet, schaut in die falsche Richtung: Der neue Teil kommt nach dem Zugang.

Die eingeschalteten Behörden zeigen das Gewicht: Polizei, Autoriteit Persoonsgegevens und das nationale Cybersicherheitszentrum der Niederlande.

Das Ziel enthielt die Lücken anderer

Die Wahl des Opfers fügt eine Ebene hinzu. DIVD führt Aufzeichnungen über verwundbare Systeme Dritter, um sie zu warnen: Ein Archiv dieser Art ist für Angreifer viel wert.

Die Organisation kündigt an, die anderen möglichen Opfer derselben Schwachstelle zu benachrichtigen, sobald es gelingt. Dieser Satz trägt zwei Informationen: Die Lücke betrifft mehr als ein Unternehmen, und DIVD kennt die Liste bereits. Wer ein exponiertes System desselben Typs betreibt, hat wenige Tage Vorsprung, um die Tür zu schließen.

Zweck und Auswirkung des Einbruchs bleiben derzeit auch für die Ermittler wenig klar.

Der Lärm ist ein vorübergehender Defekt

Eine naheliegende Antwort auf diesen Fall klingt so: Ein schlampiger Agent ist weniger wert als ein fähiger Operator, also sinkt die Bedrohung. Die wirtschaftliche Rechnung kippt die Schlussfolgerung.

Ein fähiger Operator kostet, schläft und arbeitet an einem Ziel zur Zeit. Ein mittelmäßiger Agent läuft parallel über tausend Ziele und bezahlt den Lärm mit einer reichlich vorhandenen Ressource. Der Ertrag pro Versuch sinkt, die Zahl der Versuche steigt, und das Produkt aus beiden wächst.

Der Lärm hängt zudem von der Konfiguration ab, und eine Konfiguration korrigiert man an einem Nachmittag. Die nächste Version derselben Kette wird den Ermittlern viel weniger zu erzählen haben.

Drei Fragen und die Entscheidungen des nächsten Zyklus

Der operative Wert dieses Vorfalls liegt in drei Prüfungen, abzuschließen innerhalb des laufenden Zyklus.

1. Welches exponierte System trägt eine bekannte Lücke und einen Patch, der noch in der Warteschlange steht? Der Einstieg bleibt dort.
2. Unterscheiden die Logs die Taktung eines Menschen von der einer Maschine? Nötig sind Zeitstempel auf die Millisekunde und Alarme auf die Frequenz der Aktionen.
3. Wie lange lebt eine kompromittierte Identität bis zum Entzug? Diese Zeit bestimmt den Schaden.

Die dritte Frage berührt die Position, die dieses Desk seit Monaten verteidigt: Die Identität des Agenten ist die Steuerungsebene von 2026. Eigene Credentials, namentliche Logs und schneller Entzug verwandeln einen Einbruch von einer archäologischen Untersuchung in eine Eindämmung. Was außerhalb des Registers bleibt, bleibt außerhalb der Steuerung.

Für einen CTO ist die Konsequenz direkt: Der Erkennungsplan gehört neu justiert, auf die Geschwindigkeit und nicht nur auf die Inhalte. Die Engineering-Leitung gewinnt ein Auswahlkriterium zwischen Monitoring-Werkzeugen, und wer Incident-Response-Dienste einkauft, hat ein neues Thema für die nächste Verlängerung.

Das Einkaufsgremium braucht eine Frage mehr in den Fragebögen an die Lieferanten: Welche Telemetrie erzeugen ihre Agenten, und wer bewahrt sie auf. Das System, das ein Agent erreicht, ist das System, das ein Agent kompromittiert. Dieser Satz gilt für die Agenten des Angreifers und für die eigenen.

Eine falsifizierbare Prognose zum Schluss. Bis zum 31. März 2027 wird ein öffentliches Advisory von CISA oder einem führenden Sicherheitsanbieter die Post-Exploitation-Phase eines Vorfalls einem autonomen Agenten zuschreiben. Das Opfer wird einen Namen haben, und die Anfangsphase wird weiterhin die Ausnutzung einer bekannten Lücke sein.

DIVD kündigt ein detailliertes Update für den 1. Oktober 2026 an, und dieser Text wird zeigen, wie wiederholbar die Kette war.