Kurzfassung
Unit 42 hat einen mutmasslich aus der chinesischen Stadt Zhuhai operierenden, unter den Aliassen «knaithe» und «KnYuan» bekannten Angreifer identifiziert, der das KI-Modell DeepSeek über das offene Agenten-Framework «Hermes» als weitgehend autonomen Angriffsoperator einsetzte.
- Unit 42 hat einen mutmasslich aus der chinesischen Stadt Zhuhai operierenden, unter den Aliassen «knaithe» und «KnYuan» bekannten Angreifer identifiziert, der das KI-Modell DeepSeek über das offene Agenten-Framework «Hermes» als weitgehend autonomen Angriffsoperator einsetzte.
- Nach einem einzigen über Telegram erteilten Startbefehl übernahm die Kombination aus Hermes und DeepSeek eigenständig Zielsuche über Suchmaschinen wie FOFA, Schwachstellenbewertung, die Beschaffung passender Exploits von GitHub sowie die Anpassung der Angriffslogik – ohne weiteres menschliches Eingreifen, wie eine von Unit 42 rekonstruierte Sitzung vom Mai 2026 zeigt.
- Von rund 460 angegriffenen, öffentlich zugänglichen Systemen – betroffen waren unter anderem Citrix NetScaler, Apache Tomcat und Windows-IKE-VPN-Dienste – gelangen drei erfolgreiche Kompromittierungen, darunter der Abfluss von Arbeitsspeicherdaten aus Citrix-NetScaler-Systemen und ein mutmasslicher Session-Hijacking-Versuch gegen eine malaysische Regierungsstelle; entdeckt wurde die Kampagne, nachdem das Agenten-Framework versehentlich einen Webserver mit offenliegenden Angriffsprotokollen und Zugangsdaten des Angreifers erstellte.
Was ist passiert?
Sicherheitsforschende von Palo Alto Networks' Unit 42 haben eine Kampagne aufgedeckt, bei der ein mutmasslich aus der chinesischen Stadt Zhuhai operierender Angreifer unter den Aliassen «knaithe» und «KnYuan» das KI-Modell DeepSeek über das offene Agenten-Framework «Hermes» als weitgehend autonomen Angriffsoperator einsetzte. Hermes stellte dabei Terminalzugriff, Werkzeug-Orchestrierung und Anbindungen über das Model Context Protocol (MCP) bereit, während DeepSeek eigenständig Suchanfragen an die Suchmaschine FOFA formulierte, passende Schwachstellen (CVEs) bewertete, Exploit-Code von GitHub beschaffte und die Angriffslogik an das jeweilige Ziel anpasste.
In einer von Unit 42 rekonstruierten Sitzung vom Mai 2026 genügte ein einziger, über Telegram erteilter Startbefehl – danach fand sich keine weitere menschliche Eingabe mehr. Über rund 460 öffentlich erreichbare Zielsysteme hinweg – betroffen waren unter anderem Citrix NetScaler, Apache Tomcat, Marimo Notebook und Windows-IKE-VPN-Dienste – zählte Unit 42 drei erfolgreiche Kompromittierungen: den Abfluss von Arbeitsspeicherdaten aus Citrix-NetScaler-Systemen sowie einen mutmasslichen Session-Hijacking-Versuch gegen eine malaysische Regierungsstelle. Entdeckt wurde die Kampagne, nachdem das Agenten-Framework versehentlich einen eigenen Webserver aus dem Home-Verzeichnis des Angreifers heraus erstellte und damit API-Schlüssel, Exploit-Skripte, Ziellisten und KI-Angriffsprotokolle offenlegte.
Warum ist das wichtig?
Der Fall gilt als eine der bisher konkretesten dokumentierten Kampagnen, in der ein KI-Modell nicht nur unterstützend, sondern als weitgehend eigenständiger Operator über den gesamten Angriffszyklus hinweg – von der Zielsuche über die Schwachstellenauswahl bis zur Ausführung – eingesetzt wurde. Zwar zeigt die niedrige Erfolgsquote von drei erfolgreichen Angriffen bei 460 Versuchen, dass autonome KI-Agenten aktuell noch weit von einer zuverlässigen, breit skalierbaren Angriffswaffe entfernt sind.
Dennoch senkt die Automatisierung die Kosten für Angreifer drastisch: Ein einzelner Angreifer kann mit einem einmaligen Befehl Hunderte Ziele parallel abklappern lassen, ohne für jeden einzelnen Angriffsschritt selbst Zeit aufzuwenden. Sicherheitsfachleute werten den Fall deshalb als frühen, aber deutlichen Beleg dafür, dass sich das Verhältnis von Angriffsaufwand zu Angriffsreichweite durch KI-Agenten fundamental verschiebt – zulasten von Verteidigerinnen und Verteidigern, die weiterhin jede einzelne Schwachstelle manuell patchen müssen.
Was bedeutet das für die Schweiz?
Auch Schweizer KMU betreiben häufig öffentlich erreichbare Systeme wie VPN-Gateways, Fernzugriffslösungen oder Web-Anwendungen, die – ähnlich wie die im Fall betroffenen Citrix-NetScaler- und Apache-Tomcat-Installationen – oft nicht zeitnah gepatcht werden, weil dedizierte IT-Sicherheitsressourcen fehlen. Solche Systeme werden durch automatisierte KI-Agenten-Angriffe zu bevorzugten, weil kostengünstig erreichbaren Zielen, unabhängig von der Grösse oder Bekanntheit des betroffenen Unternehmens.
Für Schweizer IT-Verantwortliche in KMU unterstreicht der Fall die Bedeutung von konsequentem Patch-Management und einer bewussten Reduktion der Angriffsfläche: Wer öffentlich erreichbare Dienste zeitnah aktualisiert, unnötige Schnittstellen deaktiviert und regelmässig auf bekannte Schwachstellen prüft, entzieht automatisierten KI-Agenten wie im beschriebenen Fall die Grundlage für einen erfolgreichen Angriff. Das Bundesamt für Cybersicherheit (BACS) empfiehlt KMU entsprechend, Standardhärtungsmassnahmen nicht länger aufzuschieben, da die Angreiferseite ihre Fähigkeiten zur automatisierten Skalierung sichtbar ausbaut.
Häufige Fragen
Was ist die Kernaussage zu Hacker lässt DeepSeek und «Hermes Agent» autonom Hunderte Server angreifen – Warnung für exponierte KMU-Systeme?
Unit 42 hat einen mutmasslich aus der chinesischen Stadt Zhuhai operierenden, unter den Aliassen «knaithe» und «KnYuan» bekannten Angreifer identifiziert, der das KI-Modell DeepSeek über das offene Agenten-Framework «Hermes» als weitgehend autonomen Angriffsoperator einsetzte.
Warum ist diese KI-Meldung für die Schweiz relevant?
Auch Schweizer KMU betreiben häufig öffentlich erreichbare Systeme wie VPN-Gateways, Fernzugriffslösungen oder Web-Anwendungen, die – ähnlich wie die im Fall betroffenen Citrix-NetScaler- und Apache-Tomcat-Installationen – oft nicht zeitnah gepatcht werden und damit zu bevorzugten Zielen für automatisierte KI-Agenten-Angriffe werden.
Welche Quelle nutzt KI News Schweiz für diese Einordnung?
Unit 42 veröffentlichte die Analyse Ende Juli 2026; The Hacker News und BleepingComputer lieferten am 31. Juli und 1. August 2026 zusätzliche Details zu Angriffsablauf und betroffenen Systemen.