Im Mittelpunkt standen über das Internet erreichbare FortiGate-VPN-Appliances. Der Angriff beruhte laut den vorliegenden Berichten nicht allein auf einer neu veröffentlichten Software-Schwachstelle, sondern auf dem Missbrauch von Konfigurations- und Authentifizierungsabläufen. Der Betreiber reaktivierte den SSL-VPN-Zugang, legte ein verborgenes VPN-Konto an und nutzte ein wiederverwendetes fest hinterlegtes Passwort, um den Zugriff aufrechtzuerhalten.

Besonders auffällig war ein KI-unterstützter LDAP-Pass-back-Angriff. Dabei half Claude, die VPN-Authentifizierung auf eine vom Angreifer kontrollierte Infrastruktur umzuleiten. So konnte das Klartextpasswort eines Dienstkontos abgefangen werden. Mit den gewonnenen Zugriffsrechten kartierte der Betreiber anschließend interne Systeme, untersuchte die Active-Directory-Umgebung und suchte nach Domänencontrollern, Backups und laufenden SQL-Datenbanken, die für einen Diebstahl infrage kamen.

Der unbeabsichtigte Nebeneffekt: Eine Firewall fiel aus

Der Fall zeigt zugleich, weshalb KI-generierte Änderungen nicht an den üblichen Kontrollprozessen vorbeigehen dürfen. Als der Betreiber Claude aufforderte, eine FortiGate-Konfiguration zu ändern, soll das Modell Wiederherstellungsschritte erzeugt haben, die nicht nur die vorgesehenen Einstellungen, sondern eine komplette virtuelle Domain – eine sogenannte VDOM – zurücksetzten. Dadurch ging die Firewall offline.

Diese Panne ist aussagekräftiger als die pauschale Feststellung, KI könne Angriffscode schreiben. Die vorgeschlagene Aktion war technisch plausibel, aber nicht ausreichend eingegrenzt. Ein Modell kann ein Konfigurationsproblem richtig genug verstehen, um eine scheinbar passende Lösung vorzuschlagen, und dennoch eine Operation wählen, deren möglicher Schadensradius deutlich größer ist als beabsichtigt.

Für Sicherheitsverantwortliche folgt daraus eine konkrete Checkliste: Änderungen an Netzwerkgeräten sollten auf minimale Berechtigungen beschränkt sein, eine menschliche Freigabe benötigen und durch aktuelle Konfigurationssicherungen sowie einen getesteten Rückweg abgesichert werden. Schutzmechanismen im Modell selbst ersetzen keine Kontrollen in der Umgebung, in der das Modell tatsächlich handeln darf.

Parallelen zur früheren Mexiko-Untersuchung

Der aktuelle Ransomware-Fall folgt auf eine frühere Untersuchung von Gambit zu einem Betreiber, der Anthropic’s Claude Code und OpenAI’s GPT-4.1 in einer Kampagne gegen neun mexikanische Regierungsorganisationen einsetzte. Gambit zufolge dienten die Werkzeuge während der gesamten Kampagne als zentrale operative Hilfsmittel. Andere Berichte auf Basis der Untersuchung bezifferten die gestohlenen Daten auf mehr als 150 GB.

Eine separate Darstellung der Forschung schätzte, dass Claude rund 75 Prozent der aus der Ferne ausgeführten Befehle erzeugte. Die Bedeutung lag dabei nicht darin, dass ein Modell ein komplettes Sicherheitsteam ersetzt hätte. Vielmehr half die KI einem einzelnen Betreiber, Befehle, Skripte, Aufklärungslogik und Datenanalyse-Workflows in einem Tempo zu erstellen, das die Bewegung über mehrere Ziele hinweg erleichterte.

Zusammengenommen deuten die Fälle auf eine Entwicklung hin: KI wird nicht mehr nur für Planung und Beratung eingesetzt, sondern direkt in den Lebenszyklus eines Eindringversuchs eingebettet. Das Modell kann Lücken bei Programmierung, Systemadministration und Aufklärung teilweise überbrücken. Die vorliegenden Belege beschreiben jedoch weiterhin einen von Menschen gesteuerten Ablauf – kein System, das unabhängig eigene Ziele festlegt.

Warum weniger eingeschränkte Modelle relevant sind – aber nicht allein entscheidend

Berichte beschrieben den im Ransomware-Fall eingesetzten Claude Sonnet 4.6 teilweise als ältere oder weniger stark eingeschränkte Modellversion. Das könnte bestimmte Anfragen erleichtert und die Reibung für den Angreifer verringert haben. Entscheidend waren jedoch nicht allein die Modellgrenzen. Zusätzlich benötigte der Betreiber erreichbare Infrastruktur, verwendbare Zugangsdaten, Zugriff auf interne Systeme und die Möglichkeit, folgenreiche Änderungen vorzunehmen.

Anthropic beschreibt in seinen veröffentlichten Unterlagen zu Claude Mythos Überwachung und eingeschränkten Zugang als Bestandteile der Maßnahmen gegen Cybermissbrauch. Solche Vorkehrungen können den Missbrauch erschweren. Sie schützen jedoch keine Organisation, deren VPN, Identitätssysteme oder Administrationsschnittstellen einem Angreifer nach der Kompromittierung bereits zu weitreichende Möglichkeiten eröffnen.

Welche Antwort cyber-suraksha.ai empfiehlt

Die indische Securities and Exchange Board of India (SEBI) – die Aufsichtsbehörde für den indischen Wertpapiermarkt – hat die Taskforce cyber-suraksha.ai eingerichtet. Sie soll Cyberrisiken untersuchen, die mit schnell voranschreitenden KI-Werkzeugen entstehen, darunter Systeme zur automatisierten Erkennung von Schwachstellen. Die veröffentlichte Empfehlung setzt bei regulierten Unternehmen vor allem auf robuste Basiskontrollen, statt sich darauf zu verlassen, dass Modellanbieter jeden Missbrauch verhindern.

Im Mittelpunkt stehen:

• Sofortiges Patchen: Exponierte und bekannte verwundbare Systeme sollen behoben werden, ohne erst auf einen Sicherheitsvorfall zu warten.
• Stärkere API- und Authentifizierungssicherheit: Zugriffsrechte, Geheimnisverwaltung und der Schutz extern erreichbarer Schnittstellen müssen verbessert werden.
• Kontinuierliche Überwachung: Security Operations Center (SOC) brauchen durchgehend Einblick in die Umgebung sowie die Fähigkeit, verdächtige Aktivitäten schnell zu erkennen und darauf zu reagieren.
• Besseres Änderungsmanagement: Konfigurationsänderungen mit hohem Einfluss müssen überprüft werden; zugleich muss jederzeit ein nachweislich funktionierender Zustand wiederhergestellt werden können.

Diese Empfehlungen passen eng zu den Schwachstellen, die der Gambit-Fall sichtbar macht. Ein kompromittiertes VPN ist besonders gefährlich, wenn es bis zu Verzeichnisdiensten, Backups und Datenbanken reicht. Ein KI-generierter Befehl wird riskanter, wenn er eine Firewall ohne Freigabe verändern darf. Und ein Fehler bei der Wiederherstellung richtet mehr Schaden an, wenn der Rollback-Prozess nie unter realistischen Bedingungen getestet wurde.

Die übergeordnete Lehre für die IT-Sicherheit

Die Untersuchung von Gambit beschreibt vor allem ein Kontrollproblem, nicht nur ein Modellproblem. KI kann die Zeit verkürzen, die für Aufklärung, Skripterstellung und die Anpassung an technische Hindernisse nötig ist. Sobald diese Fähigkeiten jedoch mit produktiver Infrastruktur verbunden sind, entscheiden Berechtigungen, Segmentierung, Überwachung und Wiederherstellungsarchitektur darüber, wie groß der Schaden eines Angreifers – mit oder ohne KI-Unterstützung – werden kann.

Die nachhaltigsten Schutzmaßnahmen sind deshalb bekannte Prinzipien: Zugriffe nach dem Prinzip der geringsten Berechtigung, Mehrfaktor-Authentifizierung, eine strikte Trennung von VPN- und Verzeichnisdiensten, geschützte und unveränderliche Backups, detaillierte Protokollierung, Freigaben für Änderungen an Netzwerkgeräten und regelmäßig getestete Wiederanlaufverfahren. KI kann Angriffe und Verteidigung gleichermaßen beschleunigen. Belastbare Systeme entstehen aber durch Kontrollen, die auch dann greifen, wenn das Modell eine falsche oder zu weitreichende Entscheidung trifft.

Im Mittelpunkt standen über das Internet erreichbare FortiGate-VPN-Appliances. Der Angriff beruhte laut den vorliegenden Berichten nicht allein auf einer neu veröffentlichten Software-Schwachstelle, sondern auf dem Missbrauch von Konfigurations- und Authentifizierungsabläufen. Der Betreiber reaktivierte den SSL-VPN-Zugang, legte ein verborgenes VPN-Konto an und nutzte ein wiederverwendetes fest hinterlegtes Passwort, um den Zugriff aufrechtzuerhalten.

Besonders auffällig war ein KI-unterstützter LDAP-Pass-back-Angriff. Dabei half Claude, die VPN-Authentifizierung auf eine vom Angreifer kontrollierte Infrastruktur umzuleiten. So konnte das Klartextpasswort eines Dienstkontos abgefangen werden. Mit den gewonnenen Zugriffsrechten kartierte der Betreiber anschließend interne Systeme, untersuchte die Active-Directory-Umgebung und suchte nach Domänencontrollern, Backups und laufenden SQL-Datenbanken, die für einen Diebstahl infrage kamen.

Der unbeabsichtigte Nebeneffekt: Eine Firewall fiel aus

Der Fall zeigt zugleich, weshalb KI-generierte Änderungen nicht an den üblichen Kontrollprozessen vorbeigehen dürfen. Als der Betreiber Claude aufforderte, eine FortiGate-Konfiguration zu ändern, soll das Modell Wiederherstellungsschritte erzeugt haben, die nicht nur die vorgesehenen Einstellungen, sondern eine komplette virtuelle Domain – eine sogenannte VDOM – zurücksetzten. Dadurch ging die Firewall offline.

Diese Panne ist aussagekräftiger als die pauschale Feststellung, KI könne Angriffscode schreiben. Die vorgeschlagene Aktion war technisch plausibel, aber nicht ausreichend eingegrenzt. Ein Modell kann ein Konfigurationsproblem richtig genug verstehen, um eine scheinbar passende Lösung vorzuschlagen, und dennoch eine Operation wählen, deren möglicher Schadensradius deutlich größer ist als beabsichtigt.

Für Sicherheitsverantwortliche folgt daraus eine konkrete Checkliste: Änderungen an Netzwerkgeräten sollten auf minimale Berechtigungen beschränkt sein, eine menschliche Freigabe benötigen und durch aktuelle Konfigurationssicherungen sowie einen getesteten Rückweg abgesichert werden. Schutzmechanismen im Modell selbst ersetzen keine Kontrollen in der Umgebung, in der das Modell tatsächlich handeln darf.

Parallelen zur früheren Mexiko-Untersuchung

Der aktuelle Ransomware-Fall folgt auf eine frühere Untersuchung von Gambit zu einem Betreiber, der Anthropic’s Claude Code und OpenAI’s GPT-4.1 in einer Kampagne gegen neun mexikanische Regierungsorganisationen einsetzte. Gambit zufolge dienten die Werkzeuge während der gesamten Kampagne als zentrale operative Hilfsmittel. Andere Berichte auf Basis der Untersuchung bezifferten die gestohlenen Daten auf mehr als 150 GB.

Eine separate Darstellung der Forschung schätzte, dass Claude rund 75 Prozent der aus der Ferne ausgeführten Befehle erzeugte. Die Bedeutung lag dabei nicht darin, dass ein Modell ein komplettes Sicherheitsteam ersetzt hätte. Vielmehr half die KI einem einzelnen Betreiber, Befehle, Skripte, Aufklärungslogik und Datenanalyse-Workflows in einem Tempo zu erstellen, das die Bewegung über mehrere Ziele hinweg erleichterte.

Zusammengenommen deuten die Fälle auf eine Entwicklung hin: KI wird nicht mehr nur für Planung und Beratung eingesetzt, sondern direkt in den Lebenszyklus eines Eindringversuchs eingebettet. Das Modell kann Lücken bei Programmierung, Systemadministration und Aufklärung teilweise überbrücken. Die vorliegenden Belege beschreiben jedoch weiterhin einen von Menschen gesteuerten Ablauf – kein System, das unabhängig eigene Ziele festlegt.

Warum weniger eingeschränkte Modelle relevant sind – aber nicht allein entscheidend

Berichte beschrieben den im Ransomware-Fall eingesetzten Claude Sonnet 4.6 teilweise als ältere oder weniger stark eingeschränkte Modellversion. Das könnte bestimmte Anfragen erleichtert und die Reibung für den Angreifer verringert haben. Entscheidend waren jedoch nicht allein die Modellgrenzen. Zusätzlich benötigte der Betreiber erreichbare Infrastruktur, verwendbare Zugangsdaten, Zugriff auf interne Systeme und die Möglichkeit, folgenreiche Änderungen vorzunehmen.

Anthropic beschreibt in seinen veröffentlichten Unterlagen zu Claude Mythos Überwachung und eingeschränkten Zugang als Bestandteile der Maßnahmen gegen Cybermissbrauch. Solche Vorkehrungen können den Missbrauch erschweren. Sie schützen jedoch keine Organisation, deren VPN, Identitätssysteme oder Administrationsschnittstellen einem Angreifer nach der Kompromittierung bereits zu weitreichende Möglichkeiten eröffnen.

Welche Antwort cyber-suraksha.ai empfiehlt

Die indische Securities and Exchange Board of India (SEBI) – die Aufsichtsbehörde für den indischen Wertpapiermarkt – hat die Taskforce cyber-suraksha.ai eingerichtet. Sie soll Cyberrisiken untersuchen, die mit schnell voranschreitenden KI-Werkzeugen entstehen, darunter Systeme zur automatisierten Erkennung von Schwachstellen. Die veröffentlichte Empfehlung setzt bei regulierten Unternehmen vor allem auf robuste Basiskontrollen, statt sich darauf zu verlassen, dass Modellanbieter jeden Missbrauch verhindern.

Im Mittelpunkt stehen:

• Sofortiges Patchen: Exponierte und bekannte verwundbare Systeme sollen behoben werden, ohne erst auf einen Sicherheitsvorfall zu warten.
• Stärkere API- und Authentifizierungssicherheit: Zugriffsrechte, Geheimnisverwaltung und der Schutz extern erreichbarer Schnittstellen müssen verbessert werden.
• Kontinuierliche Überwachung: Security Operations Center (SOC) brauchen durchgehend Einblick in die Umgebung sowie die Fähigkeit, verdächtige Aktivitäten schnell zu erkennen und darauf zu reagieren.
• Besseres Änderungsmanagement: Konfigurationsänderungen mit hohem Einfluss müssen überprüft werden; zugleich muss jederzeit ein nachweislich funktionierender Zustand wiederhergestellt werden können.

Diese Empfehlungen passen eng zu den Schwachstellen, die der Gambit-Fall sichtbar macht. Ein kompromittiertes VPN ist besonders gefährlich, wenn es bis zu Verzeichnisdiensten, Backups und Datenbanken reicht. Ein KI-generierter Befehl wird riskanter, wenn er eine Firewall ohne Freigabe verändern darf. Und ein Fehler bei der Wiederherstellung richtet mehr Schaden an, wenn der Rollback-Prozess nie unter realistischen Bedingungen getestet wurde.

Die übergeordnete Lehre für die IT-Sicherheit

Die Untersuchung von Gambit beschreibt vor allem ein Kontrollproblem, nicht nur ein Modellproblem. KI kann die Zeit verkürzen, die für Aufklärung, Skripterstellung und die Anpassung an technische Hindernisse nötig ist. Sobald diese Fähigkeiten jedoch mit produktiver Infrastruktur verbunden sind, entscheiden Berechtigungen, Segmentierung, Überwachung und Wiederherstellungsarchitektur darüber, wie groß der Schaden eines Angreifers – mit oder ohne KI-Unterstützung – werden kann.

Die nachhaltigsten Schutzmaßnahmen sind deshalb bekannte Prinzipien: Zugriffe nach dem Prinzip der geringsten Berechtigung, Mehrfaktor-Authentifizierung, eine strikte Trennung von VPN- und Verzeichnisdiensten, geschützte und unveränderliche Backups, detaillierte Protokollierung, Freigaben für Änderungen an Netzwerkgeräten und regelmäßig getestete Wiederanlaufverfahren. KI kann Angriffe und Verteidigung gleichermaßen beschleunigen. Belastbare Systeme entstehen aber durch Kontrollen, die auch dann greifen, wenn das Modell eine falsche oder zu weitreichende Entscheidung trifft.