LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer neuen Post-Exploitation-Variante: Nach der Ausnutzung einer Marimo-Schwachstelle greifen Angreifer mit einem LLM-Agenten in die Zielumgebung ein, stehlen AWS-Zugangsdaten und holen anschließend einen SSH-Private-Key aus AWS Secrets Manager. Damit steuern sie Sessions über einen SSH-Bastion-Host und exfiltrieren binnen Minuten den Inhalt einer internen PostgreSQL-Datenbank. Entscheidend ist die „Adaptive“-Komponente: Der Agent passt Kommandofolgen live an, statt auf starre Playbooks zu setzen.
Nach der kompromittierenden Ausnutzung einer öffentlich erreichbaren Marimo-Instanz hat ein unbekannter Angreifer den nächsten Schritt nicht nur automatisiert, sondern offenbar mit einem KI-gestützten Agenten gesteuert. Berichten zufolge nutzt der Angriff die Lücke CVE-2026-39987, eine kritisch eingestufte Schwachstelle für Remote Code Execution ohne Authentifizierung, die alle Marimo-Versionen bis einschließlich 0.20.4 betrifft. In der anschließend beobachteten Angriffskette steht nicht die anfängliche Ausführung im Vordergrund, sondern die schnelle Fortsetzung: Credentials werden aus der Umgebung gewonnen, in AWS-Services gespiegelt und letztlich für SSH-Zugriff und Datenabfluss eingesetzt. Damit rückt eine neue Risikoklasse in den Fokus: Post-Exploitation, die auf „Inference“ statt vorab definierter Ablaufpläne basiert.
Technisch lässt sich die Kette als mehrstufige Eskalation beschreiben, bei der die Kompromittierung einer Notebook-Umgebung nur der Einstiegspunkt ist. Laut den Beobachtungen erfolgt zunächst die Platzierung oder der Zugriff auf eine internet-reichbare Marimo-Instanz, wonach ein Angreifer auf dem Host zwei Cloud-Credentials extrahiert. Diese werden anschließend über eine „fanned-out“ Egress-Strategie weitergereicht, damit der Angreifer eine SSH-Private-Key-Quelle in AWS Secrets Manager abrufen kann. Auffällig ist der zeitliche Ablauf: Aus den gewonnenen Daten heraus folgen binnen kurzer Zeit die ersten SSH-Authentifizierungen, bevor eine schnelle Weiterleitung zu einem nachgelagerten Zielsystem erfolgt.
Der entscheidende Hebel liegt im Übergang von manuellem Skripting zu agentischer Komposition. Sysdig machte geltend, vier Indikatoren gesehen zu haben, die auf einen LLM-Agenten als Treiber hindeuten: Erstens sei ein Datenbank-Dump versucht worden, ohne dass zuvor eine Schema-Vorbereitung erkennbar war. Zweitens tauchte angeblich ein chinesischsprachiger Planungs-Kommentar im Kommando-Stream auf („Sieh, was wir sonst noch tun können“), was auf eine generierende Planungsphase hindeutet. Drittens wirkten Kommandos „maschinenkonsumiert“: mit klaren Trennsegmenten, begrenzten Output-Captures und dem gezielten Unterdrücken von Debug- bzw. Fehlkanälen, um die Erkennbarkeit zu reduzieren. Viertens seien Wertübergaben aus Tool-Ausgaben direkt in Folgeschritte eingeflossen, etwa wenn Inhalte aus ~/.pgpass oder aus spezifischen ~/.ssh-Pfaden zur nächsten Aktion weiterverwendet werden.
Für die Markt- und Verteidigungslage ist das relevant, weil sich die Angriffskosten verschieben. Klassische Post-Exploitation beruht häufig auf wiederverwendbaren Playbooks: Ein Skript trifft bei fehlenden Dateien, unerwartetem Schema oder Authentifizierungsfehlern entweder ab oder fällt auf einen fest kodierten Fallback zurück. Genau hier setzt die agentische Variante an: Sie soll Überraschungen „lesen“, Entscheidungen ableiten und den Pfad fortsetzen. Das macht das Verhalten schwerer prognostizierbar und erhöht die Wahrscheinlichkeit, dass Defensivteams nur Teile der Kette sehen, während andere Schritte kontextabhängig nachgelagert auftreten. Als Vergleich zur Branchenrealität: Unternehmen, die sich bei Erkennung und Antwort typischerweise auf Workflows von Security-Plattformen wie EDR/XDR oder Cloud-Detection verlassen, müssen zunehmend damit rechnen, dass „ein Playbook pro Target“ nicht mehr der Normalfall ist, sondern KI-gestützte Neu-Komposition.
Ein weiterer Aspekt ist die Ausnutzung von Vertrauensbeziehungen im Cloud-Betrieb. Nachdem der Angreifer AWS-Zugangsdaten aus dem kompromittierten Host gewonnen hat, führt er API-Aufrufe gegen AWS Secrets Manager aus und beschafft anschließend den SSH-Private-Key. Diese Schlüsselzirkulation ist deshalb kritisch, weil sie die ohnehin schwierige Segmentierung im Netzwerk überbrückt: Der Angreifer kann den Bastion-Host als kontrollierten Übergang nutzen, um intern weiter zu handeln. Berichten zufolge wurde dabei das interne PostgreSQL-Ziel innerhalb von etwa zwei Minuten exfiltriert, bevor die gesamte End-to-End-Kette nach rund einer Stunde abgeschlossen war. Für Enterprise-Teams ist das ein Hinweis darauf, dass „Least Privilege“ und restriktive Secret-Policies nicht nur Compliance-Themen sind, sondern unmittelbar die Angriffsfläche senken.
Historisch zeigt sich: Remote-Code-Execution in Tools mit Notebook- oder App-orientierter Ausrichtung führt oft zu ähnlichen Mustern, weil die Umgebungen persistent, git-nah und leicht zu explorieren sind. In früheren Wellen standen häufig manuelle Reconnaissance, Dump-Mechanismen oder direktes Scripting im Vordergrund. Neu ist jedoch die Automatisierungsebene: Ein LLM-Agent kann die „Werkzeuge“ der Umgebung (Dateisystem, CLI-Ausgaben, Cloud-APIs) so orchestrieren, dass er zwischen Wissensständen springt, ohne dass ein Mensch jede Abzweigung vorgibt. In der Praxis bedeutet das auch für Entwickler und Betreiber: Jede öffentlich erreichbare Instanz muss als potenzieller Startpunkt gelten, und nicht nur der erste Exploit zählt, sondern wie schnell danach Rechte und Datenpfade eskalieren.
Als Gegenmaßnahmen empfehlen die Sicherheitsbeobachter im Kern drei Schritte: Erstens sollte Marimo zeitnah auf die Version 0.23.0 aktualisiert werden, die den Fehler schließt. Zweitens sollten Umgebungen auf öffentlich zugängliche Instanzen geprüft werden, denn die Angriffsfläche entsteht genau dort, wo ein anonymer Zugriff möglich ist. Drittens ist eine konsequente Rotation von Credentials, API-Keys und SSH-Keys notwendig, weil der Angreifer im beschriebenen Fall aus der Zielumgebung heraus Zugang zu AWS Secrets Manager erhielt. Ergänzend ist es sinnvoll, Erkennungspipelines so zu kalibrieren, dass nicht nur die Exploit-Ausführung, sondern auch die agententypischen Übergaben zwischen Tool-Ausgaben, die ungewöhnliche Geheimnisnutzung und parallele SSH-Muster früh sichtbar werden. Damit lässt sich die Zeit bis zur Eindämmung verkürzen – gerade dann, wenn „inference budget“ an die Stelle von statischem Playbook-Engineering tritt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "LLM-Agent treibt Post-Exploitation nach Marimo-CVE aus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "LLM-Agent treibt Post-Exploitation nach Marimo-CVE aus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »LLM-Agent treibt Post-Exploitation nach Marimo-CVE aus« bei Google Deutschland suchen, bei Bing oder Google News!