LONDON (IT BOLTWISE) – Sicherheitsteams beschreiben einen KI-gestützten Angriff, der eine Langflow-Schwachstelle nutzt, Produktionssysteme kompromittiert und eine Datenbank verschlüsselt. Laut Sysdig erledigte ein KI-Agent die Schritte von der initialen Infiltration bis zur Löschung nach dem eigentlichen Zugriff weitgehend autonom. Besonders brisant: Das Vorgehen setzt auf nicht gepatchte, im Internet erreichbare Komponenten und raubt über API- und Cloud-Schlüssel zusätzlichen Spielraum. Der Fall zeigt, wie stark das Risiko steigt, wenn Angreifer „Runtime“-Signale ignorieren und nur auf schnelle Patch-Zyklen vertrauen.
Ein neuer Sicherheitsfall macht deutlich, wie schnell sich KI-gestützte Angriffsabläufe professionalisieren. Sysdig berichtet von einer Ransomware-Attacke, die „von Anfang bis Ende“ von einem KI-Agenten betrieben worden sein soll. Der Angreifer mit dem Namen JADEPUFFER habe dabei nicht nur Malware-Skripte ausgelöst, sondern eine komplette Kette orchestriert: Eindringen, Credential-Diebstahl, laterale Ausbreitung im Netzwerk und anschließend das Verschlüsseln sowie das Löschen von Daten aus einer Produktionsdatenbank. Sysdig spricht dabei ausdrücklich von einem „warning sign“ statt einer isolierten Krise. Entscheidend ist: Wenn ein Modell diese Schritte selbst verknüpft, sinkt die menschliche Bedienkomplexität auf die Kosten, die ein Agent im Betrieb verursacht.
Technisch startet das Ganze mit einer klassischen Angriffsoberfläche: Langflow, ein Open-Source-Tool zum Bauen von KI-Apps und Agent-Workflows. Laut Sysdig nutzte JADEPUFFER eine Schwachstelle mit der Kennung CVE-2025-3248 aus, eine fehlende Authentifizierung, die unautorisierte Remote-Code-Ausführung ermöglicht. Wer den Server erreichen kann, kann dort Python-Code ausführen – ohne Login. Damit wird Langflow in der Praxis zu einem attraktiven Einstiegspunkt, weil viele Deployments öffentlich erreichbar sind und nebenbei API-Keys oder Cloud-Zugänge für die angebundenen Dienste bereithalten. Der Fix ist in Langflow 1.3.0 enthalten; die Schwachstelle wurde zudem im Mai 2025 in die CISA-Liste der „Known Exploited Vulnerabilities“ aufgenommen.
Nach dem Einstieg zeigt der Fall, wie stark KI-Automatisierung bei „sekundären“ Zielen wirkt. Der Agent habe die Maschine zunächst kartiert und anschließend gezielt nach Secrets gesucht: API-Schlüssel für bekannte KI-Services, Cloud-Anmeldeinformationen (u. a. auch AWS, Google und Azure sowie chinesische Anbieter wie Alibaba und Tencent), Keys für Krypto-Wallets und Datenbank-Logins. Sysdig beschreibt außerdem, dass ein MinIO-Storage-Server über eine Standard-Anmeldung abgegriffen wurde (minioadmin:minioadmin) und dass JADEPUFFER eine dauerhafte Zugriffsmöglichkeit über einen geplanten Task etablierte, der etwa alle 30 Minuten einen Kontakt zum Steuerserver herstellt. Solche Details zeigen, wie eng „Konfiguration“ und „Ausnutzung“ zusammenhängen.
Im nächsten Schritt pivotierte der Agent auf die eigentliche Ausleitungsebene: einen weiteren, nach außen freigeschalteten Server mit MySQL sowie Alibaba-Nacos als Konfigurations- und Service-Verzeichnis. In typischen Microservice-Setups dient Nacos dazu, Laufzeitparameter, Konfigurationen und Service-Metadaten zentral bereitzustellen. Laut Sysdig loggte sich der Agent als root in der Datenbank ein, wobei die Herkunft dieser Root-Credentials zunächst ungeklärt blieb. Danach habe er Nacos übernommen, und zwar über eine 2021 nachgewiesene Authentisierungsumgehung (CVE-2021-29441) sowie über einen standardmäßig ausgelieferten Signier-Schlüssel, der seit 2020 unverändert mitgeliefert werde. Anschließend platzierte der Agent einen eigenen Admin-Account. Damit wird aus einem Einstieg schnell ein systemweites Privileg-Upgrade.
Ransomware folgt hier einem besonders pessimistischen Muster: Verschlüsselung ist nicht die einzige Maßnahme, sondern nur ein Baustein in einem größeren Zerstörungszyklus. Sysdig berichtet, dass JADEPUFFER zunächst alle 1.342 Nacos-Settings verschlüsselt habe, dabei die ursprünglichen Tabellen verworfen und eine Ransom Note abgelegt habe, die Bitcoin fordert und über Proton Mail Kontakt aufnehmen will. Zusätzlich erzeugte der Agent einen Zufallsschlüssel, gab ihn einmal am Bildschirm aus, speicherte ihn aber weder dauerhaft noch übermittelte ihn. Sysdig folgert daraus: Es gebe keinen realistischen Key-Back, selbst wenn Lösegeld gezahlt würde. Der Agent habe zudem ganze Datenbanken gelöscht und sogar in seinem eigenen Code einen Kommentar hinterlassen, dass er Daten bereits woanders kopiert habe – dafür sieht Sysdig allerdings keine belastbaren Hinweise.
Aus Sicht der Forensik steckt in diesem Bericht vor allem eine Erkenntnis, die sich schon in anderen KI-Missbrauchsfällen abzeichnet: KI-Agenten hinterlassen manchmal „zu viel Erklärung“. Sysdig nennt als stärkstes Indiz den Payload selbst: Statt kryptischer Logik enthielten Teile des Angriffs Text in Klarform, der den Zweck einzelner Schritte beschreibt. Solche erklärenden Kommentare schreibt ein menschlicher Angreifer selten, ein Modell jedoch häufig „standardmäßig“. Außerdem habe der Agent seine eigenen Fehlversuche schnell korrigiert. In einem Fall sei er binnen 31 Sekunden von einem fehlgeschlagenen Login zu einer mehrstufigen Lösung gelangt, anstatt blind zu wiederholen. Insgesamt zählte Sysdig mehr als 600 zweckorientierte Payloads, die wie aus einem einheitlichen Plan heraus komponiert wirkten.
Der Markt-Kontext ordnet das Geschehen in eine breitere Entwicklung ein, in der KI-Angriffe nicht mehr nur einzelne Tasks automatisieren, sondern komplette Workflows. Im Umfeld solcher Diskussionen wurden bereits KI-gestützte Ansätze untersucht, beispielsweise PromptLock, das zunächst als KI-Ransomware vermarktet wurde, später aber als Labormuster eingeordnet wurde. Parallel berichteten andere Sicherheits- und Forschungsakteure von realen Erpressungskampagnen, bei denen KI-Tools eingesetzt wurden, um mindestens 17 Organisationen zu erreichen und die Forderungen in die Größenordnung von über 500.000 US-Dollar liefen – allerdings mit menschlicher Steuerung. Im November 2025 wurde zudem eine weitgehend autonome Operation mit Staatsbezug beschrieben, in der KI Exploits schreiben und Daten exfiltrieren sollte. Für JADEPUFFER bleibt zudem ein Detail rätselhaft: Die im Lösegeldschein genutzte Bitcoin-Adresse entspricht einem Beispiel, das in Entwicklerdokumentationen auftaucht. Sysdig kann nicht unterscheiden, ob das Modell nur einen „bekannten“ Sample-Text übernommen hat oder ob der Operator bewusst eine echte, historisch aktive Wallet mit diesem Abgleich genutzt hat.
Für Verteidiger lässt sich daraus eine klare Priorität ableiten: Patch-Disziplin bleibt Pflicht, reicht aber als alleinige Strategie nicht. Sysdig empfiehlt konkret, Langflow zu patchen und Code-Ausführungsendpunkte niemals ins Internet zu stellen. Ebenso sei es gefährlich, KI-Tools oder Agent-Runtimes mit Cloud-Keys und Provider-Credentials in derselben Umgebung zu betreiben; Secrets sollten in einem dedizierten Secret-Management liegen, so dass sie selbst bei einem Tool-Fehler nicht über Web-Reachability erreichbar werden. Für Nacos gilt: Standard-Signing-Key ersetzen, Nacos nicht öffentlich ins Netz hängen und nicht mit Root-Rechten auf die Datenbank zugreifen lassen. Zusätzlich sollte ausgehender Datenverkehr so restriktiv wie möglich sein, damit ein kompromittiertes System keinen „Call-home“-Kanal findet. Der entscheidende Wandel ist timinggetrieben: Wenn Angreifer Advisory-Updates in Stunden in Angriffe verwandeln, gewinnt Runtime-Überwachung an Gewicht gegenüber rein reaktiver Patch-Planung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Agent nutzt Langflow-RCE für automatisierten Database-Ransomware-Angriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Agent nutzt Langflow-RCE für automatisierten Database-Ransomware-Angriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Agent nutzt Langflow-RCE für automatisierten Database-Ransomware-Angriff« bei Google Deutschland suchen, bei Bing oder Google News!