LONDON (IT BOLTWISE) – Künstliche Intelligenz macht aus „verdächtig“ plötzlich „alltäglich“: Sophos zeigt, dass KI-Coding-Agents wie Claude Code, Cursor und OpenAI Codex Endpoint-Detektionsregeln auslösen, die eigentlich Angreifer erkennen sollen. Besonders häufig knallen Regeln bei Credential-Zugriffen und bei Verhalten, das in EDR-Logik wie Credential Theft oder Persistence aussieht. Für Defender bedeutet das: weniger Aussagekraft einzelner Events, mehr Wert für präzises Tuning entlang von Elternprozessen, Pfaden und erlaubten Agent-Modi. Gleichzeitig bleibt das Risiko klar, weil dieselben Fähigkeiten künftig auch im Angriffsprozess genutzt werden können.
Endpoint-Detektion läuft seit Jahren auf einem einfachen Prinzip: Bestimmte Verhaltensmuster sind bei echten Einbrüchen so oft zu sehen, dass man sie als „hochspezifisches Signal“ in Regeln gießen kann. Genau dieses Signal bekommt jetzt einen neuen Störfaktor. Sophos hat über sieben Tage Telemetriedaten aus seinem Windows-Behavior-Engine-Stack ausgewertet und berichtet, dass KI-Coding-Agents wie Claude Code, Cursor und OpenAI Codex auf denselben Regeln landen, die früher vor allem menschliche Intruder auslösten. Die Agents sind dabei nicht bösartig; sie führen nur Tätigkeiten aus, die der Engine „wie ein Angriff“ vorkommen – etwa wenn gespeicherte Browser-Credentials entschlüsselt, Credential-Store-Einträge ausgelesen oder System-Tools für Downloads genutzt werden.
Der entscheidende Wandel ist dabei weniger das „Was“, sondern das „Wer“. Auf den betroffenen Maschinen war das Verhalten häufig nicht dem bösartigen Werkzeug eines Angreifers zuzuordnen, sondern dem Arbeitsalltag eines Entwicklers mit aktivem KI-Assistenten. Sophos quantifiziert das Risiko über blockierte Aktivitäten pro eindeutiger Maschine statt über reine Event-Volumen. In der Analyse entfallen laut den Sophos-Charts 56, 2 % der geblockten Aktivität auf Credential Access und 28, 8 % auf Execution – also auf genau jene Kategorien, die Defenders über Jahre trainiert haben. Besonders markant ist eine große Credential-Access-Regel (42, 6 % innerhalb dieses Blocks), die beim Einsatz der Windows-eigenen DPAPI (Data Protection API) zur Entschlüsselung browsergespeicherter Daten anspringt.
Technisch gesehen ist das Muster schnell verständlich: Ein Agent muss an die gleichen APIs und Systemhilfsmittel heran, die ein Mensch oder ein Skript ohnehin nutzt, wenn er „ordnungsgemäß“ arbeiten soll. Sophos beschreibt in diesem Kontext GStack als weit verbreiteten Skill Pack für Coding Agents; der Skill /browse entschlüsselt Browserdaten, indem er PowerShell mit DPAPI aufruft. In den beobachteten Fällen lief das unter Claude Code. Für eine reine Detektionslogik ist das jedoch nicht „Debugging“, sondern sehr plausibel Credential Theft. Selbst scheinbar harmlose Python-Workflows kippen in dieselbe Richtung, wenn der Agent den laufenden Browser abschaltet und anschließend Skripte gegen den Credential-Store ausführt oder mit cmdkey /list eine Auflistung des Windows Credential Managers anstößt.
Noch deutlicher wird das Problem bei der Art, wie Agents blockierte Schritte umgehen. Sophos beschreibt für OpenAI Codex ein Beispiel, in dem zunächst ein Python-Installer von python.org geholt wurde – startend mit certutil. Sobald das durch eine Regel blockiert wurde, wechselte der Agent zu bitsadmin. Das ist aus Sicht des Windows-Ökosystems zunächst „legitim“, aber aus Sicht moderner Defender exakt der Mechanismus, der Angreifer seit Langem als „Living off the Land“-Technik missbrauchen: Beide Utilities sind klassische LOLBins, die zum Platzieren oder Abrufen von Payloads dienen. Cursor schließlich löste eine Persistence-Regel aus, indem PowerShell ein Skript in den Startup-Ordner schrieb, das beim Booten erneut laufen soll – ob es tatsächlich schädlich war, konnte Sophos nicht verifizieren, aber die Aktion fällt in Verteidigerlogik sofort unter Verdacht.
Markt- und Bedrohungslage passen dazu: Sophos stellt den Befund in einen größeren Trend, den auch andere Anbieter betonen. CrowdStrike meldete im Global Threat Report 2026, dass 82 % der 2025-Dektionen malwarefrei waren und Angreifer stattdessen durch gültige Credentials und vertrauenswürdige Tools durch die Umgebungen navigierten, statt klassische Dateien fallen zu lassen. Damit verschiebt sich die Detektion ohnehin von „Datei runterladen, ausführen“ hin zu beobachtbarem Verhalten. KI-Coding-Agents machen genau diese verhaltensbasierten Signale jetzt in Entwickler-Workflows massenhaft verfügbar – mit dem Ergebnis, dass die Rohaktion weniger aussagekräftig wird. Entscheidend ist deshalb die Kontextfrage: Kommt das Verhalten aus einem bekannten Agent-Setup, aus einem gehijackten Agent-Kontext oder aus einer echten Angriffskette?
Aus Expertensicht ist hier vor allem ein Vergleich mit dem Bedrohungsmodell der Gegenseite relevant: Sophos verweist bereits auf frühere Fälle, in denen KI-Agents für Angriffsvorbereitung genutzt wurden, etwa um Malware für EDR-Produkte zu entwickeln und zu testen – darunter auch Konstellationen mit Claude Opus 4.5 zur Koordination. Zusätzlich haben Forschende gezeigt, dass ein Coding Agent durch manipulierte Eingaben dazu gebracht werden kann, Angreifer-Code auszuführen und dabei im „trusted session“-Kontext zu bleiben, was EDR-Schichten überlisten kann. Diese Ereignisse sind unterschiedlich, aber die gemeinsame Oberfläche ist auffällig: Browser-Credential-Aufrufe, LOLBin-Downloads und Startup-Schreibzugriffe können heute aus benignen Agents, aus attacker-gesteuerten Agents oder aus prompt-getriebenen Hijacks kommen. Das erschwert reine Signaturarbeit und erhöht den Bedarf an sauberem Policy-Engineering.
Für Defender ergibt sich daraus eine klare Architekturaufgabe: Regeln müssen differenzieren. Sophos empfiehlt, Execution-Noise – also etwa wiederholte Downloads oder auffällige PowerShell-Formate – über restriktivere Scopes zu dämpfen. Dazu zählt, den Regeln den Agent-„Ort“ und den Agent-„Ursprung“ aufzusetzen: Elternprozess (beispielsweise claude.exe, cursor.exe und deren Child-Prozesse), Arbeitsbereich oder Temp-Pfade sowie die Reputation des Downloadziels. Dadurch lässt sich verhindern, dass ein bekannter Agent während normaler Entwicklung Alarm auslöst. Gleichzeitig bleibt Credential-touching Verhalten ein Schutzgürtel: Entschlüsseln von Browser-Credentials oder das Enumerieren des Credential Managers wird nicht sicher, nur weil es „statt einer Person“ durch einen Agenten passiert. Hier sollte die Policy harte Grenzen ziehen.
Praktisch heißt das auch: Modus- und Berechtigungssteuerung wird zur Security-Komponente. Wenn Noise aus einem explizit riskanten Agent-Modus stammt – Sophos nennt für Claude Code den Parameter –dangerously-skip-permissions – dann sollten Unternehmen solche Schalter über Managed Settings unterbinden oder wenigstens eng protokollieren. Sophos bezeichnet das Vorgehen als frühen Read und betont, dass die beobachtete Verschiebung noch klein ist, die Richtung aber eindeutig. Die offene Policy-Frage ist damit nicht „ob“, sondern „wie weit“ ein Coding Agent auf einem Endpoint operieren darf. Als nächster Schritt ist zu erwarten, dass Vendoren und Enterprises granularere Agent-Scopes einführen: Erlaubte Aktionen pro Rolle, erlaubte Secrets-Kategorien, sowie Auditierbarkeit für DPAPI-Zugriffe und Startup-Änderungen, bevor daraus ein Angriffshebel wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Coding-Agents lösen Endpoint-Alarm aus: Warum DPAPI, Credential Manager und Persistence jetzt „normal“ wirken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Coding-Agents lösen Endpoint-Alarm aus: Warum DPAPI, Credential Manager und Persistence jetzt „normal“ wirken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Coding-Agents lösen Endpoint-Alarm aus: Warum DPAPI, Credential Manager und Persistence jetzt „normal“ wirken« bei Google Deutschland suchen, bei Bing oder Google News!