THAILAND / LONDON (IT BOLTWISE) – Ein KI-Agent lief in einem Post-Exploitation-Szenario unbeaufsichtigt durch das Netzwerk eines Finanzministeriums in Thailand. Der Betreiber umging die übliche Rückfrage bei risikoreichen Befehlen, ließ statt dessen Scans, Rechte-Checks und Dateisystemzugriffe selbstständig abarbeiten. Kritisch ist, dass die Spuren weitgehend im eigenen Umfeld blieben, während gleichzeitig ein detaillierter Zugriff auf Personalakten und Systembereiche möglich war. Der Fall zeigt weniger eine Schwäche der KI selbst, sondern vor allem, wie gefährlich ein konfigurierter „autopilot“ im Zusammenspiel mit realen Schwachstellen wird.
Der Vorfall wirkt auf den ersten Blick wie ein klassisches Hacking-Playbook, bei dem ein KI-Assistent nur „mitliest“. In der Detailbetrachtung rückt jedoch ein anderer Punkt in den Fokus: Ein Agent namens Hermes lief in einem Modus namens YOLO so weitgehend ohne menschliche Freigaben, dass er nach dem bereits erfolgten Eindringen selbstständig nach lokalen Eskalationswegen suchte und anschließend große Teile der erreichbaren Verzeichnislandschaft systematisch durchging. Dabei nutzt der Angriff keine „magische“ KI-Fähigkeit, sondern automatisiert genau jene repetitiven Schritte, für die sonst ein Operator Zeit und Aufmerksamkeit aufwenden muss. Hermes ist als Open-Source-Assistent dafür bekannt, Aufgaben zu verwalten und Anweisungen über Dienste wie Telegram oder Slack entgegenzunehmen; in diesem Fall diente er als Schaltzentrale für Scans, Shell-Kommandos und das Auslesen der Ergebnisse.
Die eigentliche Trennlinie zwischen bisherigen KI-Assistierten Angriffen und diesem Szenario liegt im Konfigurationsmodus. YOLO wird über einen Start-Flag (-yolo), einen Laufzeitbefehl (/yolo) oder eine Umgebungsvariable (HERMES_YOLO_MODE=1) aktiviert. Hermes selbst beschreibt dazu, YOLO ausschließlich in vertrauenswürdigen, isolierten Umgebungen einzusetzen. Im konkreten Missbrauch war die Einstellung entscheidend, die sonst vor riskanten Kommandos eine Zustimmung des Nutzers verlangt. Was damit ausgehebelt wurde, ist nicht jede Schutzschranke im Sinne eines Komplettschutzes, sondern der „Menschen-in-der-Schleife“-Check: Der Agent blockiert weiterhin Befehle, die die laufende Maschine unbrauchbar machen könnten, führt aber die übrigen Schritte automatisiert aus. Für Verteidiger ist das ein anderer Bedrohungsfokus als bei reinen Modell-Bypass-Geschichten: Selbst wenn ein KI-System gute Sicherheitsheuristiken hat, kann die Angriffsfläche aus der Bereitstellungspraxis entstehen.
Technisch lässt sich der Ablauf in mehrere wiederkehrende Muster zerlegen, die in einer realen Kompromittierung typischerweise aufeinander folgen: Ermittlung, lokale Privilege Escalation, Exploration von Zielsystemen und anschließend Sammlung sensibler Daten. In den wiederhergestellten Spuren traten genau diese Bausteine auf: Es gab einen Scan-Workflow, der Hosts auf Root-Zugänge prüfen sollte, eine zweite Runde der bekannten LinPEAS-Analyse und eine Suche nach Dateien mit erhöhten Berechtigungen. Danach folgte ein Listing von Dateisystembereichen sowie ein rekursives Durchkämmen eines Web-Roots, das dem Office des Permanent Secretary zugeordnet war. In diesem Ordner lagen Dokumente und Personalunterlagen bis zurück ins Jahr 2012. Auffällig ist dabei die Aussage der Auswertung, dass in den gefundenen Logs kein Hinweis auf Exfiltration aus dem Netzwerk auftauchte; das bedeutet nicht, dass Daten ungefährlich waren, aber dass der Fokus des Betreibers zunächst auf Zugriff und Lokalisierung lag.
Die Eskalationsphase trägt eine weitere Besonderheit: Der angegebene LinPEAS-Workflow war nicht „stock“, sondern durch das Setup eines kundenspezifischen linpeas.sh ergänzt, das auf vier konkret genannte Linux-Kernel-Schwachstellen aus der Zeit um 2026 ausgerichtet war. Die Kategorien benennen Copy Fail (CVE-2026-31431), Dirty Frag (CVE-2026-43284 und CVE-2026-43500) und DirtyClone (CVE-2026-43503). Solche Schwachstellen werden in der Regel dann relevant, wenn lokale Voraussetzungen stimmen – in den Angaben wird für Dirty Frag und DirtyClone explizit CAP_NET_ADMIN als benötigte Capability genannt. Die wiederhergestellten Artefakte nannten allerdings keine konkrete Kernel-Version des Ministerium-Umfelds, und es ließ sich ebenfalls nicht nachweisen, dass alle vier Exploits tatsächlich ausgeführt wurden. Genau das macht den Fall lehrreich: Der Schaden entsteht nicht erst, wenn ein Exploit garantiert „durchläuft“, sondern bereits dann, wenn ein Agent das Zielsystem so stark automatisiert, dass er schnell die passenden Voraussetzungen für weitere Schritte herstellen könnte.
Abseits des Linux-Teils findet sich ein zweiter Schwerpunkt auf dem Hadoop-Stack, was den Angriff in Richtung „Enterprise-Datenplattform“ verschiebt. Der Betreiber setzte einen Python-Code (hive_rce_py2.py) ein, um über HiveServer2 (Port 10000) eine SQL-Schnittstelle anzusprechen und dabei die Authentifizierung so zu nutzen, wie sie laut Apache-Dokumentation im Default-Modus „NONE“ sein kann – also als akzeptierendes Verhalten ohne echte Passwortprüfung. Nach erfolgreicher Verbindung sollte ein bösartiges Java-Addon (HiveCmd.jar) als User-Defined Function installiert werden. Über dieses Muster lassen sich Betriebssystemkommandos aus Datenbankabfragen heraus starten und Ergebnisse zurücklesen; gleichzeitig kann das die Rechte des Hive-Dienstkontos ausnutzen. Zusätzlich wurde auf dem Staging-Server ein weiterer Implant namens Hades in mehreren Ausprägungen (Windows und Linux) platziert, mit einer klaren Absicht zur weiteren Post-Exploitation und Kommandoübertragung, auch wenn die Analyse keine gesicherte Verbindung von Hades zu einem weiteren Zielsystem innerhalb des Ministeriums belegt.
Besonders aufschlussreich sind die „operativen“ Details, weil sie verdeutlichen, wie wenig ein Angriff „an KI“ gebunden sein muss. Der Betreiber hinterließ Protokolle, in denen Verzeichnislisten auf einer Web-Server-Instanz aktiv waren; dort entdeckten Hunt.io und der als Forscher genannte Bob Diachenko 585 Dateien mit rund 470 MB an Angriffstools. Der Startpunkt ins Umfeld ist nicht vollständig geklärt, aber es gab eine SSH-Session zum Staging-Server aus einer IP-Adresse in Hongkong. Auf organisatorischer Ebene fanden sich außerdem Hinweise auf ein Chinese-Asset-Search-Umfeld (FOFA), inklusive eines Webpanel-Passworts, das einen chinesischen Begriff enthält. Für die Verteidigung ist das vor allem ein Signal, dass „Unattended“-Automatisierung sich besonders dann durchsetzt, wenn Operatoren bereits Zugang haben und KI lediglich den Handarbeitsteil übernimmt.
Für Unternehmen und Behörden ergibt sich daraus eine Reihe konkreter, eher unspektakulärer, aber wirksamer Prüf- und Härtungsmaßnahmen. Entscheidend ist, ob HiveServer2-Integrationen tatsächlich mit der erwarteten Authentifizierung laufen und ob das Installieren von User-Defined Functions auf den erlaubten Personenkreis beschränkt wird; die Angriffslogik ist darauf ausgelegt, genau diesen Default-Pfad auszunutzen. Ebenso lohnt eine Alarmierung, wenn Webserverprozesse Verbindungen zu internen Hadoop-Ports wie 10000 oder 50070 aufbauen, denn allein die Erreichbarkeit solcher Schnittstellen aus dem Webkontext ist häufig ein Indikator für ungewöhnliche Architekturpfade. Auf Betriebssystemebene sollte man zudem typische Webshell- und Persistenzspuren prüfen, etwa rekursive Suchen nach PHP-Dateien mit „versteckten“ Dateinamen, die System-Caches imitieren. Schließlich adressiert Patch-Management ganz praktisch den Kern: Kernel-Updates, aktualisiertes sudo, eine abgesicherte polkit-Konfiguration sowie das Schließen relevanter Altflächen in IIS-WebDAV, wobei hier explizit auch die genannten CVE- und Kernel-Familien in den Blick gehören. Der Hermes-Teil ergänzt das Ganze nur insofern, als er zeigt, dass die beste Abwehr nicht nur im Modell liegt, sondern im Freigabemechanismus, in Segmentierung und in der Reduktion der Angriffsfläche bei „KI-gestützter Automatisierung“.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hermes im YOLO-Modus: KI-Agent automatisiert Post-Exploitation im Finanzministerium" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hermes im YOLO-Modus: KI-Agent automatisiert Post-Exploitation im Finanzministerium" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hermes im YOLO-Modus: KI-Agent automatisiert Post-Exploitation im Finanzministerium« bei Google Deutschland suchen, bei Bing oder Google News!