Ein Bedrohungsakteur hat diesen Monat 44 KI-Agenten gegen japanische Organisationen laufen lassen. Nicht 44 Menschen. Ein Operator, eine Plattform, vierundvierzig delegierte Arbeiter, die Aufklärung betrieben, Schwachstellen validierten, sie ausnutzten, Command-and-Control hielten, Daten exfiltrierten und am Ende den Bericht schrieben.
Genau dieser letzte Teil sollte Sie stoppen. Der Bericht war keine Zusammenfassung, die jemand um zwei Uhr nachts getippt hat. Die Forscher von TrendAI fanden einheitliche, schablonenhafte Berichte mit einem Evidenzindex dahinter, über mindestens 19 identifizierbare Organisationen hinweg, mindestens 16 davon in Japan. Das waren Ausgaben eines strukturierten, von der Plattform ausgeführten Prozesses, keine hingeworfenen Notizen eines Operators, schrieb die Enterprise-Security-Sparte von Trend Micro in einer am 27. Oktober 2026 veröffentlichten Deep-Research-Notiz.
Das Werkzeug im Zentrum ist CyberStrikeAI, ein Open-Source-Pentesting-Framework, das still für echte Intrusionen umfunktioniert wurde, darunter eine frühere Kampagne gegen Fortinet-FortiGate-Appliances. Es erzeugte im selben Lauf auch japanischsprachige Formulare und gefälschte Login-Seiten. Keine maschinell übersetzte Massenware. Lokal korrekte Phishing-Assets, produziert im selben Workflow.
Lesen Sie das noch einmal und schauen Sie dann auf Ihren Personalplan für Detection Engineering in diesem Quartal.
Drei Angriffe, drei Autonomiestufen
TrendAI analysierte drei exponierte Serverumgebungen, die von Operatoren mit Ziel Japan genutzt wurden, und die Spannweite ist der interessante Teil.
Der erste ist die vollständige Agenten-Plattform: durchgängige Automatisierung über den gesamten Angriffslebenszyklus, im Maschinentempo, mit einer wiederholbaren Pipeline und einer Reporting-Schicht. Der Operator dahinter taucht auch in Ziellisten für Taiwan und Hongkong auf.
Der zweite wurde menschlich geführt, mit einem LLM als Beschleuniger für Planung und Tool-Entwicklung. Er lief 24 Tage zwischen August und September 2026 und begann mit einem GIS-Server, der auf Standard-Zugangsdaten stand, und nahm Katasterdaten, Handelsregisterdaten, Windows-Zugangsdaten und E-Mails mit. Derselbe Operator suchte nach KI-Workflow-Plattformen und Inferenzdiensten, offenbar um billige Inferenzkapazität zu stehlen.
Der dritte ist der konservativste: KI nur zum Schreiben der Skripte des Operators. Dieser Akteur fuhr trotzdem mindestens sechs Kampagnen von Januar bis Oktober 2026 gegen exponierte VPN-Geräte und WebLogic-Server, und seine Discovery-Listen reichten bis Großbritannien, Frankreich, Italien, Katar und Kolumbien.
Drei Reifegrade, eine Schlussfolgerung. Sie brauchen kein Frontier-Modell, um Ziel eines agentischen Eindringlings zu werden. Sie müssen erreichbar und langsam sein.
Das Fenster zwischen Offenlegung und Ausnutzung ist zusammengebrochen
TrendAIs Formulierung ist direkt und ehrlich gesagt erfrischend: KI hat die Belegschaft der Angreifer vergrößert, aber die Arbeit besteht weiter darin, nach unverschlossenen Türen zu suchen. Die Art der Türen hat sich nicht geändert. Geändert hat sich die Fähigkeit, Tausende gleichzeitig zu probieren, sich an die Sprache des Ziel-Landes anzupassen und ohne Ermüdung weiterzumachen.
Der Digital Defense Report 2026 von Microsoft belegt diese Verdichtung mit Zahlen. Der Median zwischen der Entdeckung einer Schwachstelle und ihrer Waffenfähigkeit liegt heute deutlich unter 24 Stunden. Ihr Patch-Fenster wurde in Wochen gemessen und mit Change-Freeze-Gremien begründet. Es wird jetzt gegen eine Pipeline gemessen, die nicht schläft und nicht auf ein Wartungsfenster wartet.
Das ist keine Japan-Geschichte
Vor zwei Wochen meldete Microsoft Storm-0940, einen China-staatsnahen Akteur, der eine ConnectWise-Cloud-Backup-Anwendung kompromittierte und das agentische Framework ARTEX nutzte, um sich bei mehr als 2.250 Microsoft-365-Tenants anzumelden. Die meisten Versuche scheiterten, und das ist der Punkt: Volumen ist jetzt billig. Behörden in Südkorea haben sieben Verdächtige identifiziert, die mit Intrusionen bei mehr als 90 Organisationen in Verbindung stehen, meist mit ARTEX, mit Lösegeldforderungen von 360 Millionen Won in 38 Fällen und mehr als 8,2 Millionen gestohlenen Datensätzen.
Dann ist da CARLIY0S von CyberCartel, ein Schwarm aus vier rollenspezialisierte Claude-Modelle, die jedes Ziel debattieren, sich einem Arbiter beugen und die Entscheidung an einen Orchestrator geben, bevor sie gegen lateinamerikanische Banken und Zahlungsdienstleister vorgehen. Und BUGSTER, ein finanziell motivierter Operator, der Hermes Agent mit DeepSeek V4 verdrahtete und Cursor als Zweitwerkzeug nutzte, Sicherheitskontrollen aus, und Brute-Force- und Enumeration-Kampagnen fuhr, die PII von Tausenden Studierenden indischer Universitäten abzogen.
Es gibt inzwischen auch einen Markt: gestohlene Session-Token von KI-Anbietern und paketierte Offensiv-Tools unter Namen wie APEX AI, MessiahGPT und DarkGPT. Die Eintrittsbarriere ist ein Abonnement, kein Skillset.
Trend Micros eigene Zusammenfassung sollte man behalten: KI ist für APT-Gruppen keine experimentelle Fähigkeit mehr; sie ist eine operationale Komponente, die direkt in Kampagnen eingebettet ist.
Was wirklich hält
Nichts hier schreibt Sicherheitsgrundlagen neu. Es schreibt ihre nötige Geschwindigkeit neu und verändert, was als Beweis gilt.
Beseitigen Sie die Klasse der Standard-Zugangsdaten. Ein GIS-Server mit Standard-Credentials kostete ein Opfer 24 Tage Exposition und einen Datensatz, den niemand mehr zurückholen kann. Inventarisieren Sie zuerst internetseitige Management-Ebenen und schließen Sie sie dann.
Patchen Sie Edge-Infrastruktur im 24-Stunden-Takt. Cisco, Citrix, F5, Yamaha, FortiGate, WebLogic. Sie erscheinen in jeder dieser Kampagnen, weil sie erreichbar und selten angefasst sind. Wenn Ihr Edge-Patch-Zyklus quartalsweise ist, sind Sie die unverschlossene Tür.
Jagen Sie Signale im Maschinentempo. Ein Operator, der 19 Organisationen in einem kurzen Fenster sondiert, hinterlässt eine Form: Scan-Bursts aus Cloud-Bereichen, schnelle Schwachstellenvalidierung, User-Agent- und Timing-Muster, die nach Software aussehen und nicht nach einem Menschen. Bauen Sie Detektionen für Geschwindigkeit, nicht nur für bekannte Payloads. Eine Pipeline, die Tausende sondiert, produziert Tausende Gelegenheiten, gesehen zu werden.
Behandeln Sie ausgehenden KI-Traffic als Angriffsfläche. Gestohlene Inferenzkapazität, Agenten-Frameworks, die Modell-APIs aus Segmenten aufrufen, die das nie tun sollten, und Session-Token, die aus neuen Geografien wiederverwendet werden. Wenn ein Server, der nichts mit einem LLM-Anbieter zu tun hat, plötzlich genau das tut, wollen Sie ein Ticket, kein Rätsel.
Halten Sie den Menschen dort im Loop, wo der Schaden landet. Automatisierte Aufklärung ist lästig. Automatisierte Exfiltration und automatisierte Zahlungsänderungen sind es nicht. Deterministische Gates auf Datenabflussvolumen und auf jeden Agenten, der Geld oder Berechtigungen bewegen kann, kaufen Ihnen weiterhin die Minuten, die zählen.
Die aratech-Schlussfolgerung
Alle diese Vorfälle teilen eine langweilige Wurzel: erreichbare, ungepatchte, schwach identifizierte Infrastruktur, an der jetzt Software arbeitet, die nie müde wird. Die Verteidiger, die 2027 unbeschadet überstehen, werden nicht die mit dem beeindruckendsten Modell sein. Es werden die sein, deren Edge gepatcht ist, deren Identitäten ablaufen, deren Egress gebaselined ist und deren Logs billig genug sind, um die 24 Stunden aufbewahrt zu werden, die über den Ausgang entscheiden.
Wenn Sie eine klare Antwort darauf wollen, wo Ihre Exposition gegenüber einem agentischen Angreifer liegt, führen wir diese Bewertung in fünf Tagen durch, evidenzbasiert, und geben Ihnen die Liste in Prioritätsreihenfolge. Fangen Sie mit dem Gespräch an, nicht mit der Beschaffung. Sprechen Sie mit aratech.