Datum: 27. Juli 2026
In jedem Cyberpunk-Film gibt es eine Szene, in der jemand eine KI anschließt, einen Schalter mit der Aufschrift „GEFAHR" umlegt und zusieht, wie sie durch ein Unternehmensnetzwerk rast, während alle im Raum den Atem anhalten. Letzte Woche spielte sich diese Szene im wirklichen Leben ab – außer dass niemand den Atem anhielt. Sie hatten den Alarm ausgeschaltet.
Ein Betreiber setzte den Hermes-Agenten von Nous Research mit deaktivierten Genehmigungsaufforderungen gegen das thailändische Finanzministerium ein, ließ seine Protokolle auf einem offenen Webserver liegen und lieferte der Sicherheitswelt den ersten dokumentierten Fall, in dem ein Open-Source-KI-Agent als Waffe eingesetzt wurde, um ihn nachträglich an einem Ziel der nationalen Regierung auszunutzen.
Und von da an wird die Geschichte wilder.
Der YOLO-Verstoß: Was tatsächlich passiert ist
Um es vorweg zu sagen: Hermes Agent ist kein Hacking-Tool. Es handelt sich um eine Open-Source-Plattform für autonome Agenten – ein persistenter KI-Assistent, der E-Mails verwaltet, Befehle ausführt, Telegram-Anweisungen entgegennimmt und seine eigenen Fähigkeiten schreibt. Nichts an seinem Design ist bösartig. Aber genau das macht diesen Fall so wichtig.
Was passiert ist, sieht so aus:
Ein Angreifer verschaffte sich zunächst Zugriff auf einen Webserver des thailändischen Finanzministeriums (Methode unbekannt). Sobald sie drinnen waren, installierten sie eine Hermes-Agent-Instanz, starteten sie mit der Flagge „--yolo", die alle Genehmigungsaufforderungen für Terminalbefehle deaktiviert, und ließen sie unbeaufsichtigt laufen. Anschließend scannte der Agent autonom interne Hosts auf Kernel-Schwachstellen, suchte mit LinPEAS nach Pfaden zur Rechteausweitung, durchsuchte Dateisysteme mit Personalakten aus dem Jahr 2012 und untersuchte den Hadoop-Cluster des Ministeriums über HiveServer2.
Der Bediener musste keinen einzigen Befehl genehmigen. Hermes leitete YOLO.
Hunt.io und der Forscher Bob Diachenko entdeckten die Protokolle des Agenten in einem offengelegten Verzeichnis sowie 585 Dateien und 470 MB Angriffstools. Das Webpanel hat immer noch einen „HermesWebUI"-Serverheader zurückgegeben. Der vorhersehbare Ordner „/hermes-results/" des Agenten tauchte im Index von Hunt.io 575 Mal in allen offengelegten Verzeichnissen auf – jeweils ein Host, der nicht wusste, dass dort ein kompromittierter Agent ausgeführt wurde.
Die eigene SSH-Sitzung des Betreibers stammt aus Hongkong. Das Passwort der Webschnittstelle des Agenten enthielt das chinesische Wort Leishen (Donnergott). Daneben befand sich ein FOFA-Asset-Suchschlüssel.
Die CVE-Lawine
Der thailändische Verstoß machte vor drei Tagen Schlagzeilen. Aber die Sicherheitsgeschichte rund um Hermes Agent hat sich das ganze Jahr über entwickelt.
Im März 2026 erhielt OpenClaw – ein konkurrierendes Agenten-Framework mit nahezu identischer Architektur – neun CVEs in vier Tagen. Einer von ihnen, CVE-2026-22172, erhielt einen CVSS 9.9 Critical – eine Autorisierungsumgehung, die es jedem authentifizierten Benutzer ermöglichte, sich während des WebSocket-Handshakes zum Administrator zu erklären.
Gegen Hermes Agent selbst wurden drei CVEs öffentlich bekannt gegeben:
– CVE-2026-7396 (CVSS 4.0) – Pfaddurchquerung im WeChat Work-Adapter, ausnutzbar durch jeden nicht authentifizierten Remote-Angreifer – CVE-2026-7397 (CVSS 4.8) – Symlink folgt im Datei-Tools-Modul und ermöglicht lokalen Angreifern mit geringen Privilegien den Zugriff auf Dateien außerhalb des zulässigen Bereichs – CVE-2026-6829 (CVSS 5.3) – WebUI-Pfaddurchquerung, die es authentifizierten Benutzern ermöglicht, Sitzungsarbeitsbereiche in beliebige Systemverzeichnisse umzuleiten
Dies sind die öffentlich dokumentierten CVEs. Sie sind die Spitze eines viel größeren Eisbergs.
Was die unabhängige Prüfung herausgefunden hat
Im April 2026 führte der Sicherheitsforscher @Anic888 eine unabhängige Prüfung von Hermes Agent v0.8.0 durch – 812 Python-Dateien, etwa 364.000 Codezeilen. Die Ergebnisse: 4 kritische und 9 Sicherheitslücken mit hohem Schweregrad in der Standardkonfiguration des Frameworks.
Die vier kritischen Ergebnisse sind architektonischer und nicht kosmetischer Natur:
-
Uneingeschränkte Shell-Ausführung – Das Terminal-Tool übergibt Befehle über „subprocess.Popen" an „bash -c" mit ausschließlich regexbasierter Erkennung als Schutz. Diese Erkennung ist umgehbar. Das Modell kann beliebige Shell-Befehle ausführen, wann immer es dies für angemessen hält.
-
Vollständiger Lesezugriff auf das Dateisystem – Das Tool zum Lesen von Dateien verfügt über keine Verweigerungsliste. Es kann private SSH-Schlüssel, „.env"-Dateien, Browserprofile und Cloud-Anmeldeinformationen lesen. Es gibt keine Konfigurationsoption zum Einschränken des Lesebereichs.
-
Umgehung der Containergenehmigung – Beim Ausführen von Hermes in Docker werden alle Genehmigungsprüfungen bedingungslos übersprungen. Die Funktion, die viele Unternehmen für sicherer halten würden, beseitigt tatsächlich den letzten menschlichen Kontrollpunkt.
-
Persistente Skill-Injektion – Hermes schreibt Skill-Dateien, die in zukünftigen Sitzungen automatisch geladen werden. Eine einzelne kompromittierte Sitzung kann dauerhafte Anweisungen einschleusen, die einen Neustart überdauern.
Die neun High-Ergebnisse erstrecken sich auf den YOLO-Modus (der alles deaktiviert), injizierbare automatische Genehmigungsmechanismen, Opt-in-Sandboxing und Abhängigkeitssubstitutionsangriffe.
Keine Malware. Keine Hintertüren. Null Telemetrie. Aber die Architektur selbst schafft Risiken, die herkömmliche Endpunkterkennungstools nicht erkennen können.
Warum das gerade jetzt wichtig ist
Hier ist der Teil, der diese Geschichte größer macht als einen einzelnen Verstoß.
Berichten zufolge schließt Nous Research eine von Robot Ventures angeführte Finanzierungsrunde in Höhe von 1,5 Milliarden US-Dollar ab. Hermes Agent hat 214.000 GitHub-Sterne und fast 40.000 Forks. Es läuft auf Telegram, Discord, Slack, WhatsApp, Signal und E-Mail. Es lernt aus jeder Sitzung und entwickelt seine eigenen Fähigkeiten.
In derselben Woche, in der das Unternehmen einen Wert von 1,5 Milliarden US-Dollar hat, wird sein Agent gegen ein souveränes Finanzministerium eingesetzt, wobei die Sicherheitsfunktionen deaktiviert und die Protokolle offen gelassen werden.
Die Cloud Security Alliance hat einen Forschungsbericht veröffentlicht, der es auf den Punkt bringt: „Die Kernfunktionen, die diese Frameworks wertvoll machen – langlebiger Speicher, umfassender Tool-Zugriff, Skill-Installation zur Laufzeit, Multi-Provider-Anmeldeinformationsintegration, prompt-gesteuerte Ausführung – sind genau die Fähigkeiten, die die Angriffsfläche erweitern und Standardverteidigungen widerstehen."
Herkömmliche EDR-Tools können keine sofortige Injektion kennzeichnen. Sie können nicht erkennen, wenn der eigene Speicher eines Agenten Anweisungen enthält, die von einem bösartigen Dokument eingefügt wurden, das vor drei Sitzungen analysiert wurde. Es gibt keine zu überwachenden Dateischreibvorgänge, keine anomalen Prozess-Spawns und keine Netzwerksignaturen.
Die Angriffsfläche ist das Kontextfenster des Modells. Die Erkennungsoberfläche ist die Eingabeaufforderungsschicht.
Der Aratech-Tipp: Kontrollieren Sie, was Sie können
Der Hermes-Agent wird nicht verschwinden. Es ist zu mächtig, zu offen und zu beliebt. Der Geist ist aus der Flasche.
Aber jedes Unternehmen, das persistente KI-Agenten einsetzt, benötigt eine Checkliste. Hier ist unseres:
- Führen Sie Agenten niemals im YOLO-Modus auf Systemen mit echten Anmeldeinformationen aus. Wenn Sie eine automatisierte Ausführung benötigen, Sandboxen Sie diese zuerst.
- Standard ist nicht sicher. Der Containermodus deaktiviert Genehmigungsprüfungen. Der Lesezugriff ist uneingeschränkt. Die Beharrlichkeit der Fähigkeiten ist unbegrenzt. Ändern Sie die Standardeinstellungen.
- Isolieren Sie Ihre Agentumgebungen. Dedizierte Benutzerkonten, minimale Volume-Bereitstellungen, schreibgeschützte Schlüsselverzeichnisse und Hardware-Wallets für alles, was mit Finanzsystemen zu tun hat.
- Überprüfen Sie, was Ihr Agent lernt. Von ihm geschriebene Fähigkeiten können über Sitzungen hinweg bestehen bleiben. Überprüfen Sie sie.
- Kennen Sie Ihre Erkennungslücke. Wenn Sie Shell-Befehle und Dateischreibvorgänge überwachen, fehlt Ihnen die Eingabeaufforderungsebene. Die Angriffsfläche befindet sich im Kontextfenster.
Der Verstoß des thailändischen Finanzministeriums ist keine Schwachstelle von Hermes Agent. Es handelt sich um eine Bereitstellungsschwachstelle, die bei jeder Persistent-Agent-Plattform auftreten kann. Die Frage ist nicht, ob Ihr Agent sicher ist. Es geht darum, ob Ihre Bereitstellung erfolgt.
Denn in der Cyberpunk-Zukunft, die bereits da ist, ist das Gefährlichste an einem KI-Agenten nicht der Code, sondern die Person, die die Schalter umlegt.
Nick hat alles geschrieben, ich habe als sein treuer Assistent nur dabei geholfen, alles zu verfeinern.