KI-Angreifer sind längst da: Warum mehrschichtige Verteidigung gewinnt

Debrup GhoshLeitender Produktmanager | F5

James LeeSenior-Lösungsarchitekt | F5 (Asia Pacific)

Muhammad AbidSenior Director, Produktmarketing, F5

Zwölf Minuten. So lange brauchte ein automatisierter, KI-gesteuerter Angreifer in einer kürzlich durchgeführten europäischen Cybersicherheitssimulation, um vom ersten Zugriff bis zur vollständigen Kontrolle über das Zielnetzwerk mit Root-Rechten zu gelangen. Zwölf Minuten sind kürzer als das morgendliche Stand-up Ihres Sicherheitsteams – ganz zu schweigen von einem regulären Triage-Zyklus im Security Operations Center (SOC).

CISOs verlieren zunehmend den Luxus, Zeit zu haben. Wenn ein autonomer KI-Agent Systeme scannen, sich im Netzwerk weiterbewegen, Schwachstellen ausnutzen und Zugangsdaten ausschleusen kann, bevor ein menschlicher Analyst überhaupt ein Ticket zu einer Warnmeldung öffnen kann, ist der strategische Handlungsauftrag für Sicherheitsverantwortliche eindeutig: Sie müssen Bedrohungen in Maschinengeschwindigkeit mit ebenso schnellen Abwehrmaßnahmen begegnen.

Auslöser dieser drastischen Verkürzung der Reaktionszeit ist Artex, ein offensives Multi-Agenten-Framework, das ursprünglich in China entwickelt und auf GitHub als Open-Source-Software veröffentlicht wurde. Obwohl der Autor das öffentliche Repository nach weitverbreitetem Missbrauch entfernte, waren bereits Tausende Forks des Codes erstellt worden, sodass Hunderte aktive Installationen weiterhin über das Internet frei erreichbar waren.

Angreifer aller Art haben Artex als Waffe eingesetzt. In Südkorea automatisierten Cyberkriminelle Angriffe auf sieben Finanzinstitute, von denen rund 67.000 Personen und 2.200 Organisationen betroffen waren, um Lösegeld zu erpressen. Weltweit setzten staatsnahe Gruppen Artex gegen mehr als 200 Ziele im Telekommunikations- und Pharmasektor sowie im Regierungsbereich in 14 Ländern ein. Bei Angriffskampagnen in Indien wurde es hingegen genutzt, um Bank-APIs für Überweisungen direkt aufzurufen.

Um Ihr Unternehmen zu schützen, müssen wir den Hype der Branche hinter uns lassen und uns auf die Fakten konzentrieren. Artex ist kein eigenständiges superintelligentes Modell. Es ist ein in Go geschriebenes Orchestrierungsframework, das kommerzielle große Sprachmodelle (LLMs) wie DeepSeek, Claude und Grok mit Befehlszeilentools, Skripten und Servern für das Model Context Protocol (MCP) kombiniert.

Das LLM fungiert als kognitives Gehirn: Es analysiert Antworten, plant mehrstufige Kampagnen und erstellt bei Bedarf maßgeschneiderte Exploit-Skripte. Die automatisierten Tools dienen als Hände. Diese Architektur macht Hacking für jeden zugänglich. Hochentwickelte, mehrstufige Angriffe, deren Koordination früher selbst für ein spezialisiertes Team mehrere Tage in Anspruch nahm, können heute von Akteuren mit geringen technischen Kenntnissen innerhalb von Minuten ausgeführt werden. Dabei nutzen sie alltägliche Schwachstellen wie schwache Passwörter, fehlende Multi-Faktor-Authentifizierung (MFA) und offen zugängliche APIs aus.

Warum einschichtige Schutzmaßnahmen bei Maschinengeschwindigkeit versagen

Als die Sicherheitsforscher von F5 Artex mit führenden KI-Modellen verbanden und es in unserem Labor gegen eine bewusst verwundbare Anwendung einsetzten, waren die Ergebnisse eindeutig. Je leistungsfähiger das zugrunde liegende LLM war, desto schneller und aggressiver ging Artex vor.

Besonders aufschlussreich war unsere Beobachtung, wie sich der Agent angesichts herkömmlicher punktueller Schutzmaßnahmen verhielt. Die meisten bestehenden Sicherheitsarchitekturen prüfen eingehende Anfragen isoliert. Als wir die F5 Web Application Firewall für Distributed Cloud vor die Anwendung schalteten, blockierten vorhandene Signaturen sofort die erste Welle erkennbarer Web-Injection-Payloads von Artex. Darüber hinaus bewertete die WAF durch die Kombination von Signaturerkennung und maschinellem Lernen mittels KI-gestützter Risikobewertung den umfassenderen Kontext eingehender Anfragen. Dies gab den Teams die nötige Sicherheit, Bedrohungen aktiv zu blockieren, statt sie lediglich passiv zu überwachen.

Doch mit dem Abwehren der ersten Welle war der Angriff nicht beendet. Sobald Artex erkannte, dass seine gängigen Web-Exploits blockiert wurden, änderte das LLM seine Taktik in Echtzeit. Es begann, die Programmierschnittstellen (APIs) der Anwendung zu erfassen und nach Schwachstellen in der Geschäftslogik zu suchen – etwa nach Möglichkeiten, durch Manipulation von Kunden-ID-Parametern auf die privaten Konten anderer Nutzer zuzugreifen. Für eine punktuell eingesetzte Firewall, die jedes Paket einzeln prüft, sehen solche Anfragen wie normaler Anwendungsdatenverkehr aus.

Um einen Angreifer abzuwehren, der dynamisch zwischen Angriffsvektoren wechselt, müssen die Komponenten Ihrer Sicherheitsarchitektur operativ miteinander verzahnt sein. In F5 Distributed Cloud stellt die Erkennung böswilliger Benutzer diese Verbindung her, indem sie den Akteur hinter den Anfragen verfolgt, anstatt jede Anfrage isoliert zu bewerten. Sie führt WAF-Verstöße, unzulässige Zugriffsversuche, fehlgeschlagene Anmeldungen, Bot-Telemetriedaten und ausgelöste Ratenbegrenzungen zu einem fortlaufend aktualisierten Bedrohungswert zusammen. Entsprechend diesem Wert werden die Abwehrmaßnahmen schrittweise verschärft – von einer JavaScript-Prüfung über ein CAPTCHA bis hin zur vollständigen Blockierung.

Für einen CISO beseitigt die kontinuierliche Nachverfolgung drei kritische blinde Flecken im Sicherheitsbetrieb. Erstens wechseln Artex-Kampagnen unablässig ihre Proxy-Infrastruktur: Bei der Analyse eines offengelegten Angreiferservers generierte ein Proxy-Dienst für die ersten 100 getesteten Identitäten 79 Ausgangs-IP-Adressen. Indem die IP-Nachverfolgung um JA4-TLS-Fingerabdrücke, JWT-Claims, Cookies und Sitzungsheader ergänzt wird, behält die Erkennung böswilliger Benutzer denselben Angreifer auch bei wechselnden IP-Adressen im Blick.

Zweitens verknüpft es unauffällige Ausspähversuche, die für sich genommen harmlos erscheinen. Drittens erstellt Artex in Echtzeit neuartige Skripte, für die noch keine Signaturen vorliegen. Indem die Entwicklung des Angreiferverhaltens über einen längeren Zeitraum verfolgt wird, lassen sich Zero-Day-Angriffssequenzen automatisch stoppen. In unseren Laborsimulationen reduzierte die Kombination aus der Erkennung bösartiger Nutzer und einer KI-gestützten WAF den Angriffserfolg um mehr als 70 %.

Kontinuierliches Vertrauen am Netzwerkrand schaffen

Da Angriffe durch agentische KI über Skripte, Headless-Browser und Automatisierungsframeworks ausgeführt werden, die die Befehle des LLM umsetzen, reichen statische Regeln allein nicht aus. Sicherheitsverantwortliche müssen zur Laufzeit kontinuierlich Vertrauen sicherstellen – indem sie überprüfen, ob die Instanz, die mit ihren Anwendungen und APIs interagiert, tatsächlich ein Mensch oder eine automatisierte Maschine ist. F5 Distributed Cloud Bot Defense deckt agentische Automatisierung am Edge auf, indem es die Client-Telemetrie anhand von vier unterschiedlichen Vektoren untersucht:

• Hardware-Fingerprinting virtueller Maschinen: Automatisierte Agenten führen rechenintensive Aufgaben häufig in virtuellen Maschinen in Rechenzentren aus und leiten ihren Datenverkehr dabei über Residential Proxys, um den Datenverkehr privater Nutzer nachzuahmen. Fortschrittliches Fingerprinting untersucht die Hardwaremerkmale des Clients und erkennt dabei CPUs der Serverklasse, Arbeitsspeichergrenzen und GPUs, anhand derer sich virtuelle Maschinen in Rechenzentren von Laptops oder Mobilgeräten privater Nutzer unterscheiden lassen.
• Navigationsverhalten auf Websites: Menschen navigieren auf Websites nach unregelmäßigen, unvorhersehbaren Mustern. Automatisierte Agenten folgen einheitlichen, vorgegebenen Pfaden, um Aufgaben mit maximaler Effizienz zu erledigen. Eine patentierte Sequenzerkennung analysiert diese Navigationsverläufe, um automatisierte Navigation von menschlichem Verhalten zu unterscheiden.
• Interaktionsrhythmus bei Formularen: Ob beim Erstellen von Konten, beim Testen von Anmeldedaten oder beim Absenden von Formularen – automatisierte Agenten sind auf Geschwindigkeit optimiert. Die Telemetrieüberwachung erkennt Eingaben, die schneller erfolgen, als Menschen tippen können, sowie unnatürliche Scrollbewegungen, die menschliche Hände nicht nachahmen können.
• Benutzerbiometrie und Mausdynamik: Selbst wenn Agenten versuchen, menschliche Mauszeigerbewegungen nachzuahmen, offenbaren ihre Telemetriedaten mathematische Perfektion: geradlinige Bewegungen, gleichmäßige Bögen und Klicks exakt in der Mitte von Schaltflächen, die in krassem Gegensatz zur natürlichen menschlichen Ungenauigkeit stehen.

Wenn automatisierte Agenten versuchen, die Perimeter-Abwehr zu umgehen und exponierte Schnittstellen anzugreifen, bietet F5 Distributed Cloud API Security die entscheidende Schutzschicht. Die kontinuierliche API-Erkennung deckt automatisch alle Endpunkte auf, einschließlich undokumentierter Schatten-APIs. Die strikte Durchsetzung des OpenAPI-Schemas legt anschließend die genauen Datenstrukturen und Authentifizierungsanforderungen fest, die für jede Transaktion zulässig sind. Dabei werden die nicht konformen, fehlerhaft formatierten Nutzdaten, die Artex bei der Auskundschaftung und ID-Manipulation generiert, automatisch zurückgewiesen.

Durch die Kombination aus KI-gestützter WAF, Erkennung böswilliger Benutzer, Bot-Abwehr und Durchsetzung von API-Schemas sank die Gesamterfolgsquote der Angriffe von Artex in unseren Labortests um mehr als 90 %. (Hinweis: Diese Ergebnisse beziehen sich auf spezifische Laborkonfigurationen und Testszenarien. Die tatsächliche Leistung und die Abwehrquoten variieren je nach Netzwerkumgebung und Anwendungsarchitektur.)

Entscheidend ist, dass die wenigen Versuche, die in unserem Labor dennoch erfolgreich waren, Endpunkte betrafen, die sensible Daten zurückgaben, ohne zu prüfen, ob der Anfragende dazu berechtigt war – eine eindringliche Erinnerung daran, dass CISOs nicht nur überwachen müssen, was bei Anwendungen eingeht, sondern auch, was diese zurücksenden.

Um der zunehmenden Zahl von Hackerangriffen entgegenzuwirken, die durch öffentlich verfügbare, ursprünglich nicht dafür konzipierte Tools ermöglicht werden, müssen wir kritische Fragen stellen: Haben wir einen vollständigen Überblick über jede öffentlich zugängliche API und verlangen wir für jede eine Authentifizierung? Haben wir geprüft, ob sich die Geschäftslogik durch Parametermanipulationen aushebeln lässt? Können unsere Systeme Angreifer auch bei schnellen IP-Wechseln verfolgen, und setzen unsere Red Teams geprüfte Tools in isolierten Umgebungen ein – insbesondere angesichts der Tatsache, dass Forschende bereits 62 über das Internet erreichbare Artex-Installationen entdeckt haben, die durch Hintertüren kompromittiert wurden?

KI-Angreifer agieren mit Maschinengeschwindigkeit und passen sich eigenständig an. Widerstandsfähig bleiben Unternehmen mit integrierten, mehrschichtigen Abwehrmaßnahmen, die sich gleichzeitig über Webanwendungen, Bots, Nutzerverhalten und API-Landschaften hinweg anpassen.

Sind Sie bereit, Ihre Abwehr gegen adaptive KI-Bedrohungen zu stärken? Entdecken Sie F5 Distributed Cloud Services oder kontaktieren Sie F5, um einen Termin für eine Bewertung der Abwehrbereitschaft Ihrer Anwendungs- und API-Landschaft gegen KI-Angriffe zu vereinbaren.

Über die Autoren

Debrup GhoshLeitender Produktmanager | F5

Weitere Blogbeiträge von Debrup Ghosh

James LeeSenior-Lösungsarchitekt | F5 (Asia Pacific)

Weitere Blogbeiträge von James Lee

Muhammad AbidSenior Director, Produktmarketing, F5

Muhammad Abid ist Senior Director of Product Marketing für Application Security und WAAP bei F5. Mit mehr als 20 Jahren Erfahrung in der Skalierung von Netzwerk- und Cybersicherheitsgeschäften bei Netskope, Cisco, Juniper und Fortinet verantwortet Muhammad das einheitliche WAAP-Portfolio von F5, das WAF, API-Sicherheit, Bot-Abwehr und Post-Quanten-Kryptografie umfasst.

Weitere Blogbeiträge von Muhammad Abid