Sysdig führt den Ablauf so aus: Der Agent verschaffte sich über CVE-2025-3248, eine nicht authentifizierte Remote-Code-Ausführung in Langflow (Patch seit April 2025), Codeausführung auf einem Server, sammelte Zugangsdaten und richtete Persistenz ein. Anschließend nahm er einen separaten Produktions-Server mit einer Nacos-Konfigurationsdatenbank ins Visier – über CVE-2021-29441 (Authentifizierungs-Umgehung) sowie bekannte Default-Signaturschlüssel in Nacos-Deployments.
Als Beleg für die Autonomie führt Sysdig an, dass nach einem fehlgeschlagenen Anmeldeversuch binnen 31 Sekunden ein korrigierter Payload folgte – der Agent habe dabei parallel zwei mögliche Fehlerursachen diagnostiziert („failure diagnosis and correction at machine speed“). Am Ende verschlüsselte die Operation 1.342 Nacos-Konfigurationseinträge und löschte Originaltabellen; insgesamt zählt Sysdig über 600 distinkte, zweckgerichtete Payloads. Sysdigs Kernaussage: Die Operation sei „unabhängig selbstkorrigierend“ gewesen und habe keinen Operator zur kontinuierlichen Überwachung gebraucht.
Einordnung der Quelle: Der Bericht stammt von Sysdig selbst (Vendor-Threat-Research, Tier B, selbstberichtet) und wurde in der deutschsprachigen Fachpresse (The Decoder) aufgegriffen. Das eingesetzte Sprachmodell wird nicht genannt; die Bewertung als „weitgehend autonom“ ist Sysdigs Einschätzung anhand der beobachteten Reaktionsgeschwindigkeit, nicht ein unabhängig nachgestellter Nachweis. Bemerkenswert bleibt, dass sämtliche ausgenutzten Lücken seit Langem Patches haben – der Vorfall unterstreicht damit weniger eine neue Schwachstellen-Klasse als die Geschwindigkeit, mit der ein automatisierter Agent bekannte, ungepatchte Angriffsflächen verketten kann.
Nachtrag (7. Juli 2026): In einem Bericht von TechCrunch relativiert Sysdigs Michael Clark (Senior Director of Threat Research) die Autonomie-Deutung deutlich. Ein Mensch habe die Operation aufgesetzt und gelenkt – das Opfer ausgewählt, die Infrastruktur bereitgestellt (Command-and-Control- sowie Staging-Server) und die anfänglichen Datenbank-Zugangsdaten geliefert, die nicht der Agent selbst erbeutete, sondern die aus einer früheren Kompromittierung stammten und der Operation übergeben wurden. Der Agent übernahm die technische Ausführung (Exploit, Selbstkorrektur eines fehlgeschlagenen Logins binnen 31 Sekunden, Verschlüsselung, Verfassen der Erpressernotiz mit Bitcoin-Adresse); Zielwahl und Einrichtung blieben menschlich. Clark stellt zudem klar, dass die im Loot gefundenen API-Schlüssel (OpenAI, Anthropic, DeepSeek, Gemini) erbeutete Zugangsdaten waren, kein Beleg für mehrere modellgesteuerte Angriffsphasen. Die ursprüngliche Zuspitzung „kompletter Ransomware-Angriff ohne menschliche Steuerung“ ist damit einzuordnen: autonom war die Ausführung, nicht die gesamte Kampagne.
Aktualisiert am 7. Juli 2026.