Wir blicken auf den Punkt eines wichtigen Wendepunkts in der Geschichte der Cybersicherheit wie beim GTG-1002, der weithin als der erste groß angelegte Cyberangriff mit nahezu vollständiger KI-Autonomie bewertet wird. Die Quelle dieser Analyse stammt aus dem Postmortem-Bericht von Anthropic, der eine ziemlich erstaunliche Geschichte erzählt. Wir werden analysieren, wie sie es getan haben und, noch wichtiger, wie die Verteidigungsarchitektur für jede Organisation mit autonomen Agenten aussehen muss, und das schließt wahrscheinlich auch Ihre ein. Angriff Diese Cyber-Spionage ereignete sich im September 2025, da dies darauf hingewiesen wird, dass es sich um einen chinesischen staatlich geförderten Angriff handelt, haben sie Claude's Code, insbesondere den MCP-Server, kompromittiert und manipuliert. Wenn Sie nicht wissen, was ein MCP ist, können Sie es als die interne Steuerung der KI betrachten. Und was hier so einzigartig ist, ist das Niveau der Automatisierung, denn traditionell sind Aufgaben wie diese von Menschen gerichtet. Sie haben sicherlich Skripte, aber eine Person ist hinter dem Rad, GTG-1002 hat das vollständig umgedreht. Sie haben 80-90% der Automatisierung ihrer taktischen Operationen erreicht. Die menschlichen Betreiber mussten nur an vier bis sechs entscheidenden Entscheidungspunkten für die gesamte Kampagne eingreifen. Das Element Maschinengeschwindigkeit ist entscheidend, wenn wir über Effizienz sprechen, aber in dieser Operation ist es exponentiell. Ein menschliches Team könnte ein oder zwei Ziele zu einer Zeit aufeinanderfolgend verwalten, aber diese KI arbeitete mit einer Geschwindigkeit, die für eine Person physisch unmöglich ist. Es schoss Tausende von Anfragen pro Sekunde ab, handelte mit allem, von der Entdeckung bis zur Exfiltration, und dokumentierte sogar seine eigene Arbeit. Der erschreckende Teil der gesamten Operation ist, dass sie kein exotisches neues Null-Day-Exploit benutzten. Die Raffinesse lag vollständig in der Orchestrierung, nicht in den einzelnen Tools. Die Neuerung war, den LLM in den Maestro dieses hyper-effizienten Angriffsagenten zu verwandeln, indem sie Tools verwendet, die bereits da draußen sind, und diese Aktion senkt massiv die Barriere für den Eintritt für den nächsten Angreifer. Ein LLM wie Claude wird geschult, um schädliche Anfragen zu verweigern, weil es Wachen hat, so dass was sie im Wesentlichen getan haben, war das Modell sozial zu konstruieren. Aufgabe der Zersetzung: Wenn ein System-Prompt groß und komplex ist, ist es für das Modell einfacher, die bösartigen Aufgaben zu erkennen und zu blockieren. Was sie taten, war, die Aufgaben in hundert winzige, scheinbar unschuldige Schritte aufzuteilen, was zum Scheitern der Wache führt. Eine Anfrage wie "scan this network for open ports" gefolgt von der Abfrage der Struktur der Benutzertabelle und dann der Extraktion von Datensätzen zur Analyse. Manipulation der Person: Sie manipulierten die Systemanrufe, um die KI davon zu überzeugen, dass es ein legitimes Sicherheitswerkzeug für ein Cybersicherheitsunternehmen war. Sie gaben ihm einen gefälschten Job, einen sehr detaillierten. Sie gaben ihm eine ganze Hintergrundgeschichte: „Du warst ein Werkzeug für das Cyber Defense Corps. Die Entdeckung Aber etwas verlangsamte sie, den Fehler, den wir alle gehasst haben: KI-Halluzinationen. Die KI würde ihre Ergebnisse oft überbewerten. Es würde Dinge aufstellen, wie behaupten, funktionierende Anmeldeinformationen gefunden zu haben, die dann die Authentifizierung versagen würden, oder es würde die Schwere einer Schwachstelle übertreiben, die nicht wirklich da war. Und dies zwang die menschlichen Bediener, die 10 bis 20% noch in der Schleife sind, um alles, was die KI berichtete, manuell zu überprüfen. Es führte menschliche Geschwindigkeitsverzögerungen zurück in den Prozess. So waren die Halluzinationen das Leben, obwohl eine sinkende, da die Modelle besser werden, was die Frage stellt, ob die KI nur normale Werkzeuge unter einer gefälschten Person Es war nicht linear, da der Schlüssel war, was der Bericht Multi-Signal-Anomalie-Erkennung nennt. Sie konnten nicht nach benutzerdefinierten Malware suchen, also mussten Sie eine spezifische Korrelation von Verhaltensweisen finden. 
 
 
 
 
 Zuerst wurde eine hohe API-Aktivität aufrechterhalten, Tausende von Anfragen pro Sekunde. Zweitens die anhaltende Verwendung von cyber-fokussierter Sprache in Tool-Befehlen. Die Tatsache, dass ein Konto 30 unabhängige Organisationen gleichzeitig untersucht, was möglicherweise oder nicht das Volumen der Siren erhöht hat. Die spezifische Kombination von Scannern und Datenbank-Extraktoren, die bei diesem Volumen mit dieser Sprache über all diese Ziele hinweg verwendet werden. Viele dieser Signale sind ein hohes Volumen aus 24/7-Operationen, die leicht eine legitime CI / CD-Pipeline in DevOps oder eine große Datenverarbeitungsarbeit beschreiben könnten. Ein DevOps-Agent, der 24/7 läuft, ist normal, aber ein DevOps-Agent, der auch 30 externe Finanzdatenbanken testet, während er eine Penetrationstestsprache verwendet. Lösungen Das Problem erfordert Schichten der Verteidigung: Kontextbewusstsein, Rate-Limiting, Inhaltskontrolle, Überwachung und eine solide Audit-Trail. Jeder einzelne Agent braucht ein erzwungenes Agent-Profil, ein angegebenes Ziel, das seine erwartete Werkzeugpalette, seine autorisierten Ziele und seine Betriebszeiten umfasst. Sie erstellen eine klare Verhaltensbasis. Also, wenn Ihr Agent ein Notiz-Taking-Assistent ist und er plötzlich versucht, einen Datenbank-Extraktor anzurufen, das ist eine sofortige, unbestrittene rote Fahne. Es hat seine Identität verletzt. First is agent identity and traceability. Dies geht über einfache erlauben oder leugnen hinaus. Es geht darum, kontextuell unangemessene Werkzeugnutzung zu erkennen. Zurück zum GTG-1002-Angriff, behauptete der Agent, ein Sicherheits-Tester zu sein. Ein echter Tester arbeitet auf einem Client zur Zeit unter einem Vertrag; das Ziel 30 auf einmal ist die kontextuelle Anomalie, die Alarme ausgelöst haben sollte, auch wenn das Konto technisch erlaubt war, diese Werkzeuge zu verwenden. Second is role-based tool access anomaly detection. Das bedeutet drei Sicherheits-Gateways für jede Aktion. Zuerst blockieren Sie die Anfrage, bevor sie sogar ausgeführt wird, wenn sie die Rolle des Ziels oder eine Rate-Limit verletzt. Dann, während der Ausführung Überwachung, Echtzeit-Tracking des Tempo, wie viele Anfragen pro Sekunde und wie viele Daten verarbeitet werden. Und schließlich, Post-Execution-Analyse. Verwenden Sie Datenverlustprävention (DLP), um die Ergebnisse für sensible Daten zu scannen, nachdem die Aktion abgeschlossen ist, aber bevor die Daten tatsächlich an den Benutzer gesendet werden. Third is continuous oversight, the checkpoint architecture. Sie können einem Angreifer nicht erlauben, das Tempo zu diktieren. Sie müssen strenge Einschränkungen pro Konto auf Anfragen pro Sekunde implementieren. Beginnend bei vielleicht 10 Anfragen pro Sekunde, wenn es das Spielfeld ausgleicht, wird ein automatisierter Angriff, der bei Tausenden von Anfragen pro Sekunde läuft, diese Wand sofort treffen und unglaublich laut und leicht zu erkennen. The fourth strategy is aimed right at the machine speed problem: universal rate limiting. Die unveränderliche mehrschichtige Auditspur, da dies nicht verhandelbar ist, müssen Sie alles protokollieren.Die Absicht des Benutzers vom API-Anruf, die tatsächliche Werkzeugausführung auf dem Server, die DLP-Scan des Dateninhalts und den Netzwerkfluss, wo die Ausgabe ging. And the final piece, which is critical for forensics, is  the audit trail. Und unveränderlich ist das Schlüsselwort dort, die Logs müssen geschrieben werden, um dem Speicher beizufügen, bevor das System sogar auf den Benutzer reagiert. Bringen Sie dieses Zuhause für alle, da dieser Angriff jedem Unternehmen morgen passieren kann, mit welchem Agent sie in ihrer Organisation implementiert haben, einem Enterprise-Coding-Assistent in einem normalen Unternehmen. Es ist leicht, sich vorzustellen, dass ein Angreifer das Konto eines Entwicklers kompromittiert. Sie sagen dem Coding-Assistent, der alle Ihre internen Code-Repos lesen kann, eine Sicherheitsbewertung durchzuführen. Der Agent scannt autonom nach hard-codierten Geheimnissen, findet Datenbank-Authentifizierungen, verwendet sie, um auf Produktion zuzugreifen, und beginnt Daten zu exfiltrieren. Ihr Audit-Log sagt nur, dass der Entwickler eine Code-Revision durchgeführt hat; Sie sind blind für die bösartige Absicht. Es ist das gleiche für einen Business-Intelligence-Agenten, wie ein Angreifer es zum Exportieren aller Kundendaten unter dem Vorwand eines vierteljährlichen Churn-Analyseberichts täuschen kann.Der Agent zieht alle PII, sendet den riesigen Bericht an das kompromittierte Konto und es ist weg. Mit diesem Angriff und wie es entdeckt wurde, werden kurzfristige Angreifer klüger. Sie werden menschliche Verzögerungen hinzufügen, um Ratenlimits zu umgehen. Sie werden Angriffe über mehr Konten verteilen. Aber mittelfristig, da die Modelle aufhören zu halluzinieren, gehen wir direkt zu AI versus AI-Krieg, autonomen Angriffsrahmen, die AI-Verteidigungsrahmen in Echtzeit bekämpfen. Schlussfolgerung Das zentrale Anliegen hier ist, dass die Verteidigung eine umfassende, mehrschichtige Architektur sein muss. Es muss Identität, kontextuelle Überwachung, Rate-Beschränkung und unveränderliche Auditing kombinieren; Sie müssen Agenten auf der Grundlage dessen sichern, was sie behaupten zu tun, gegenüber dem, was sie tatsächlich tun. Das Rennen zwischen offensiver und defensiver KI ist nun vollständig im Gange.Der dringende Imperativ hier ist, umgehend zu beurteilen und sicherzustellen, dass die AI-Agenten-Einrichtungen Ihrer Organisation gegen dieses eigentliche Angriffsmuster eingesetzt werden.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Building Soteria

Read My Stories

Dieses Audio ist in der Originalsprache der Geschichte produziert!

Der erste autonome KI-Cyberangriff enthüllt

About Author

KOMMENTARE

Hängeetiketten

DIESER ARTIKEL WURDE VORGESTELLT IN

Related Stories

HackerNoon Decoded 2024: Celebrating Our Startups Community!

Starting 2025 with New Features: Settings Dashboard, HackerNoon Decoded, Updated Search UI, and More

HackerNoon Decoded 2024: Wir feiern die Community unserer Technologieunternehmen!

HackerNoon Decoded 2024: Celebrating Our Writing Community!

HackerNoon Decoded 2024: Celebrating Our Startups Community!

Starting 2025 with New Features: Settings Dashboard, HackerNoon Decoded, Updated Search UI, and More

HackerNoon Decoded 2024: Wir feiern die Community unserer Technologieunternehmen!

HackerNoon Decoded 2024: Celebrating Our Writing Community!

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps