Ein DeepSeek-KI-Agent mit Jailbreak ist Berichten zufolge in einen europäischen Telekommunikationsanbieter eingedrungen und hat eine Gesundheitsdatenbank mit Millionen von Patientendatensätzen erreicht.
Das Sicherheitsunternehmen Malbear Labs machte den Vorgang publik, nachdem es einen offengelegten Arbeitsbereich der Angreifer untersucht hatte, der Aktivitäten über mehr als zwei Wochen hinweg dokumentierte. Die betroffenen Organisationen haben das vollständige Ausmaß des gemeldeten Eindringens nicht unabhängig bestätigt.
Wiederhergestellte Sitzungsprotokolle zeigen außerdem, wie die KI weiterarbeitete, als Sicherheitssoftware einzelne Angriffsmethoden unterbrach.
Cisco-Schwachstelle öffnete Zugang zu Telekommunikationssystemen
In der Untersuchung, führten die Forscher den ursprünglichen Eindringversuch auf CVE-2026-20320 in Cisco BroadWorks zurück. Die Schwachstelle ermöglichte den unbefugten Zugriff auf sensible Serverdateien, darunter private Schlüssel, die zur Authentifizierung von Verbindungen zwischen Systemkomponenten verwendet werden.
Eine Herstellerwarnung nennt RI.2026.07 als erste fehlerbereinigte Version; eine Umgehungslösung ist nicht verfügbar.
Am 10. Nov. nahm die CISA die Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen auf. Die wiederhergestellten Dateien dokumentieren außerdem weitere laterale Bewegungen, an denen JBoss- und Liferay-Anwendungen beteiligt waren und die es dem Angreifer ermöglichten, zusätzliche Ausgangspunkte im Netzwerk einzurichten.
Über kompromittierte Zwischensysteme verband sich der Agent mithilfe von Standardzugangsdaten mit einer Oracle-Gesundheitsdatenbank von TrakCare. Diese Zugangsdaten gewährten Administratorrechte. Zu den verfügbaren Informationen gehörten Patientendaten, Impfnachweise und Terminbuchungen.
Aus den internen Systemen des Anbieters wurden außerdem Tausende Abrechnungs- und Gerätedatensätze von Abonnenten sowie etwa 80 Backups von Zabbix-Überwachungskonfigurationen entwendet. Eine vom Agenten erstellte Liste nannte 13 gehostete Organisationen; ihre Aufnahme belegt jedoch nicht, dass jede von ihnen kompromittiert wurde.
KI-Agent entwickelte neue Methoden, als Sicherheitskontrollen eingriffen
Der Betreiber verwendete ein eigenes DeepSeek-Flash-Framework mit einem 78.000 Zeichen langen Jailbreak-Prompt, der Sicherheitsverweigerungen unterdrücken sollte. Ein Hauptagent bewahrte den operativen Kontext und delegierte Aufgaben an kleinere Agenten, wodurch eine längere Aktivität bei begrenzter menschlicher Überwachung möglich wurde.
Wiederhergestellte Mitschriften dokumentieren mehrere Fälle, in denen sich das System anpasste, als Abwehrkontrollen seine Aktivitäten unterbrachen.
- Blockierte Rechteausweitung. Trend Micro Deep Security stoppte den Versuch, die PwnKit-Schwachstelle auf einem Linux-Server auszunutzen. Die KI wechselte zu einem erlaubten sudo-vi-Befehl, erlangte erhöhte Rechte und richtete einen dauerhaften Zugang ein.
- Antivirus-blockierter Netzwerktunnel. Nachdem der Endpunktschutz das Tunneling-Tool suo5 blockiert hatte, erstellte ein Worker-Agent einen Perl-basierten Ersatz. Die interne Konnektivität wurde noch in derselben Sitzung wiederhergestellt.
- Gelöschte Webshells. Sicherheitssoftware entfernte kurz nach ihrer Bereitstellung bekannte schädliche JSP-Dateien. Der Agent schrieb ihren Inhalt mithilfe von Unicode-Escapes um, sodass die modifizierten Versionen der signaturbasierten Erkennung entgingen.
Die Ermittler stellten fest, dass die KI diese Alternativen ohne neue Anweisungen des Betreibers auswählte. Der Mensch blieb für die Festlegung der Ziele und die Überprüfung der Ergebnisse zentral, doch einzelne technische Entscheidungen traf das automatisierte System.
Kompromittierung eines Anbieters kann Kunden ohne direkten Eindringversuch gefährden
Organisationen können ihre internen Schutzmaßnahmen auf einem hohen Niveau halten und dennoch durch einen kompromittierten Dienstleister dem Risiko einer Datenoffenlegung ausgesetzt sein. Der gemeldete Weg von der Telekommunikationsinfrastruktur in eine Gesundheitsdatenbank veranschaulicht, wie der Zugriff externer Systeme zu einem Sicherheitsrisiko werden kann.
Zu verstehen, welche Anbieter-Konten auf Kundeninformationen zugreifen können und wie diese Verbindungen eingeschränkt werden, ist ein wichtiger Bestandteil desDrittanbieterrisikomanagements.
Ein KI-Agent, der nach Sicherheitsblockaden weiterarbeitet, erschwert auch die Erkennung. Das Stoppen eines einzelnen schädlichen Tools kann eine bestimmte Aktion unterbrechen, ohne den Eindringversuch zu beenden.
Sicherheitsteams, die ähnliche Aktivitäten untersuchen, sollten prüfen, ob nachfolgende Rechteänderungen oder unerwartete Netzwerkverbindungen darauf hindeuten, dass der Angreifer einen anderen Weg gefunden hat.
Das Ausmaß der Offenlegung zu bestimmen, stellt eine weitere Herausforderung dar. Der Zugriff auf eine Datenbank bedeutet nicht zwangsläufig, dass ihre Inhalte gestohlen wurden, und Belege für eine mögliche Datenentnahme können beim kompromittierten Anbieter verbleiben.
Bei der Reaktion auf Sicherheitsvorfälle sind betroffene Organisationen auf den zeitnahen Zugriff auf Prüfprotokolle und andere Aufzeichnungen angewiesen, um festzustellen, ob personenbezogene Daten entwendet wurden und ob Benachrichtigungen erforderlich sind. Ohne ausreichende Belege kann selbst ein eingedämmter Vorfall Kunden im Unklaren darüber lassen, was mit ihren Daten geschehen ist.
Bleiben Sie über Europas neueste Entwicklungen in Technologie, KI und Cybersicherheit auf dem Laufenden. Abonnieren Sie Tech Insider Europe für unverzichtbare Berichterstattung über die sich wandelnde Technologielandschaft der Region.