Zum ersten Mal wurde ein Land mithilfe von KI-Agenten angegriffen: Taiwan erlebt, wie Cyberkriegsführung künftig aussehen wird

Im Juli wurde Taiwan Opfer einer «ungewöhnlichen» Cyberattacke. Das schreibt die taiwanische Agentur für Cybersicherheit am Donnerstag in einer Medienmitteilung. Laut dieser waren neben menschlichen Hackern auch KI-Agenten beteiligt, also Softwareprogramme mit künstlicher Intelligenz, die externe Programme nutzen und mehrstufige Aufgaben erledigen können.

Damit ist Taiwan das erste Land, das einen Angriff autonomer KI-Agenten bestätigt. Die taiwanische Regierungsstelle verzichtet zwar auf das Wort autonom, spricht aber von einer neuen Art der Bedrohung.

Mehr Informationen über den Hack hat das israelische Cybersicherheitsunternehmen Dream am Mittwoch bekanntgegeben. Dream nennt in dem Bericht Taiwan zwar nicht namentlich. Die Firma verlinkt aber einen Artikel der «Financial Times», in dem eine anonyme Quelle Taiwan als Opfer angibt. Von daher liegt es auf der Hand, dass es in dem Bericht der Firma Dream um Taiwan geht.

Laut dem Dream-Bericht haben Angreifer die offenen KI-Agenten Hermes und Openclaw verwendet. Es habe zwölf Angriffswellen gegeben, bei denen jeweils bis zu acht KI-Agenten parallel eingesetzt worden seien. Eine Analystin von Dream, die an der Untersuchung beteiligt war, sagt im Gespräch, die KI-Agenten seien darauf ausgelegt gewesen, eine Attacke vollständig autonom durchführen zu können.

Innerhalb von vier Tagen sei es der KI gelungen, etwa 1400 Dokumente zu stehlen, die Zugangsdaten von 85 Profilen von Angestellten zu knacken und Tausende von Personaldatensätzen zu entwenden. Zudem hätten die KI-Agenten eine Schwachstelle im persönlichen Authentifizierungsdienst der Regierung entdeckt und Hintertüren in deren Webanwendungen installiert.

Weiter seien eine Behörde für Nuklearsicherheit, ein E-Mail-System der Regierung sowie mehr als sieben Unternehmen des Energiesektors angegriffen worden.

Ausgeklügelte Logik für den Angriff

Technisch bemerkenswert ist laut Dream vor allem, dass die KI-Agenten ihre Entscheidungen während der Attacke nach einer erkennbaren Logik anpassten: Das System bewertete jeden möglichen Angriffspfad fortlaufend nach Erfolgswahrscheinlichkeit und verlagerte Ressourcen auf eine bestimmte Route, sobald sie sich als aussichtsreich erwies.

Zudem hätten die Agenten während des Angriffs ständig dazugelernt und ihre Strategie laufend neuen Faktoren angepasst. War ein Pfad blockiert, schickte das System einen weiteren Agenten los, der im Netz nach neuen Methoden recherchierte.

Die Frage, wo sie die detaillierten Informationen über den Cyberangriff gefunden hätten, beantwortet Dream nur ausweichend. Man habe den Vorfall bei Scans des Internets entdeckt, sagt die Analystin. Zur Frage, ob Taiwan eine solche Recherche in Auftrag gegeben habe, wollte Dream nicht Stellung nehmen. Die Firma halte die Namen ihrer Kunden grundsätzlich geheim. Man habe aber die Regierung von Taiwan vor der Veröffentlichung der Recherche über den Vorfall informiert.

Dream wurde 2023 gegründet und beschreibt sich als Firma mit Fachkenntnissen in KI, Cybersicherheit und souveräner Infrastruktur, die direkt mit Regierungen zusammenarbeitet. Einer der Co-Gründer ist der ehemalige österreichische Kanzler Sebastian Kurz. Einer der anderen Gründer ist Shalev Hulio, ein israelischer Unternehmer. Er hatte zuvor die Firma NSO Group mitgegründet, die 2021 für ihre Spyware Pegasus bekannt wurde.

War es China?

Dream vermutet offenbar chinesische Hacker hinter dem Angriff. Begründet wird dies im Bericht allerdings nur mit einem Indiz: Sprachliche Analysen der «operativen Dokumentation» hätten ergeben, dass die Hacker vereinfachtes Chinesisch nutzten. Diese Variante der Schriftzeichen wird hauptsächlich auf dem chinesischen Festland verwendet, kommt aber auch in Singapur und Malaysia vor. In Taiwan ist eine kompliziertere Variante der Schrift gängig.

Für Taiwan bedeutet der Angriff eine neue Dimension in einem ohnehin permanenten Ausnahmezustand. Allein im Jahr 2025 zählte Taiwans Geheimdienst 2,6 Millionen chinesische Cyberattacken pro Tag, sechs Prozent mehr als im Jahr zuvor. China betrachtet die Insel als Teil des eigenen Staatsgebiets und will die dortige Demokratie mit militärischem, diplomatischem und propagandistischem Druck zur Selbstaufgabe zwingen.

Ein weiteres Indiz für einen staatlichen Akteur ist der Umfang der Vorbereitungen. Angreifer nutzten zwar zunehmend KI für autonome Angriffe, schreibt Dream in seinem Blogpost zum Vorfall. Doch in diesem Fall habe es sich um ein besonders komplexes System gehandelt. Das erfordere «mehr Aufwand als ‹nur› das Ausführen eines Modells». Man müsse die KI-Agenten sorgfältig an die jeweilige Aufgabe anpassen, ihre Koordination optimieren und die Entscheidungslogik genau abstimmen.

Forscher haben solche Hacks vorhergesehen

Dass KI-Agenten dazu in der Lage sind, autonom Hackerangriffe durchzuführen, zeigt sich immer deutlicher. Die KI-Firmen Open AI, Anthropic und seit neuestem auch Meta haben in den vergangenen Wochen bekanntgegeben, dass von ihnen entwickelte KI-Modelle während interner Tests Sicherheitslücken ausgenutzt und externe Firmen gehackt hätten.

Manche Cybersicherheitsexperten haben dies vorhergesehen, so auch Florian Tramèr. Er forscht als Assistenzprofessor an der ETH Zürich zu KI und Cybersicherheit und warnt schon seit über einem Jahr davor, dass Angriffe mit KI-Agenten immer wahrscheinlicher werden.

«Für Hacker ist es heute effizient und günstig, KI zu nutzen. Es würde mich eher überraschen, wenn sie es nicht tun würden», sagt er im Gespräch.

KI hilft Angreifern mehr als Verteidigern

Der Forscher befürchtet, dass KI beim Angriff mehr hilft als bei der Verteidigung. Zumal bei der Cybersicherheit von jeher gilt: Angreifer müssen nur eine einzige Schwachstelle im System des Opfers finden, während Opfer sich gegen alle möglichen Arten von Angriffen verteidigen müssen.

Tramèr sagt: «Machen Angreifer einen Fehler, ist ihr Schaden klein: Der Angriff scheitert. Dann starten sie eben einen neuen.» Machten hingegen Verteidiger einen Fehler, seien ihre Systeme bedroht.

«Natürlich können auch Verteidiger KI nutzen», sagt Tramèr. Aber um die von einem KI-Modell gefundenen Schwachstellen adäquat auszubessern, brauche es Zeit, Geld und Fachkenntnisse. Deshalb bekämpfen sich Angreifer und Verteidiger mit ungleich langen Spiessen.

Auch offene Modelle werden immer besser

Nun dürften Vorfälle wie jener in Taiwan häufiger werden. Zumal die Technologie für die Angreifer immer nützlicher wird.

Laut Tramèr sind offene Modelle, wie die, die die Angreifer im Fall von Taiwan verwendeten, in Sachen Hacking-Können den geschlossenen Modellen der grossen amerikanischen Tech-Konzerne noch unterlegen. Aber er rechne damit, dass es nur noch Monate dauern werde, bis auch die offenen Modelle auf diesem hohen Niveau lägen. «Da kommen wir an eine Grenze», sagt er. Es sei nicht unbedingt gut, diese Fähigkeiten jedem Hacker in die Hände zu geben. «Lücken gibt es überall.»

Das könnte auch für andere Regierungen zum Problem werden. Sie dürften auf die neue Gefahr noch nicht ausreichend vorbereitet sein.