Im Testlabor von Zero Networks KI-Agent greift an, Segmentierung hält stand

Anbieter zum Thema

Zero Networks

cidaas by Widas ID GmbH

Zero Networks hat einen Claude-Agenten gegen sein Netzwerk antreten lassen. Das Ziel: laterale Bewegung mithilfe von Mikrosegmentierung im Netzwerk verhindern. So lief der Test ab.

Was ist erforderlich, um das eigene Netzwerk vor KI zu schützen? Inmitten einer Flut von Schwachstellen und der Sorge vor außer Kontrolle geratenen Agenten ist für Zero Networks die Devise: Es spielt keine Rolle, wie ein Angriff beginnt – oder ob der Akteur ein Mensch oder eine Maschine ist – wenn die erste Kompromittierung nirgendwohin führt. Diese Aussage wollten wir, als Segmentierungsspezialist, auf die Probe stellen.

Mit der Aufnahme von des Anbieters in das Anthropic Cyber Verification Program hat Zero Networks exklusiven Zugang zu Dual-Use-KI-Forschungsfähigkeiten. Wir nutzten diesen Zugang, um Claude Code als live agierenden, autonomen Angreifer gegen ein produktionsnahes, von Zero segmentiertes Labor einzusetzen und genau zu sehen, wie weit er kommt. Claude kompromittierte das absichtlich exponierte System, konnte aber nicht darüber hinaus weiter vordringen. Genau das ist der Sinn der Segmentierung: davon auszugehen, dass irgendwann etwas kompromittiert wird, und sicherzustellen, dass der Einbruch nirgendwo sonst hinführt.

Sicherheit 2026: Vulnpocalypse Now!

Bevor ich die Rohergebnisse des Experiments dargestelle, ist es wichtig, die Sicherheitslandschaft im KI-Zeitalter zu verstehen: was sich rasant verändert und was gleichbleibt. Die Sicherheitslandschaft erlebt derzeit einen tiefgreifenden Wandel, da fortschrittliche KI-Fähigkeiten auf das Auffinden von Schwachstellen und Exploits gerichtet werden. Im Februar 2026 wurden bei führenden Unternehmen weltweit 316 Schwachstellen mit kritischem und hohem Schweregrad veröffentlicht. Bis August stieg diese Zahl auf 2.987 – ein Anstieg um 845 Prozent in sechs Monaten. Kein Wunder: Im selben Zeitraum wurden Frontier-KI-Modelle wie Mythos und Daybreak veröffentlicht.

Sicherheitsverantwortliche spüren den Druck: 85 Prozent der Unternehmen planen, ihre Sicherheitsausgaben als Reaktion auf die Bedrohung durch Frontier-KI-Modelle zu erhöhen. Doch eine Kurzschlussreaktion, einfach mehr Budget in Patching zu stecken, ist nicht die Antwort. KI beschleunigt die Entdeckung von Schwachstellen. Verteidiger, die versuchen, durch schnelleres Patchen Schritt zu halten, verleihen „CVE“ – eigentlich „Common Vulnerabilities and Exposures“ – eine ganz neue Bedeutung: „Chasing Vulnerabilities Eternally“, also das „ewige Jagen von Schwachstellen“. Würde man auf einem Schiff mit 2.987 Lecks versuchen, jedes einzelne zu stopfen, bevor das Schiff sinkt, oder eher die betroffenen Abteilungen abschotten?

Microsoft führte die „Assume Breach“-Methodik vor mehr als zehn Jahren ein. Sie weist Sicherheitsteams an zu akzeptieren, dass einige ihrer Systeme irgendwann kompromittiert werden, und ihr Netzwerk mit dieser Annahme im Hinterkopf aufzubauen:

• Das Least-Privilege-Prinzip der minimalen Rechtevergabe beim Aufbau eines Netzwerks anwenden.

• Jedem Rechner nur den Netzwerkzugriff geben, den er zur Kommunikation benötigt.

• Mikrosegmentierung umsetzen.

Die „Vulnpocalypse“ ist real und unmittelbar, verändert aber höchstens die interne Verteilung einzelner Techniken innerhalb der verschiedenen Angreifertaktiken: Der Anteil schwachstellenbasierter Techniken wächst zulasten anderer Techniken. Die Anatomie des Angriffs ändert sich dadurch nicht. Dieses glänzende Sicherheitsphänomen sollte Verteidiger nicht von dem ablenken, was (weiterhin) am wichtigsten ist: die Grundlagen richtig zu machen.

Vertrauen ist keine Lösung!

Warum Zero Trust jetzt zum Muss wird

Kleine Einbrüche ins Netzwerk sind keine unternehmensweiten Katastrophen

Letztlich spielt es keine Rolle, ob Angreifer eine Schwachstelle ausnutzen oder einen anderen Erstzugriffsvektor nutzen, um einzudringen. Genauso wie ein einzelnes Leck ein Schiff mit sicherheitsoptimierter Bauweise nicht gleich zum Sinken bringt, bringt ein einzelner Brückenkopf für persistenten Zugriff das Unternehmen nicht zu Fall, solange der Einbruch eingedämmt bleibt.

Mikrosegmentierung beseitigt die Pfade, auf denen Angreifer vom Erstzugriff bis zur weitreichenden Wirkung gelangen. Ein kompromittiertes System bleibt ein einzelnes kompromittiertes System – ob der Einbruch von einem Menschen oder von einer KI ausgeht. Das ist das Argument, das Befürworter der Mikrosegmentierung schon immer vorgebracht haben. Lange bevor KI die Rechnung bei Cyberangriffen veränderte, war klar, dass Einbrüche unvermeidlich sind und proaktive Eindämmung der einzige verlässliche Vorteil für Verteidiger ist. Jetzt sagen die Frontier-KI-Labore dasselbe.

Netzwerksegmentierung neu denken

Herausforderungen der Mikrosegmentierung

OpenAI plädierte für Segmentierung

2025 zeigte die gemeinsame Forschung von Anthropic und der US-amerikanischen Carnegie Mellon University, dass LLMs mit Cyber-Toolkits mehrstufige Angriffe über Netzwerke mit 25 bis 50 Hosts autonom durchführen können, einschließlich Erstzugriff, lateraler Bewegung und Datenexfiltration.

Dann bewies der Hugging-Face-Vorfall, dass außer Kontrolle geratene Agenten, die Angriffe autonom ausführen, eine reale Bedrohung sind und nicht nur ein theoretisches Schreckgespenst. Die Taktiken der KI-Agenten waren nicht neuartig. Ausnutzung von Schwachstellen, Rechteausweitung, laterale Bewegung. Die unermüdliche Natur autonomer Angreifer bedeutet jedoch, dass sie so lange Pfade testen, bis einer funktioniert.

Unternehmen können einen KI-gesteuerten Angriff nicht durch Patchen überholen oder ihm davonlaufen, aber sie können ihn durch Architektur ausmanövrieren. In der Black-Hat-Session von OpenAI gab das Sicherheits- und Infrastrukturteam CISOs eine Roadmap an die Hand, um ihre Umgebungen gegen autonome KI-Angriffe zu härten: „Diese Agenten sind letztlich begrenzt durch die Rechte, die sie erlangen können, und die Systeme, mit denen sie kommunizieren können (…) Segmentierung, Least Privilege und andere Programme sind hier so wichtig wie eh und je.“

Zero Networks ließ Claude auf Netzwerk los

Das Team, das das KI-Modell hinter dem Hugging-Face-Vorfall entwickelt hat, bestätigte damit, was Zero Networks von jeher sagt. Wir wollten jedoch einen belastbaren Beweis dafür, dass ein durch identitätsbasierte Mikrosegmentierung geschütztes Netzwerk einem autonomen KI-Angriff standhält. Daher baute unser Team eine große Laborumgebung, die einem mittelgroßen Unternehmen oder einer großen Unternehmenssparte nachempfunden ist, und ließ Claude Code darauf los.

Das Testlaborteam hat die Verteidigung nicht mühsam für den Test konstruiert. Zero erfasste die Umgebung automatisch, kartierte die Kommunikation und erzeugte die Segmentierungsrichtlinien, die nötig waren, um laterale Bewegung einzudämmen. Dies alles erfolgte ohne Neugestaltung des Netzwerks, wochenlanges manuelles Schreiben von Regeln oder eine arbeitsintensive Einführung. Das Ergebnis war ein realistischer Test beider Seiten der Gleichung: wie weit ein autonomer Angreifer kommen kann und wie schnell ein Unternehmen eine wirksame Eindämmung etablieren kann. Wie in der Umgebung eines großen Kunden segmentierte Zero den Großteil des Netzwerks innerhalb von 30 Tagen.

Update: Mindestens ein weiteres Opfer

Autonomer KI-Agent dringt in Hugging-Face-Systeme ein

Der Test: Autonomer Angreifer vs. Mikrosegmentierung

Um die Wirkung der Mikrosegmentierung, umfassenden Schutz gegen KI-Angriffe zu bieten, zu überprüfen, bauten wir eine Simulation mit Claude Code auf. Unser Team richtete eine große, realistische Umgebung ein, die Infrastrukturen aus der Praxis nachempfunden und auf Hunderte von Assets skaliert ist. Die Laborumgebung war bewusst gemischt aus verschiedenen Betriebssystemen mit produktionsnahen, heterogenen Workloads aufgebaut. Die identitätsbasierte Mikrosegmentierung schützte die gesamte Umgebung. Ein Host wurde absichtlich als Kontrollobjekt unsegmentiert belassen.

93 Prozent der Unternehmen lassen KI-Agenten auf Kernsysteme zu

KI-Agenten brauchen denselben Lifecycle wie Mitarbeiter

Das Szenario

Der autonome Angreifer (Claude Code) wurde auf einer domainzugehörigen Workstation mit einer normalen Domainbenutzer-Identität platziert, was ihm die Verzeichnissicht und den Basiszugriff eines typischen Unternehmensnutzers gab. Sein Ziel war es, Administratorzugriff auf anderen Rechnern zu erlangen und eine Beweisdatei abzulegen.

Über mehrere Durchläufe hinweg erhöhten die Zero-Experten die Schwierigkeit: Claude erhielt eine gültige, zwischengespeicherte Admin-Identität und schließlich Internetzugang sowie die Freiheit, „jedes Tool zu nutzen“. Wir legten ein „Kronjuwel“-Asset fest, sodass es nicht als Erfolg zählte, lediglich auf dem unsegmentierten Host zu landen.

Nach OpenAI-Vorfall

Auch Claude hat eigenständig Unternehmen angegriffen

Was Claude versuchte

Hier eröffnet sich ein Einblick in die Strategien, die ein KI-gesteuerter Angreifer in freier Wildbahn wahrscheinlich nutzen würde. Claude erkundete aktiv mehrere Pfade, um die Umgebung zu erfassen, Rechte auszuweiten, Zugangsdaten zu stehlen, Active Directory zu missbrauchen, Kontrollen zu umgehen und sich in Richtung höherwertiger Systeme zu bewegen.

Eine Übersicht von Claudes Vorgehensweise:

• Claude versuchte 18 Angriffstaktiken, darunter Kerberoasting, Rechteausweitung, Pass-the-Ticket und GPO-Injection-Bypass.

• Die KI hat 23 Tools genutzt oder zu nutzen versucht, von eingebauten Windows-Dienstprogrammen (Living off the Land) bis hin zu Offensiv-Tools wie Impacket und Mimikatz.

• 22 verschiedene MITRE-ATT&CK-Techniken kamen zum Einsatz: Account Discovery, Domain-Policy Modification, Exploitation of Remote Services und mehr.

Das Ergebnis

Claude schloss die Netzwerk- und AD-Aufklärung ab und probierte verschiedene Angriffstechniken aus. In einigen Fällen brach er seine Versuche ab, nachdem er die Segmentierung erkannt hatte.

Sein Erfolg beschränkte sich auf den einzigen unsegmentierten Host: Dort erlangte er lokale Adminrechte und legte die Beweisdatei ab. Zu geschützten Systemen konnte er sich nicht lateral fortbewegen. SYSTEM- oder Domain-Admin-Rechte erreichte er ebenfalls nicht. Die Mikrosegmentierung hielt dem Angriff somit stand – selbst unter erschwerten Testbedingungen, da Claude über eine zwischengespeicherte Admin-Identität, Internetzugang und freie Toolwahl verfügte.

Claude selbst fasste das Ergebnis am Ende des Angriffs so zusammen: „Ich habe die vorgesehene Eindämmungsgrenze erreicht (…) das Ziel auf dem einen erreichbaren Zielsystem erreicht; Zero Networks dämmt den Rest ein.“ Außerdem sagte er: „Die Mauer ist das Netzwerk, nicht die Rechte (…) ein Brückenkopf-Konto, das normalerweise weitreichenden lateralen Zugriff hätte, ist auf das einzelne ungeschützte Asset beschränkt.“

Vom Scan bis zum freigegebenen Patch in einer Sitzung

Schwachstellen mit Claude Security aufspüren

Mikrosegmentierung hat die KI eingedämmt

Dieses Experiment bestätigt, was der Hugging-Face-Vorfall nahelegte, was OpenAI hervorhob und was Zero Networks schon immer gesagt hat: Identitätsbasierte Mikrosegmentierung liefert die proaktive Eindämmungsebene, die nötig ist, um zu verhindern, dass aus einem ersten Brückenkopf ein schlagzeilenträchtiger Einbruch wird.

KI mag Geschwindigkeit und Volumen von Angriffen dramatisch erhöhen, aber sie ändert nichts an einer grundlegenden Tatsache: Ein Angreifer kann nur erreichen, was das Netzwerk ihn erreichen lässt. Das Ziel ist nicht, ein endloses Rennen um die Verhinderung jeder Kompromittierung zu gewinnen. Es geht darum sicherzustellen, dass ein kompromittierter Rechner ein kompromittierter Rechner bleibt.

Über den Autor: Benny Lakunishok ist CEO und Mitbegründer von Zero Networks.

Claude Mythos und GPT Cyber verändern die Cybersicherheit

Spezialisierte KI-Modelle übernehmen komplette Angriffsketten

(ID:50975778)