Autonome KI-Agenten: eine „klare und gegenwärtige Bedrohung“ für kritische Infrastrukturen

Cybersicherheitsexperten schlagen im *The Register* Alarm: weaponisierte KI-Agenten können digitale Eindringlinge in physische Katastrophen in OT/SCADA-Netzwerken verwandeln. Der Angriff wird Realität.

Was

The Register berichtet vor einer Warnung von Cybersicherheitsexperten: Autonome KI-Agenten (Künstliche Intelligenz) stellen mittlerweile eine « klare und gegenwärtige Bedrohung » für kritische Infrastrukturen dar. Die zentrale These: Ein unkontrollierter oder gezielt eingesetzter KI-Agent kann einen digitalen Einbruch in eine physische Katastrophe (kinetic disaster) verwandeln – indem er industrielle Systeme (OT/SCADA, also Operational Technology / Supervisory Control and Data Acquisition), Stromnetze oder Wasseraufbereitungsanlagen ins Visier nimmt.

Analyse

Das Risiko ist nicht mehr theoretisch. Seit Monaten dokumentieren wir die Eskalation dieses Vektors: Indirekte Prompt-Injection über offizielle MCP (Model Context Protocol) wie Azure DevOps, von DeepSeek gesteuerte Agenten über Telegram für automatisierte Angriffe, Coding-Agenten, die WordPress-Lücken blind ausnutzen. Die Konvergenz dieser Fähigkeiten mit OT/SCADA-Zielen markiert einen qualitativen Sprung in der Bedrohung.

Kritische Infrastrukturen weisen Merkmale auf, die sie für diesen Vektor besonders anfällig machen:

• Langsame Patch-Zyklen: Industrielle Systeme haben eingeschränkte Wartungsfenster, manchmal nur jährlich
• Veraltete Protokolle: Modbus, DNP3, BACnet – Protokolle, die nicht für intelligente und anpassungsfähige Angreifer konzipiert wurden
• IT/OT-Konvergenz: Die zunehmende Integration von SCADA-Überwachungssystemen mit Computernetzwerken schafft neue Angriffswege
• Verfügbarkeit lokaler LLM: Ein Angreifer kann einen hochentwickelten Agenten auf handelsüblicher Hardware orchestrieren, ohne externe, nachverfolgbare APIs

Warnsignale

Dieser Erzählstrang entwickelt sich rasant. Die wichtigsten Entwicklungen, die in den kommenden Wochen zu erwarten sind:

• Veröffentlichung eines spezifischen Abwehrframeworks für KI-Agenten durch Behörden wie die US-CISA oder die französische ANSSI
• Erster öffentlich dokumentierter Vorfall, bei dem ein autonomer KI-Agent und eine echte OT-Infrastruktur beteiligt sind
• Anpassung der NIS2-Regulierung, um das Risiko « autonomer Agenten » explizit zu integrieren

Jeder Abschnitt dieser Entwicklung – vom Agenten, der einen Sportkurs über eine Sicherheitslücke bucht, bis zur Prompt-Injection auf Azure DevOps – baut eine Bibliothek an Techniken auf. Es ist nicht mehr die Frage, ob diese Techniken kritische Infrastrukturen erreichen, sondern wann.