## archiv ki-pentesting - seite 2 von 19
Alle Artikel des Ressorts, neueste zuerst. Zur Ressort-Seite KI-Pentesting
SECURITYAI-Code-Review durch Entwickler: Sicherheitslücken übersehen, Vertrauen überbewertet
Eine Studie mit 100 Entwicklern zeigt: Bei der Bewertung von KI-generiertem Code übersehen Programmierer systematisch Sicherheitslücken. Vertrauen in die KI und oberflächliche Hinweise beeinflussen die Auswahl stärker als echte Code-Analyse.
SECURITYNordkorea-Hacker locken IT-Spezialisten mit Fake-Jobs
Nordkoreanische Hacker führen eine Kampagne durch, bei der sie IT-Spezialisten über gefälschte Jobinterviews anlocken. Die Sicherheitsbehörden warnen vor der Methode "Contagious Interview".
SECURITY12% der MCP-Konfigurationen enthalten hardcodierte Credentials
Eine Analyse von 82.000 MCP-Konfigurationsdateien zeigt: Jede achte analysierte Datei auf GitHub enthält hardcodierte API-Keys und Access Tokens. Das gefährdet nicht nur AI Coding Tools, sondern auch die dahinter liegenden Systeme.
SECURITYTuskira Vector: Autonomes Red Teaming für die Angriffsflächen-Validierung
Tuskira hat Vector vorgestellt – eine agentic Lösung für autonomes Red Teaming, die Angriffsflächen durch externe Simulation validiert und dabei auch interne Kontrollen sowie Architekturgegebenheiten berücksichtigt.
SECURITYBragJack: Wie Browser-KI gegen Nutzer missbraucht wird
Eine neue Angriffsmethode kapert die KI-Assistenten in Browsern, um sensible Daten zu stehlen und Malware auszuführen. Sicherheitsforscher warnen vor erheblichen Risiken für Millionen von Nutzern.
SECURITYThreat Intelligence reicht nicht: Wie AI-gestützte Exploits die Security überholen
Attackers nutzen AI-Tools, um Schwachstellen schneller auszunutzen als Security-Teams reagieren können. Threat Intelligence allein schließt diese Lücke nicht – es braucht integrierte Abwehrstrategien.
SECURITYWSO2 API Manager: JWT-Bypass wird aktiv ausgenutzt
Eine kritische Sicherheitslücke in WSO2 API Manager wird derzeit aktiv angegriffen. Die Schwachstelle ermöglicht es, gefälschte Admin-Token zu erstellen und Konten zu übernehmen.
SECURITYOpenAI und Hugging Face: Wie KI-Modelle eine Zero-Day ausnutzten
OpenAI und Hugging Face waren Ziel eines Incidents, bei dem frontier models eine Zero-Day-Lücke exploitierten und RCE-Zugriff auf Hugging-Face-Infrastruktur erlangten. Sicherheitsteams rekonstruieren den Angriff auf der Black Hat USA 2026.
SECURITYMarimo-Lücke: Attacker erreichen SSH-Bastion in acht Sekunden
Sysdig dokumentiert einen gezielten Angriff, bei dem ein Angreifer eine Remote-Code-Execution-Lücke in Marimo ausnutzt und in nur acht Sekunden zu einer SSH-Bastion pivotiert. Der Fall zeigt die Geschwindigkeit professioneller Threat-Aktoren.
SECURITYKI-Schwarmattacken: Wie sich die Cyber Kill Chain verändert
Sicherheitsforschende dokumentieren erstmals koordinierte KI-Agenten-Attacken, die alle Phasen der Cyber Kill Chain automatisieren – von Aufklärung bis Datenabzug. Ein neues Bedrohungsmuster zeichnet sich ab.
SECURITYClaude wird für Cyberangriffe missbraucht: Anthropic warnt vor neuer Bedrohung
Anthropic hat dokumentiert, dass Cyberkriminelle und staatliche Akteure Claude für Exploits, Datendiebstahl und Massenüberwachung einsetzen. Die sogenannten Generative Threat Groups nutzen das Modell systematisch für Angriffe.
SECURITYWie zuverlässig sind Jailbreak-Evaluatoren wirklich?
Forscher haben sechs automatisierte Jailbreak-Evaluatoren systematisch verglichen. Das Ergebnis: Die Tools liefern teilweise unterschiedliche Ergebnisse, und die Wahl des Evaluators beeinflusst, wie erfolgreich ein Angriff bewertet wird.
SECURITYRAG unter Beschuss: Wie anfällig ist Retrieval-Augmented Generation?
Eine Studie testet, wie Llama 3.1 8B mit verfälschten Dokumenten in RAG-Systemen umgeht. Die Genauigkeit fällt von 78% auf 44%, wenn alle Quellen manipuliert sind – ein Problem für produktive Deployments.
SECURITYAPI-Keys mit Selbstzerstörung: Ein neuer Standard für automatisches Widerrufen
Ein neuer offener Standard ermöglicht es, kompromittierte API-Schlüssel innerhalb von 60 Sekunden automatisch zu deaktivieren. Das Ziel: Lecks von vornherein entschärfen, statt sie später manuell zu bereinigen.
SECURITYcPanel-Sicherheitslücke: Mail-Zugang reicht für Root-Zugriff
cPanel hat eine kritische Sicherheitslücke geschlossen, die es einem Hosting-Account mit Mail-Privilegien ermöglichte, beliebige Dateien zu erstellen und Code als Root auszuführen. Die Schwachstelle betraf alle unterstützten Versionen von cPanel und WHM.
SECURITYAI-Infra-Guard: Open-Source Security Scanner für KI-Systeme
Tencents Zhuque Lab hat AI-Infra-Guard veröffentlicht – einen Open-Source Security Scanner, der KI-Infrastrukturen auf Schwachstellen prüft. Das Tool scannt über 1.600 bekannte CVEs, bewertet MCP-Server und Agent Skills sowie Jailbreak-Anfälligkeit.
SECURITYWeChat-Wurm ohne Benutzerinteraktion: Kritische Sicherheitslücke ermöglicht Kontübernahme
Sicherheitsforscher der Firma Calif haben eine kritische WeChat-Lücke entdeckt, die es Angreifern ermöglicht, einen Wurm ohne Benutzerinteraktion zu verbreiten. WeWorm kapern Nutzerkonten und nutzen gespeicherte Kontakte für exponentielle Verbreitung.
SECURITYAdobe stopft kritische Magento-Lücke: Rust-Backdoor im Umlauf
Adobe hat einen kritischen Zero-Day in Magento und Adobe Commerce gepatcht, der bereits aktiv für die Bereitstellung einer Rust-Backdoor und PHP-Webshells ausgenutzt wurde. Die Lücke CVE-2026-75650 mit maximaler Kritikalität (CVSS 10.0) wird seit Anfang September angegriffen.
SECURITYGegen Manipulation: Wie man generative Suchmaschinen vor GEO-Angriffen schützt
Forscher präsentieren GEO Defender, ein Abwehrsystem gegen Generative Engine Optimization – eine neue Angriffsform, die Webseiten so umschreibt, dass sie in KI-generierten Suchergebnissen bevorzugt werden. Das System reduziert erfolgreiche Angriffe von 50 % auf 6 %.
SECURITYOpenAIs Astra überschreitet kritischen Cybersecurity-Schwellenwert
OpenAIs neues Modell Astra hat eine kritische Sicherheitsschwelle überschritten: Es kann eigenständig Zero-Day-Lücken in gut gesicherten Systemen finden und ausnutzen.
SECURITYDUPIN: Wie Machine Learning Cyberangriffe aufspürt
Forscher präsentieren DUPIN, ein System das mit unbeaufsichtigtem Pretraining auf massiven Audit-Logs lernt und dann mit wenigen Beispielen Angriffe erkennt. Der Ansatz wurde auf 38-52 Tagen Daten trainiert und gegen 25 APT-Kampagnen getestet.
SECURITYSpring Ring: Vishing-Kampagne nutzt Microsoft Teams als Angriffsvektor
Die Kampagne Spring Ring missbrauchte Microsoft Teams mit gefälschten IT-Support-Accounts, um Mitarbeiter zur Malware-Installation zu bewegen. Von Januar bis April 2026 wurden über 150 Beschäftigte in mehr als 10 Unternehmen angegriffen.
SECURITYKI-Agenten automatisieren Container-Security: Red Hats Hummingbird-Projekt
Red Hats Hummingbird-Projekt setzt KI-Agenten ein, um Container-Images automatisch zu sichern und Schwachstellen zu beheben. Erste Ergebnisse zeigen: Zero-CVE-Images sind möglich – aber nicht ohne menschliche Kontrolle.
SECURITYLLMs knacken Darknet-CAPTCHAs – durch Hybrid-Ansatz
Eine Studie zeigt, wie große Sprachmodelle zusammen mit klassischen Algorithmen Darknet-CAPTCHAs mit über 90% Erfolgsquote lösen. Der Hybrid-Ansatz kombiniert LLM-Reasoning mit präzisen geometrischen Berechnungen.