Wenn Malware anfängt zu denken

Jahrzehntelang war Malware vor allem ein Problem aus Code, Signaturen und bekannten Schwachstellen. Ein klassischer Computerwurm folgte einer festen Logik: Er suchte nach bestimmten Systemen, nutzte eine vordefinierte Schwachstelle aus, kopierte sich auf die nächste Maschine und wiederholte den Vorgang. Gefährlich, aber vergleichsweise berechenbar. Sobald Verteidiger die ausgenutzte Schwachstelle verstanden hatten, ließ sie sich patchen, blockieren oder über Signaturen und Verhaltensregeln erkennen.

Dieses Modell beginnt zu bröckeln.

Ein aktuelles Forschungspapier mit dem Titel „AI Agents Enable Adaptive Computer Worms" beschreibt eine neue Klasse von Schadsoftware: den KI-gesteuerten, adaptiven Computerwurm. Die zentrale Erkenntnis ist nicht, dass KI Angreifern beim Schreiben von Malware hilft. Das wäre zu oberflächlich. Der eigentliche Bruch liegt tiefer: Der Wurm braucht keine vollständig fest verdrahtete Angriffskette mehr. Stattdessen nutzt er ein agentisches KI-System, um Ziele zu beobachten, Informationen zu deuten, passende Angriffe zu planen, aus Fehlversuchen zu lernen und seine Strategie zur Laufzeit anzupassen.

Anders gesagt: Die Angriffslogik wird nicht mehr nur vom Autor der Malware geschrieben. Sie entsteht dynamisch, während der Wurm arbeitet.

Das verändert grundlegend, wie Verteidiger über Malware nachdenken müssen. Klassische Würmer hatten ihre Angriffsfähigkeit fest im Binary. Ein KI-gesteuerter Wurm bezieht einen Großteil seiner Fähigkeit aus der Kombination von Modell, Gedächtnis, Werkzeugen und laufendem Kontext. Er sucht nicht blind nach einer bekannten Schwachstelle. Er kann prüfen, welche Dienste laufen, verdächtige Konfigurationen erkennen, über wiederverwendete Zugangsdaten nachdenken, entscheiden, welcher Exploit-Pfad zu einem bestimmten Host passt, und eine Alternative wählen, wenn der erste Versuch scheitert.

Damit rückt Malware näher an das Verhalten eines autonomen Penetrationstesters, allerdings mit der Reichweite und Ausbreitungsdynamik eines Wurms.

Einer der wichtigsten Punkte des Papiers: Der Wurm ist nicht auf kommerzielle KI-APIs angewiesen. Er kann Open-Weight-Modelle auf kompromittierter Infrastruktur nutzen. Damit verlieren viele zentrale Schutzmechanismen an Wirkung. Rate Limits, gesperrte API-Konten, Ablehnungen auf Anbieterseite und zentrales KI-Logging helfen wenig, wenn das Denken auf einem internen GPU-Host stattfindet, der bereits übernommen wurde.

Der Wurm kann gewöhnliche, rechenschwache Maschinen kapern, um seine Reichweite zu vergrößern, und leistungsfähige GPU-Maschinen als Denkknoten einsetzen. Diese Hosts betreiben lokale LLM-Inferenz und liefern anderen infizierten Rechnern die nötige Intelligenz. Ein schwacher Endpunkt kann selbst kein großes Modell betreiben, aber als Teil des Schwarms einen vorgelagerten Knoten befragen.

Genau hier wird die Lage asymmetrisch. Der Angreifer muss nicht für jeden zusätzlichen Denkschritt über eine Cloud-API bezahlen. Sobald der Wurm Zugriff auf Rechenleistung in der Zielumgebung hat, nutzt er diese Infrastruktur parasitär. Jede neue Maschine erhöht entweder die Reichweite oder liefert zusätzliche Rechenkapazität. Das senkt die Grenzkosten von Angriffen und verwischt die Grenze zwischen Massen-Malware und gezieltem Einbruch.

Cybersicherheit stützte sich historisch auf eine Unterscheidung: skalierbare, aber wenig raffinierte Angriffe auf der einen Seite, raffinierte, aber teure menschengeführte Operationen auf der anderen. KI-gesteuerte Würmer heben diese Unterscheidung auf. Sie verbinden die Reichweite automatisierter Malware mit der Anpassungsfähigkeit eines Operators.

Das Papier ist auch deshalb wichtig, weil es zeigt: Nicht nur Frontier-Modelle sind das Problem. Kleinere Open-Weight-Modelle werden gefährlich, wenn sie in einem gut gebauten Agenten-Framework stecken. Das Modell allein ist nicht die ganze Geschichte. Die eigentliche Fähigkeit entsteht aus dem System drumherum: einem Agenten-Kern, der plant und bewertet, einem Gedächtnis, das Beobachtungen und Hypothesen speichert, und einer Werkzeugschicht, die Shell-Befehle ausführt, Dateien überträgt, Payloads ausbringt und mit kompromittierten Hosts interagiert.

Moderne Malware sieht damit weniger nach einem einzelnen Binary aus und mehr nach einem autonomen Betriebssystem für Angriffe.

Für Verteidiger verändert das die Erkennungsaufgabe. Es reicht nicht mehr, nach bekannten Malware-Dateien, verdächtigen Hashes oder festen Exploit-Signaturen zu suchen. Es reicht auch nicht, Prompts zu überwachen, die in kommerzielle KI-Anwendungen gehen. Die gefährliche Einheit ist die Kette: KI-Schlussfolgerung, Werkzeugausführung, Systemänderung, Netzwerkbewegung, Nutzung von Zugangsdaten und Replikation.

Moderne Malware wird nicht nur daran sichtbar, was sie ist. Sie wird daran sichtbar, was sie tut, und an der Absicht, die sich aus einer Abfolge von Aktionen ableiten lässt.

Genau hier setzt Patronus Protect an

Patronus ist nicht entstanden, weil AI-Security eine modische Kategorie ist, sondern weil wir eine strukturelle Lücke entstehen sahen. Vor knapp einem Jahr haben wir angefangen zu fragen, was passiert, wenn Malware keinem festen Skript mehr folgt, sondern KI nutzt, um zur Laufzeit zu schlussfolgern, sich anzupassen und zu entscheiden.

Die Antwort war unbequem: Viele bestehende Ansätze würden blind werden.

Läuft ein Angriff über einen bekannten SaaS-KI-Anbieter, haben Organisationen vielleicht etwas Sichtbarkeit über API-Logs, Anbieterkontrollen oder Cloud-Governance-Werkzeuge. Aber KI-gesteuerte Malware hat keinen Grund, die Erkennung einfach zu machen. Sie kann lokale LLM-Server nutzen, Loopback-Traffic, Open-Weight-Modelle, gekaperte interne Rechenleistung, Entwicklerwerkzeuge, Automatisierungs-Frameworks oder interne OpenAI-kompatible Endpunkte. In dieser Welt berührt die wichtigste KI-Aktivität womöglich nie einen offiziellen Cloud-Anbieter.

Deshalb geht Patronus bewusst den schwereren Weg.

Wir nehmen nicht an, dass KI-Nutzung nur in freigegebenen Anwendungen stattfindet. Wir nehmen nicht an, dass KI-Traffic nur über bekannte Anbieter läuft. Und wir nehmen nicht an, dass sich künftige KI-Bedrohungen freundlicherweise als solche zu erkennen geben. Patronus klassifiziert KI-Interaktionen dort, wo sie passieren: auf dem Endpoint, im Netzwerkverkehr und im Loopback-Traffic.

Das ist wichtig, weil KI-gesteuerte Malware ihren Fußabdruck klein halten will. Sie wird vermeiden, mit jedem infizierten Host ein großes Modell auszuliefern. Stattdessen nutzt sie vorhandene lokale Modellserver, gekaperte GPU-Maschinen, interne Inferenz-Endpunkte oder leichtgewichtige Agents, die einen vorgelagerten Denkknoten befragen. Von außen sieht das aus wie normaler lokaler Traffic, Entwicklerwerkzeuge, Automatisierung oder interne API-Nutzung. Semantisch aber nutzt das System KI, um Aufklärung zu planen, Werkzeuge auszuwählen, Ergebnisse zu deuten und über die weitere Ausbreitung zu entscheiden.

Die Erkennungsfrage verschiebt sich damit. Sie lautet nicht mehr nur, ob eine Datei als bösartig bekannt ist. Sie lautet, ob ein System KI nutzt, um Verhalten zu planen, Werkzeuge auszuführen oder seine nächsten Schritte anzupassen.

Für diese Schicht ist Patronus gebaut.

Patronus verbindet KI-Absicht mit Laufzeitverhalten. Es erkennt und klassifiziert KI-Interaktionen auch dann, wenn sie außerhalb offizieller KI-Plattformen stattfinden, und setzt sie in Bezug zu Werkzeugnutzung, Netzwerkverhalten, lokaler Modellaktivität und agentischen Abläufen. Das macht den Ansatz nicht nur für die KI-Governance von heute relevant, sondern für eine Zukunft, in der KI selbst Teil der Angriffskette ist.