Der interessante Teil dieses Falls liegt nicht darin, dass ein KI-System eine neue Schwachstelle gefunden hätte. Genau das ist nach den bekannten Informationen nicht passiert. Der ursprüngliche Zugriff auf das Netzwerk des thailändischen Finanzministeriums bestand bereits, bevor der Hermes-Agent eingesetzt wurde. Die Methode des ersten Eindringens ist unbekannt.
Entscheidend ist etwas anderes: Ein Angreifer übergab die Arbeit nach dem Einbruch an einen Open-Source-KI-Agenten und ließ ihn ohne laufende Genehmigung arbeiten. Hermes, ein Assistent von Nous Research, wurde auf einem gemieteten Server betrieben. Die Sicherheitsbremse für riskante Befehle war deaktiviert. In diesem Modus musste der Agent nicht mehr nachfragen, bevor er Befehle ausführte.
Damit verschiebt sich die Rolle von KI im Angriff. Nicht als magischer Einbruchsgenerator. Sondern als Arbeitskraft nach dem Einbruch.
Der Angriff begann nicht mit Hermes
Das ist für die Einordnung wichtig. Hermes ist nach den vorliegenden Angaben kein Hacking-Werkzeug und der Vorfall weist nicht auf eine Schwachstelle in Hermes selbst hin. Der Agent wurde zweckentfremdet. Er sollte normalerweise Aufgaben ausführen, E-Mails verwalten oder über Kanäle wie Telegram oder Slack Anweisungen entgegennehmen. In der Angriffskette tauchte er erst nach der Kompromittierung auf.
Hunt.io und der Forscher Bob Diachenko fanden Protokolle des Agenten auf einem vom Angreifer gemieteten Server. Dort war die Verzeichnisauflistung aktiv. Sichtbar wurden dadurch nicht nur Spuren des Agenten, sondern auch ein Teil der Werkbank des Angreifers: 585 Dateien, zusammen rund 470 MB Angriffswerkzeuge. Darunter befanden sich Exploit-Code, Webshells, Skripte und hartkodierte Zugangsdaten. Hunt.io identifizierte vom 9. bis 13. Juli 2026 drei simultane offene Verzeichnisse auf 43.246.208[.]207, gehostet in Hongkong.
Die thailändischen Stellen, darunter das nationale CERT und die zuständige Cybersicherheitsbehörde, wurden am 15. Juli 2026 informiert.
Was der Agent im Netz tat
Die rekonstruierten Protokolle zeigen keine abstrakte KI-Bedrohung, sondern ziemlich konkrete Systemarbeit. Hermes durchsuchte das Netzwerk des Finanzministeriums, prüfte Hosts auf Möglichkeiten für Root-Zugriff, bewegte sich durch Dateisysteme und indizierte einen Ordner mit Personalakten, die bis ins Jahr 2012 zurückreichten.
Das ist klassische Post-Exploitation: Orientierung, Rechteausweitung, Dateisichtung, Vorbereitung weiterer Schritte. Früher war das vor allem eine Frage von Skripten, manuellen Shell-Sitzungen und der Aufmerksamkeit eines Operators. In diesem Fall wurde ein Teil dieser Arbeit an einen allgemeinen Agenten delegiert.
Das macht den Vorgang technisch nüchterner, aber sicherheitspolitisch unangenehmer. Der Agent musste nicht kreativ sein. Er musste nicht verstehen, welche Behörde er vor sich hatte. Er musste Aufgaben abarbeiten: prüfen, listen, durchsuchen, dokumentieren. Genau solche Tätigkeiten fressen bei Angreifern Zeit. Genau solche Tätigkeiten lassen sich aber auch gut an Systeme auslagern, die Befehle formulieren, Zwischenergebnisse verarbeiten und den nächsten Schritt ableiten können.
Der YOLO-Modus ist der operative Kern
Der verwendete Modus ist kein Randdetail. Hermes unterstützt Betriebsarten, in denen Befehle bestätigt werden müssen, und eine Variante, bei der diese Kontrolle abgeschaltet ist. Diese abschaltbare Genehmigung ist dokumentiert und über ein eigenes Kommandozeilen-Flag erreichbar. Sie ist für isolierte Container gedacht, nicht für eine Umgebung, in der ein kompromittiertes Regierungsnetz erkundet wird.
Gerade deshalb unterscheidet sich der Fall von vielen bisherigen Berichten über KI im Angriffskontext. Dort ging es häufig darum, Modelle zu überreden, verbotene Inhalte zu erzeugen oder Schutzmechanismen zu umgehen. Hier musste der Angreifer den Agenten nicht psychologisch austricksen. Er stellte ihn so ein, dass er riskante Befehle nicht mehr absegnen lassen musste.
Das ist weniger spektakulär, aber operativ relevanter. Die gefährliche Eigenschaft ist nicht, dass ein Modell plötzlich alle Sicherheitsregeln ignoriert. Die gefährliche Eigenschaft ist, dass ein normales Automationswerkzeug in einem falschen Kontext mit falscher Konfiguration sehr brauchbar wird.
Automatisierung nach dem Einbruch
Der Begriff Post-Exploitation klingt technisch trocken. In der Praxis entscheidet diese Phase oft über den Schaden. Ein erster Zugang ist nur der Anfang. Danach muss ein Angreifer verstehen, wo er gelandet ist: Welche Systeme sind erreichbar? Welche Konten funktionieren? Gibt es interne Dienste? Wo liegen sensible Dateien? Welche Passwörter wurden wiederverwendet? Welche Spuren sind riskant?
Im gefundenen Material tauchten neben der Webshell auch Skripte gegen interne Hadoop-Systeme auf. Außerdem wurden hartkodierte gestohlene E-Mail-Passwörter gefunden. Zusätzlich identifizierte Hunt.io ein bislang nicht gemeldetes Go-Implantat mit dem Namen Hades. Aus den wiederhergestellten Dateien ging nach den vorliegenden Informationen keine Datenexfiltration hervor. Das nimmt dem Vorfall aber nicht seine Bedeutung. Denn die technische Lektion liegt nicht allein im Ergebnis, sondern in der Arbeitsweise.
Ein unbeaufsichtigter Agent kann Pausen überbrücken. Er kann mehrere Verzeichnisse prüfen, Befehlsausgaben zusammenfassen, neue Pfade auswählen und monotone Erkundung ausführen, während der Operator nicht jeden Schritt aktiv steuert. Für Verteidiger verändert das die Taktung. Aktivitäten, die früher stärker an menschliche Bedienung gebunden waren, können regelmäßiger, schneller oder außerhalb typischer Arbeitsmuster laufen.
Das muss nicht bedeuten, dass jeder künftige Angriff autonom wird. Es bedeutet aber, dass der manuelle Anteil sinken kann. Ein Angreifer braucht weiterhin Zugang, Infrastruktur, Werkzeuge und Zielkenntnis. Doch sobald er im Netz ist, kann ein Agent die Routine verdichten.
Die Verlierer sitzen nicht nur in Bangkok
Unmittelbar betroffen ist das thailändische Finanzministerium. Wenn ein Agent Personalakten bis 2012 durchsucht, geht es nicht mehr nur um Serverhygiene. Es geht um interne Identitäten, Beschäftigungsdaten, mögliche Angriffspunkte gegen Mitarbeiter und langfristig verwertbare Informationen. Auch wenn keine Exfiltration aus den rekonstruierten Dateien hervorgeht, ist die Sichtung solcher Bestände ein ernstes Signal.
Der zweite Verlierer ist das klassische Verteidigungsmodell, das KI-Werkzeuge vor allem als Bürosoftware behandelt. Allgemeine Agenten sind nicht harmlos, nur weil sie nicht als Angriffswerkzeug entwickelt wurden. Sie können Befehle ausführen, Dateien lesen, Ergebnisse interpretieren und über Schnittstellen ferngesteuert werden. In einer kompromittierten Umgebung reicht das.
Gewinner sind zunächst Firmen und Forscher, die solche Fehlkonfigurationen und Angriffsinfrastrukturen sichtbar machen. Hunt.io und Bob Diachenko stießen hier nicht auf eine perfekt versteckte Operation, sondern auf einen Angreifer, der seine eigenen Protokolle offen liegen ließ. Diese Nachlässigkeit war der Bruchpunkt. Sie zeigt zugleich, dass auch bei technisch anspruchsvolleren Werkzeugketten banale Fehler weiter zählen.
Was Verteidiger daraus lernen müssen
Die naheliegende Reaktion wäre, über Hermes zu sprechen. Das greift zu kurz. Der robustere Schluss lautet: Sicherheitsüberwachung muss damit rechnen, dass nach einem Einbruch nicht nur Menschen und Skripte im Netz arbeiten, sondern agentische Systeme mit eigener Befehlsfolge.
Das betrifft Erkennungsmuster. Ein Agent erzeugt andere Spuren als ein einzelner Operator, aber nicht unbedingt lautere. Er kann viele kleine Abfragen stellen, Dateibäume systematisch durchsuchen, Berechtigungen testen und Ergebnisse in Protokollen sammeln. Entscheidend wird, ob Organisationen interne Erkundung früh erkennen: ungewöhnliche Dateisichtungen, sequentielle Host-Prüfungen, verdächtige Shell-Aktivität, Zugriff auf alte Personalverzeichnisse, Verbindungen zu externer Infrastruktur.
Der Fall zeigt keine autonome Superwaffe. Er zeigt eine nüchterne Skalierung von Angriffsarbeit. Wer bereits drin ist, kann Teile der mühsamen Nacharbeit auslagern. Das reicht, um Verteidigung schwieriger zu machen. Nicht weil KI den Einbruch ersetzt. Sondern weil sie nach dem Einbruch geduldig weiterarbeitet.
