KI-Agent nutzt selbstständig FreeBSD-Kernel-Schwachstelle aus

KI-Agent entwickelt Kernel-Exploit

Ein autonom agierender KI-Agent hat eine kritische Kernel-Schwachstelle in FreeBSD bis zur lauffähigen Ausnutzung gebracht. Nach Angaben des Anthropic-Sicherheitsforschers Nicholas Carlini entwickelte Claude innerhalb von vier Stunden aktiver Arbeitszeit einen funktionierenden Remote-Code-Execution-Exploit für CVE-2026-4747.

Der relevante Befund ist die geschlossene Arbeitskette. Das System setzte eine Umgebung auf, wertete Crash-Dumps aus, korrigierte Offsets, passte Payloads an und arbeitete sich iterativ durch Fehler. Bei diesen Schritten gab bislang meist menschliche Exploit-Erfahrung den Ausschlag.

Hintergrund zur Schwachstelle CVE-2026-4747

Die Schwachstelle liegt im Kernel-Modul kgssapi.ko, das für die RPCSEC_GSS-Authentifizierung des NFS-Servers zuständig ist. Laut dem offiziellen FreeBSD-Security-Advisory kopiert die Funktion svc_rpc_gss_validate() einen Credential-Body in einen 128-Byte-Stack-Buffer, ohne die Länge ausreichend zu prüfen. Dadurch können böswillige Clients einen Stack-Overflow auslösen.

Betroffen sind unterstützte FreeBSD-Versionen vor den Patches vom 26. März 2026. Das Problem ist über den NFS-Port 2049/TCP erreichbar, sofern der Server Kerberos-basierte Authentifizierung nutzt und das anfällige Modul geladen ist.

Der Weg zum funktionierenden Exploit

Der Anthropic-Forscher gab dem Modell die Anweisung, einen Exploit für die genannte CVE zu entwickeln. Claude musste dafür mehrere technische Hürden ohne direkte menschliche Eingriffe überwinden und konfigurierte zunächst eine FreeBSD-VM samt NFS, Kerberos und Remote-Debugging für die Crash-Dump-Analyse.

Da der benötigte Code nicht in ein einzelnes Datenpaket passte, entwarf das Modell eine mehrstufige Strategie. In mehreren Runden bereitete der Exploit Kernel-Speicher für die Ausführung vor und schrieb Code in kleinen Blöcken hinein. Systemaufrufe wie kthread_exit() beendeten gekaperte NFS-Kernel-Threads nach den einzelnen Schritten, damit der Server für weitere Versuche erreichbar blieb.

Besonders aufschlussreich ist der Umgang mit Fehlern. Als die aus dem Disassembly abgeleiteten Stack-Offsets nicht stimmten, sendete Claude De-Bruijn-Muster, analysierte die resultierenden Crash-Dumps und korrigierte die Werte eigenständig. Veraltete Debug-Register bereinigte das Modell vor dem Erstellen neuer Prozesse. Schließlich gelang der Übergang vom Kernel- in den User-Mode und der Aufbau einer interaktiven Root-Shell.

Bedeutung für die IT-Sicherheit

Fuzzer wie AFL oder syzkaller helfen seit Jahren dabei, Kernel-Schwachstellen aufzuspüren. Einen funktionierenden Exploit zu entwickeln, verlangt zusätzlich Betriebssystemwissen, Verständnis für Speicherlayouts und flexible Reaktionen auf fehlgeschlagene Debugging-Versuche.

Der dokumentierte Fall zeigt, dass ein KI-Agent diese Schritte zu einer zusammenhängenden Untersuchung verbinden kann. Defensive Teams könnten damit Patches schneller prüfen und realistische Angriffspfade früher verstehen. Zugleich sinkt potenziell die Hürde, aus bekannten oder neu entdeckten Schwachstellen lauffähige Exploits abzuleiten.

Ein Einzelfall ist noch kein allgemeiner Leistungsnachweis. Er reicht aber aus, um die Bedrohungsmodellierung zu verändern.

Gegenmaßnahmen und Patches

Das FreeBSD-Projekt hat am 26. März 2026 Patches veröffentlicht. Ein Bounds-Check prüft nun die Länge der Authentifizierungsdaten vor dem Kopiervorgang:

if (oa->oa_length > sizeof(rpchdr) - 8 * BYTES_PER_XDR_UNIT) {
    rpc_gss_log_debug("auth length %d exceeds maximum", oa->oa_length);
    client->cl_state = CLIENT_STALE;
    return (FALSE);
}

Administratoren von NFS-Servern unter FreeBSD sollten ihre Systeme auf eine gepatchte Version aktualisieren. Direkte Workarounds nennt das Advisory nicht. Systeme ohne geladenes kgssapi.ko sind von dieser konkreten Schwachstelle nicht betroffen.

Was sich für Sicherheitsteams ändert

Der Fall verschiebt die Erwartungen an agentische Sicherheitswerkzeuge. Ein Agent führte eine komplexe technische Untersuchung als geschlossene Arbeitskette aus: Umgebung einrichten, Fehler reproduzieren, Crash-Daten auswerten, Exploit anpassen und das Ergebnis verifizieren.

Verteidiger brauchen deshalb schnellere Patch-Validierung, reproduzierbare Testumgebungen und eine eng kontrollierte Freigabe solcher Werkzeuge. Dieselbe Automatisierung kann Angreifern helfen, bekannte Schwachstellen schneller in einsatzfähige Exploits zu übersetzen.

Die Konsequenz ist konkret: Sicherheitsprozesse müssen agentengestützte Exploit-Entwicklung als realen Arbeitsablauf einplanen, ohne aus diesem dokumentierten Erfolg eine garantierte Fähigkeit für andere Ziele abzuleiten.