Ich fange mit dem an, worüber ich bewusst nicht spreche: die PHP-Schwachstelle, die mutmaßlichen Angriffe auf Kühlsysteme in mehreren europäischen Ländern und die mögliche Spyware auf Geräten von Bundestagsabgeordneten. Dazu fehlt mir Belastbares, und Mutmaßungen gibt es schon genug.

Arctic Wolf Labs hat über 400 Vorfälle untersucht, bei denen externe Teams-Chats als Fake-IT-Support dienen. Erst hunderte Newsletter im Postfach, dann meldet sich der „Service Desk“, Quick Assist, unter 15 Minuten bis zum Payload. Ich erkläre, warum das ohne jeden Exploit funktioniert und was ihr an Einstellungen und Awareness ändern solltet.

Cohere hat bei Alibabas Qwen3.8-Flash-Next beobachtet, wie das Modell im Benchmark das Dateisystem absucht und eine Testdatei an einen Bucket in Peking schicken will. Check Point hält nach eigener Reproduktion eine Backdoor für unwahrscheinlich. Für mich bleibt: lokale Inferenz allein ist keine Datensouveränität.

Zum Schluss Sungrow. Marlon Starkloff kam über einen Authentifizierungs-Bypass in der iSolarCloud vom normalen Konto bis zu Adminrechten, CVSS 9.2. Ich ordne ein, was das für Hunderttausende Wechselrichter heißt, wo Hersteller und Forscher sich widersprechen und warum ich die Blackout-Schlagzeilen trotzdem nicht mitgehe.

Shownotes

Fake-IT-Support über externe Microsoft-Teams-Chats

• Arctic Wolf Labs: Threat Actors Abuse Microsoft Teams External Chat for Initial Access
• Infosecurity Magazine: Attackers Exploit Teams External Chat to Breach Organizations in Under 15 Minutes
• Borncity: Teams-Betrug – Angreifer verschaffen sich in unter 15 Minuten Fernzugriff
• Techzine: Attackers are exploiting Teams chat as a fake IT help desk

Qwen3.8-Flash-Next und der Upload-Versuch nach Peking

• Cohere: Concerning behavior from a popular open-weight AI model
• Cohere Labs: Traces und Reproduktionsmaterial auf Hugging Face
• Check Point Research: Cohere’s Qwen Story Looks More Like Model Jaggedness
• VentureBeat: What enterprises should know

Sungrow iSolarCloud: Authentifizierungs-Bypass

• CVE-2026-107194 (CWE-288, CVSS 9.2)
• Sungrow Security Incident Response
• Hessenschau: Hacker entdeckt kritische Sungrow-Schwachstelle
• Hessenschau: Wie kritisch war die Sungrow-Sicherheitslücke?
• t3n: Ein Klick bis zum Blackout
• pv magazine: Sungrow schließt Schwachstelle in seiner iSolarCloud
• Security-Insider: Schwachstelle gab Adminrechte ohne Passwort

Regulatorische Einordnung

• OpenKRITIS: NIS2-Umsetzungsgesetz, in Kraft seit Dezember 2025

No news roundup this time, and in English. I met Daniel at CyberChess in Riga, where we ended up on stage together, and the conversation afterwards was good enough that I asked him on the show a week later. He has spent 25 years in AI, first in academia and later running research labs at the Swedish Institute of Computer Science and the Chalmers AI Research Centre. For the past three years he has been Chief of AI at Recorded Future.

I wanted to know from someone who was doing this long before the LLM boom whether the past few years were a genuine scientific breakthrough or just very good scaling. His answer surprised me, and it reframed how I think about where the remaining headroom actually sits. We also get into what benchmarks are still worth, and why the stochastic-parrot debate says more about us than about the models.

Then agents, where my own experience is that the demos look great and reliability falls apart on anything longer than ten minutes. Daniel explains what is really holding these systems back, and why the fix has less to do with AI than most people expect. From there to the Hugging Face incident: we both think the industry latched onto the wrong part of it, and the part that should worry us got almost no attention. Plus the question I keep asking security teams without having a good answer myself: how do you know when your guardrails are enough?

Towards the end we talk about Europe, and Daniel is blunt about what is actually holding us back. It is not the AI Act. We get into Chinese open-weight models and why open weights buy you far less freedom than people assume, into chips and ASML, and into one path for Europe that sounds almost heretical but might be the most realistic option left.

Ich fange mit einem Rant an. Der Angriff auf das digitale Rathaus von Tangerhütte wird mir seit Tagen als erster KI-Angriff auf eine deutsche Kommune in die Timeline gespült, gestützt auf zwei Argumente: zu viele Kommandos für einen Menschen und Code, der sich während des Angriffs verändert hat. Beides beschreibt erstmal Automatisierung, die wir seit Jahrzehnten sehen. Das LKA Sachsen-Anhalt kann den KI-Einsatz weder bestätigen noch ausschließen. Mir geht es nicht um diesen Fall, sondern darum, was wir eigentlich als Nachweis verlangen sollten: LLM-Callbacks, API-Traffic zu Modellanbietern, Tool-Call-Logs, Provider-Telemetrie.

Dann der spannendste Bericht der Woche: Citizen Lab und Confiant dokumentieren unter dem Namen AdFection, wie kommerzielle Spyware über ganz normales Real-Time-Bidding ausgeliefert wurde. Die israelische Werbefirma Discover-Tech kaufte gezielt Werbeplätze, das JavaScript der Anzeige meldete sich beim Server, und nur bei passenden Zielen ging es weiter an Candirus Exploit-Infrastruktur. Mindestens 45 Geräte im Umfeld von Al Jazeera waren betroffen. Wichtig bleibt: ohne Browser-Exploit kein Zugriff, und die vollständige Kette konnten die Forscher nicht rekonstruieren.

Zu den französischen Supermärkten, über die auf LinkedIn viel durcheinanderging: Die Angreifer haben nicht einfach die Kühlung ausgeschaltet, sondern die Abtauprogramme missbraucht, acht Stunden statt einer, bis zu 50 Grad. Rund 700 von 10.000 Märkten betroffen, Schäden bis 200.000 Euro pro Standort. Claroty hatte im August Schwachstellen in genau diesen Controllern beschrieben, sagt aber selbst, dass der tatsächliche Angriffsweg unbekannt ist. Auch nach dem Angriff standen hunderte dieser Oberflächen noch offen im Netz.

Zum Schluss XBOW: eine vollständige Exploit-Kette gegen Chrome über V8, den WebP-Decoder und Crashpad, 250.000 Dollar Bounty. Die berühmten sechs Tage betreffen nur die letzte Phase, das Projekt lief seit Anfang des Jahres, und die erste Kette brauchte zwei Monate. Rund 40.000 Dollar Inferenzkosten. Eingesetzt wurden ausschließlich öffentlich verfügbare Modelle.

Citizen Lab: AdFection
https://citizenlab.ca/2026/10/adfection-candiru-spyware-delivered-through-targeted-advertising/

Confiant: technische Analyse zu Discover-Tech
https://www.confiant.com/news/adfection-discover-tech

BleepingComputer zur AdFection-Kette
https://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/

CERT-FR: Kompromittierung von Kühlsteuerungen
https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-014/

Claroty Team82: Freeze the Controller, Defrost the Food
https://claroty.com/team82/research/freeze-the-controller-defrost-the-food

XBOW: Chrome Full-Chain in sechs Tagen
https://xbow.com/blog/xbow-built-a-chrome-full-chain-exploit

XBOW Labs: Zero to Calc in Six Days (technische Details)
https://xbow.com/blog/zero-to-calc-chrome-full-chain

MDR zum Angriff auf das digitale Rathaus Tangerhütte
https://www.mdr.de/nachrichten/sachsen-anhalt/stendal/tangerhuette/cyberangriff-rathaus-kuenstliche-intelligenz-100.html