Am 8. Oktober 2026 hat das Cyber Fusion Innovation Center in Augusta, Georgia, einen Anbieter für ein Werkzeug ausgewählt, das offiziell „Agentic C2 Framework Tool (ECHOTRIBBLE)“ heißt. 65 Whitepaper-Lösungen waren eingereicht worden, fünf Anbieter hatten am 6. und 7. Oktober virtuell demonstriert, der Vertrag folgt noch. Was das Werkzeug können soll, steht in einem öffentlichen Anforderungsdokument: autonom und mit minimaler menschlicher Aufsicht arbeiten, sich in fremden Netzen selbstständig weiterbewegen, sich nach getaner Arbeit löschen. Zwischen der Juni- und der Juli-Fassung dieses Dokuments hat der Auftraggeber ein Wort gestrichen, das den Charakter der Beschaffung verändert – aus einem „defensiven“ Agenten wurde ein Red-Team-Werkzeugkasten. Und die Richtlinie, mit der das Pentagon autonome Waffen prüft, gilt dafür nicht: Cyberspace-Fähigkeiten stehen in ihrer Ausschlussliste.

Wir setzen in Projekten selbst Agenten ein und schreiben ihnen Rechte zu – das ist der Punkt, an dem sich entscheidet, ob so ein System nützlich bleibt oder Schaden anrichtet. Deshalb interessiert uns an dieser Meldung nicht die Schlagzeile, sondern die Dokumentenlage: Was ist bestellt, wie ist es formuliert, was davon ist belastbar – und was sagt das Recht dazu. Meldungen dieser Art neigen dazu, aus einer Prototyp-Beschaffung eine Waffe im Einsatz zu machen. Beides ist nicht dasselbe. Deshalb steht in dieser Fassung auch, was diesen Prototyp von einem einsatzfähigen Werkzeug trennt, welche Zeithorizonte die Quellen wirklich tragen – und was die Dokumente aus Russland und China zu derselben Frage zeigen. Alle Angaben stammen aus Quellen, die am 20.10.2026 abgerufen und auf Abrufbarkeit geprüft wurden; jede Behauptung, die nur eine Quelle stützt, ist als solche gekennzeichnet.

Wer da bestellt – und wie das Verfahren aussieht

Der Name steht in allen offiziellen Dokumenten in Großbuchstaben: „Agentic C2 Framework Tool (ECHOTRIBBLE)“. Träger ist das U.S. Army Cyber Command (ARCYBER), abgewickelt wird die Beschaffung über das Cyber Fusion Innovation Center (CFIC) in Augusta, Georgia – eine Einrichtung, die als Mittler zwischen Armee und Industrie auftritt und laut Anforderungsdokument Aufträge über eine Partnership Intermediary Agreement (PIA) mit der Regierung sowie über Other Transaction Agreements vergibt [2][3].

Das Verfahren ist ungewöhnlich gut dokumentiert für ein Projekt dieser Art. Am 24. Juni 2026 fand in Augusta ein Collaboration Event statt, zu dem nach Angaben von CFIC 79 Anmeldungen aus 29 Organisationen eingingen und 43 Personen anreisten, aufgeteilt in sechs Arbeitsgruppen und vier Breakout-Sessions, dazu sechs „Blue-Sky“-Präsentationen [6]. Aus diesem Termin entstand das Anforderungsprofil, das als Release veröffentlicht wurde. Die Special Notice der Vergabestelle läuft unter der Kennung W519TC-26-AE-ECHO, datiert vom 16. Juli 2026, Abgabefrist für die Whitepapers war der 13. August 2026, die Leistung ist in Augusta angesiedelt, der Leistungscode ist NAICS 541330 (Engineering Services) [7][8].

Eingereicht wurden 65 Whitepaper-Lösungen. Fünf Anbieter kamen in die Bewertung und stellten am 6. und 7. Oktober virtuell vor; bewertet wurde in sechs technischen Bereichen. Am 8. Oktober 2026 fiel die Auswahl auf ein Unternehmen, am 13. Oktober wurden alle Bewerber über ihren Status informiert, und als nächster Schritt folgt ein Statement of Work [2][4]. Wer den Zuschlag bekommt und was er kostet, steht in keinem der öffentlichen Dokumente. Auch die Frage, ob am Ende ein funktionierendes Werkzeug dabei herauskommt, ist offen – dazu unten mehr.

Bemerkenswert ist der Vertragsrahmen. CFIC beschreibt die Vergabe als wettbewerblich „in the same manner as a Broad Agency Announcement or Commercial Solutions Opening“, auf Basis von Vereinbarungen außerhalb des regulären Bundesvergaberechts („non-FAR-based“, Other Transaction Agreements nach 10 U.S. Code §2371b) [3]. Und das Government erhält laut Dokument „unlimited rights to all deliverables and source code“ [3]. Ein Auftragnehmer, der hier mitmacht, gibt die Rechte an seinem Quellcode ab.

Was das Anforderungsdokument verlangt

Der inhaltlich stärkste Teil der Dokumentenlage ist die Anforderungsliste selbst, weil sie ohne Auslegung auskommt. Sie steht in der Juli-Fassung des Release [3] und lässt sich in sechs Zielen zusammenfassen. Der Agent soll modular und autonom arbeiten, mit minimaler menschlicher Aufsicht. Er soll Anomalien in Cloud-, Hybrid- und getrennten Umgebungen erkennen. Er soll ein „low-observable design“ haben: kein dauerhaft sichtbarer Fußabdruck, keine Störung des Wirtsbetriebs, minimaler Ressourcenverbrauch. Er soll sich „safe, rule-bound“ ausbreiten, also ausschließlich nach vorgegebenen Bedingungen oder definierten Auslösern. Die Architektur soll modular in JSON und YAML beschrieben sein. Und die Steuerung soll über gesicherte Kanäle laufen.

Unter „Capabilities“ wird es konkreter, und wer beruflich mit Security zu tun hat, erkennt das Vokabular [3]:

• Self-Directed Behavior – der Agent entscheidet selbst, was er als Nächstes tut.
• Anomaly Detection – Erkennung auf Verhaltensebene, in der Registry, im Dateisystem.
• Light-Presence Operation – Ausführung im Arbeitsspeicher, randomisierte Aktivitätszeitpläne, verschleierte Prozessnamen.
• Encrypted Call Back – verdecktes Rückmelden mit geringer Bandbreite und einstellbarer Frequenz.
• Ephemeral State Memory – Zustand, der nicht dauerhaft gespeichert wird.
• Self-Destruct/Heal Logic – richtliniengetriebene Aufräum- und Wiederherstellungsroutinen.
• Multi-Platform Deployment – Betrieb auf Windows-, Linux- und macOS-Systemen.

Die Architekturbeschreibung nennt zusätzlich „Randomized sleep cycles and polymorphic process naming“, „Fileless execution with optional persistence toggle“ und „Code obfuscation and signature-free compilation“ [3]. Das sind keine Marketingbegriffe. Es sind die Bezeichnungen für Techniken, die in der Malware-Analyse und in kommerziellen Angriffswerkzeugen seit Jahren Standard sind: nicht im Dateisystem landen, den eigenen Namen wechseln, Pausen zufällig setzen, keine Signatur tragen. Unsere Lesart, nicht die des Dokuments: Wer diese Punkte bestellt, bestellt ein Werkzeug, dessen Verhalten von einem Schutzsystem nur schwer zu unterscheiden ist von dem, wogegen es eingesetzt werden soll.

Eine Unterscheidung im Dokument lohnt eine eigene Anmerkung. An einer Stelle heißt es „capable of operating without human oversight“, an anderer „must operate with minimal human oversight“ [3]. Das ist kein Widerspruch, sondern der normale Weg, ein Softwareproblem zu beschreiben und eine Aufsichtspflicht offenzulassen. Praktisch bedeutet es: Der Agent soll in Situationen laufen, in denen niemand danebensteht – und die Aufsicht, die bleibt, ist eine Vorgabe in seiner Konfiguration.

Zwei Wörter, die den Charakter ändern

Hier beginnt der Teil, der sich ohne geleakte Unterlagen prüfen lässt, weil beide Fassungen des Anforderungsdokuments öffentlich abrufbar sind. Die Juni-Fassung wurde zum Collaboration Event am 24. Juni 2026 veröffentlicht, die Juli-Fassung zum Assessment Event mit dem Fenster 13. Juli bis 13. August 2026. Ein exaktes Veröffentlichungsdatum der Juli-Fassung steht nicht im Dokument; belegt sind nur diese Fenster [3][5].

Das ist keine Wortklauberei. Der Unterschied zwischen einem defensiven Agenten und einem Red-Team-Werkzeug liegt nicht im Code, sondern im Auftrag: Der eine soll Angriffe erkennen und abwehren, der andere soll Angriffe durchführen, um Abwehr zu testen. Die letzte Zeile der Tabelle ist die praktischste: Ein Werkzeug, das eine Analyseumgebung erkennt und sich dort anders verhält, ist für die forensische Untersuchung durch Dritte bewusst unzugänglich.

Was daraus folgt, ist eine Folgerung aus zwei Dokumenten, kein Zitat: Die Anforderung wurde zwischen Juni und Juli erkennbar von „defensiv“ auf „Red Team“ umgestellt, während die Außendarstellung unverändert den Verteidigungsnutzen betont. Auf der Event-Seite von CFIC steht als Zweck des Projekts „accelerating ARCYBER’s forensics capabilities, enabling comprehensive malware analysis, incident response, and support to cyber defense operations of Army networks and critical infrastructure“ [2]. Beide Sätze sind echt. Sie beschreiben nur nicht dasselbe.

Was The Intercept berichtet – und wie belastbar das ist

Der Auslöser der aktuellen Berichterstattung ist eine Recherche von Sam Biddle für The Intercept vom 19. Oktober 2026, die auf ARCYBER-Dokumenten an Auftragnehmer und auf der Juni-Präsentation beruht [1]. Sie beschreibt etwas, das im öffentlichen Anforderungsdokument nur als „rule-bound propagation“ auftaucht, in klarer Sprache:

„ECHOTRIBBLE would function almost like a computer worm, silently navigating a foreign network and hopping from device to device until it finds the Army’s quarry, hitting targets in the cloud as well as those on ‚air-gapped‘ systems that are disconnected from networks entirely.“ [1]

Der Artikel berichtet außerdem, dass eine PowerPoint-Präsentation von der Veranstaltung am 24. Juni ein hypothetisches Beispiel für diese Selbststeuerung zeigte: Der Agent wird auf einem Laptop platziert, findet dort selbstständig weitere Ziele im selben Netz und erzeugt eine Kopie von sich, die auf ein iPad, einen Apple-Desktop und einen Windows-11-PC angepasst ist [1]. Dass es diesen Termin am 24. Juni 2026 in Augusta gab, ist unabhängig über die Event-Seite von CFIC belegt [6] – die Folie selbst liegt öffentlich nicht vor.

Der offensivste Satz der Recherche stammt aus einem Frage-Antwort-Dokument für Auftragnehmer, das The Intercept vorliegt und das nicht öffentlich abrufbar ist. Darin heißt es, das Programm sei „primarily focused“ auf offensive Missionen, und „neutralizing“ könne bedeuten, eine Bedrohung vollständig oder vorübergehend zu deaktivieren oder vom Zielsystem zu löschen [1]. Die öffentlichen CFIC-Dokumente formulieren an dieser Stelle neutral: „identifying and neutralizing identified threats/targets“ [2].

Damit ist die entscheidende Einordnung gesetzt: Die offensive Zweckbestimmung ist berichtete Dokumentenlage, nicht amtlich bestätigt. ARCYBER hat die Fragen von The Intercept nicht beantwortet, auch nicht die Frage, mit welchen Maßnahmen verhindert werden soll, dass ECHOTRIBBLE unbeabsichtigt Schaden anrichtet [1]. Wer schreibt, das Army Cyber Command bestätige offensive Ziele, schreibt etwas, das in keiner Stellungnahme steht.

Zu Wort kommen in der Recherche mehrere Fachleute, deren Aussagen wir hier im Original und in Arbeitsübersetzung wiedergeben. David Krueger, Professor für Machine Learning an der Universität Montreal und Gründer der Organisation Evitable, die ein Moratorium für KI-Entwicklung fordert:

„Given the known failure modes of the current AI paradigm, making autonomous AI systems with a mandate to ’neutralize threats‘ is incredibly dangerous.“ – Angesichts der bekannten Fehlermodi des aktuellen KI-Paradigmas ist es ungemein gefährlich, autonome KI-Systeme mit dem Auftrag zu bauen, Bedrohungen zu neutralisieren. [1]

Hyrum Anderson, Mitgründer und CEO der KI-Sicherheitsfirma Abundant, früher im Security-Bereich bei Microsoft und für die US-Regierung tätig, beschreibt das Risiko als Frage des Wegs, nicht des Ziels:

„The target may well be hit. But what path will it take? Will it go through a US water utility on its way, because that’s where the adversary has staged its command and control, and take that down too?“ [1]

Das ist ein hypothetisches Risikoszenario, kein Ereignis. Anderson nennt außerdem die Gruppe, die solche Nebenwirkungen am härtesten trifft: Organisationen unterhalb der „security poverty line“, darunter kritische Infrastruktur, kleine Betriebe, Familienbetriebe, Zahnarztpraxen und Anwaltskanzleien – Häuser ohne einen einzigen Sicherheitsspezialisten [1]. Und er benennt den Mechanismus, der aus einem begrenzten Auftrag einen großen Schaden macht: „Under pressure, they’ll often treat guardrails as obstacles. Once you add context that says break it, destroy it, shut it down, it stands to reason that the blast radius widens dramatically unless it’s properly controlled for.“ [1]

Als Gegenstück lohnt ein Blick auf das, was die Armee selbst über ihre Agenten sagt. Gegenüber Federal News Network beschrieb ARCYBER-Kommandeur Lt. Gen. Christopher Eubank im Oktober 2026 den Umgang mit den bereits eingesetzten Agenten so: „We are treating each one of these agents just like a human operator … we have humans checking that work every day.“ Und: „No agents have strayed to this point.“ [12] Das ist eine Sekundärquelle und keine Aussage zu ECHOTRIBBLE – als Kontrastfolie taugt sie trotzdem, weil sie den Unterschied zwischen „Agenten im Betrieb unter Aufsicht“ und „Werkzeug, das ohne Aufsicht in fremden Netzen arbeitet“ benennt.

Was in der Berichterstattung falsch ankommt

Die deutsche Ausgangsmeldung, die diese Woche durch die Feeds ging, enthält zwei belegbare Fehler, und beide verändern das Bild [11]. Erstens: Es waren 65 eingereichte Whitepaper-Lösungen, nicht 65 Firmen. CFIC schreibt „out of 65 submitted whitepapers“ und an anderer Stelle „65 total whitepaper solutions“ [2][4]. Wie viele Unternehmen dahinterstehen, ist nicht veröffentlicht. Zweitens heißt die Firma von Hyrum Anderson „Abundant“, nicht „Abundant Security“ [1]. Das ist ein Detail, aber es ist der Unterschied zwischen einem Beleg und einer Erinnerung.

Drei weitere Punkte, die regelmäßig falsch zusammenlaufen. Windows 11 ist in dieser Geschichte eine Szenario-Plattform auf einer Folie und keine Schwachstelle; das Anforderungsdokument nennt ohnehin Windows, Linux und macOS als Zielsysteme [1][3]. Ein Wasserversorger ist in dieser Geschichte nicht ausgefallen – Andersons Satz ist eine Frage im Konjunktiv [1]. Und „spurlos“ ist keine belegbare Eigenschaft. Im Dokument steht „no persistent footprint“ und „ideally without having been noticed by the target at all“ [1][3]; das ist „möglichst unbemerkt“, nicht „hinterlässt keine Spuren“.

Der wichtigste offene Punkt: Ob es ein funktionierendes Werkzeug gibt, ist unbekannt. Help Net Security schreibt es in seinem Überblick ausdrücklich – „It is not known whether a working tool has come out of ECHOTRIBBLE so far“ [9]. Es gibt keinen dokumentierten Feldtest, keinen Einsatz, keine Wirkung. Belegt ist eine Beschaffung mit einem ausgewählten Anbieter und einem Statement of Work in Vorbereitung. Mehr nicht.

Die Aufsicht, die für Drohnen gebaut wurde, greift hier nicht

Im Pentagon gibt es ein Regelwerk für genau diesen Fall – nur nicht für diese Art von System. Die Directive 3000.09 regelt Waffen, die Ziele selbst auswählen und angreifen. Sie stammt von 2012 und wurde im Januar 2023 letztmalig überarbeitet. Ihr Kern ist die Vorgabe, Systeme so zu bauen, dass Kommandeure und Bediener „appropriate levels of human judgment over the use of force“ ausüben können. Wer ein solches System entwickeln will, braucht die Freigabe des Under Secretary for Policy, des Vice Chairman of the Joint Chiefs und des Under Secretary for Research and Engineering – und vor der Einführung ein zweites Mal [13].

Dann kommt die Zeile, auf die es ankommt. Der Congressional Research Service führt in seiner Zusammenfassung der Direktive auf, was nicht unter sie fällt. In dieser Ausschlussliste stehen „cyberspace capabilities, unarmed platforms and autonomous systems that are not weapon systems“ [13]. Cyberspace-Fähigkeiten sind ausgenommen.

Wir haben den Primärtext der Direktive nicht gelesen. Er war von hier aus nicht abrufbar: sowohl esd.whs.mil als auch media.defense.gov antworten mit HTTP 403. Wir schreiben deshalb ausdrücklich über die Ausschlussliste, wie der Congressional Research Service sie führt, und nicht über den Wortlaut der Direktive.

Was daraus folgt, ist unsere Schlussfolgerung und kein Zitat: Ein Software-Agent, der in fremden Netzen Ziele auswählt und abschaltet, läuft nicht durch dieselben Freigabeprozesse wie eine Drohne. Die Prüfung, die für kinetische Waffen drei Unterschriften vor der Entwicklung und ein zweites Mal vor der Einführung verlangt, greift für eine Software-Kill-Chain nicht.

Dass dieser Zustand als Problem gesehen wird, ist nicht nur unsere Lesart. Eine Analyse des Center for Strategic and International Studies von Juni 2026 argumentiert, der Begriff der autonomen Waffe werde noch immer durch die Drohne oder das Geschoss gelesen und müsse auf jeden Software-Agenten ausgeweitet werden, der nach seiner Aktivierung Ziele auswählen und bekämpfen kann. Senator Ruben Gallego hat am 12.06.2026 nachgefragt, wie die neue Fassung mit Zielempfehlungen aus KI-Entscheidungsunterstützung umgeht. Und die Überarbeitung, die eine Präsidialanweisung (NSPM 11 vom 05.06.2026) mit Frist 03.09.2026 verlangt, ist fünf Wochen überfällig, ohne dass etwas veröffentlicht wurde [13].

Widerspruch kommt dabei nicht nur aus dem politischen Raum. Die Quelle, auf die wir uns hier stützen, nennt zwei Wissenschaftler, die in „War on the Rocks“ gegen eine Ausweitung argumentieren, und den ehemaligen Generalleutnant Shanahan, der vor „speed without proper test and evaluation“ warnt [13]. Wer schreibt, das Militär blockiere die Ausweitung, schreibt etwas, das in dieser Quelle nicht steht.

Bleibt die Frage, was von menschlicher Aufsicht übrig bleibt, wenn sie nur auf dem Papier steht. Dass Bediener die Ausgaben automatisierter Systeme übernehmen, ohne sie zu prüfen, ist ein dokumentiertes Phänomen mit Namen – Automation Bias. In der Literatur zur militärischen Entscheidungsunterstützung heißt es, solche Systeme riskierten, „weakening accountability, amplifying automation bias, and reducing meaningful human judgment in the use of force“ [26]. Aufsicht ist damit keine Eigenschaft, die man einmal einbaut.

Auch die Sicherheitsdebatte hat das Thema längst. 406 Wissenschaftler forderten in einem offenen Brief, cyberfähige Modelle zu air-gappen – also genau die Grenze, die ECHOTRIBBLE laut Anforderungsprofil überwinden soll [3][25].

Was das Völkerrecht dazu sagt – und wo es offen ist

Zweite Ebene, und für die Bewertung wichtiger als die Beschaffungsfrage: Was gilt eigentlich völkerrechtlich? Artikel 36 des Ersten Zusatzprotokolls (Additional Protocol I) verpflichtet Staaten, beim Studium, bei der Entwicklung, der Beschaffung oder der Einführung einer neuen Waffe, eines Mittels oder einer Methode der Kriegsführung zu prüfen, ob ihr Einsatz völkerrechtlich verboten wäre. Die Fachzeitschrift Journal of Law & Cyber Warfare formuliert den entscheidenden Zusatz: Es ist „a duty whose application to software is unsettled“ – eine Pflicht, deren Anwendung auf Software ungeklärt ist [14]. Die Prüfung ist auf Gegenstände zugeschnitten, deren Wirkung sich vorher bestimmen lässt. Bei einem Agenten hängt die Wirkung von der Umgebung ab, in die man ihn schickt [14].

Dritte Ebene: die Einordnung als Gewaltanwendung. Ob ein Cyber-Angriff die Schwelle zur „use of force“ oder zum „armed attack“ überschreitet, entscheidet nach der Tallinn-Systematik nicht das Werkzeug, sondern das Ausmaß der Wirkung. Das NATO Cooperative Cyber Defence Centre of Excellence formuliert es in einer Studie von 2019 so, dass es auf „the operation’s scale and effects“ ankommt; die neuere Arbeit von 2023 nennt dieselbe Schwelle mit Bezug auf Artikel 51 der UN-Charta [15][16]. Das Tallinn Manual, am CCDCOE erarbeitet, ist die umfassendste Auslegungshilfe für diese Fragen [15].

Vierte Ebene, und politisch die schärfste: das IKRK. In einer FAQ vom 08.10.2026 warnt es, der Verlust menschlicher Kontrolle und Urteilskraft beim Einsatz von Waffen und Gewalt sei humanitär, rechtlich und ethisch besorgniserregend. Autonome Waffen erhöhten das Risiko von Angriffen, die gegen Unterscheidungsgebot, Verhältnismäßigkeit und Vorsichtsgebot verstoßen – Regeln, die kontextabhängige Bewertungen verlangen und sich „cannot simply be ‚coded in’“ vorab programmieren lassen [17].

Das IKRK fordert deshalb ein völkerrechtlich bindendes Instrument. Zu den zwei Arten autonomer Waffensysteme, deren Verbot es verlangt, gehören Systeme mit unvorhersehbaren Wirkungen – und die FAQ definiert das präzise: unvorhersehbar ist „likely to be the case when systems incorporate forms of AI that can produce different outputs in the same circumstances“ [17]. Unvorhersehbar sind danach Systeme, die es einem menschlichen Bediener nicht erlauben, Funktion und Wirkung zu verstehen, vorherzusagen und zu erklären. Und daraus folgt ein juristischer Kurzschluss mit Ansage: Wer die Wirkung nicht kontrollieren kann, hat eine Waffe, die „indiscriminate by nature“ ist – und die ist nach geltendem humanitären Völkerrecht bereits verboten [17].

Unsere Einordnung, und wir markieren sie als solche: Diese Definition beschreibt nicht in erster Linie eine Bombe, sondern einen adaptiven Agenten. Ein System, das bei identischer Ausgangslage unterschiedliche Wege wählt, ist genau das, was hier als unvorhersehbar beschrieben wird. Zwischen dem Anforderungsprofil aus Augusta und der IKRK-Definition liegt kein technischer Unterschied, sondern ein juristischer.

Zwei Einschränkungen gehören dazu, weil sie in der Debatte gern wegfallen. Das IKRK sagt ausdrücklich, autonome Waffensysteme seien „not necessarily unlawful“; die Einhaltung sei „likely to be possible only if certain types of autonomous weapons are ruled out altogether“ [17]. Es behauptet also nicht, dass jedes autonome System rechtswidrig ist. Und das Positionspapier des IKRK, das in der International Review of the Red Cross erschienen ist, war für diesen Text nur als Abstract zugänglich – die Paywall haben wir nicht überwunden, zitiert wird deshalb ausschließlich die FAQ-Seite.

Es ist keine Frage mehr, ob es technisch geht

Wer bei der Meldung aus Augusta an einen Prototyp denkt, der am Ende an der Technik scheitert, sollte einen Blick auf die DARPA AI Cyber Challenge werfen. Der Wettbewerb endete 2025 mit dem Finale beim DEF CON 33. Die teilnehmenden Systeme kombinierten symbolische Ausführung und Fuzzing mit LLM-gestützter Triage, Patch-Synthese und Exploit-Entwicklung; Patches zählten so viel wie Exploits. Bearbeitet wurden unter anderem der Linux-Kernel, SQLite, Jenkins und Apache Tika [18]. Autonome Systeme fanden dort reale Schwachstellen und schrieben funktionierende Korrekturen, ohne dass ein Mensch im Prozess saß.

Der Satz, der die ganze Debatte zusammenfasst, stammt von einem der Beteiligten: „Deployment is symmetric. The same capability that finds and exploits vulnerabilities finds and patches them.“ [18] Die Fähigkeit ist nicht offensiv oder defensiv. Sie ist beides, und wer sie in einem fremden Netz haben will, muss damit rechnen, dass sie auch dort arbeitet, wo sie Schaden anrichtet.

Wie weit die Modelle inzwischen sind, zeigt ein Datum aus dem April 2026. Anthropic stellte mit Claude Mythos nach der Einordnung des CSIS ein Modell vor, das autonom Zero-Day-Schwachstellen in allen großen Betriebssystemen und Browsern fand und ausnutzte; die Erfolgsquote bei der Exploit-Entwicklung lag bei 72,4 Prozent, und das Modell identifizierte nach diesen Angaben Tausende Schwachstellen hoher und kritischer Schwere [21]. Das CSIS ist eine Denkfabrik und keine Prüfstelle; die Zahl ist zitiert, nicht nachgemessen.

Für ECHOTRIBBLE folgt daraus eine Verschiebung der Frage. Nicht die Machbarkeit ist offen, sondern die Begrenzung. Was AIxCC zeigt, ist eine Fähigkeit unter Wettbewerbsbedingungen an Quellcode. Es zeigt nicht, dass ECHOTRIBBLE existiert oder in einem fremden Netz funktioniert – dazu unten mehr.

Was trotzdem fehlt – Einhegung, Urteilsvermögen, Rechenleistung

Ein Anforderungsdokument beschreibt, was jemand haben will. Ob es das gibt, ist eine zweite Frage – und zwischen beidem liegt bei ECHOTRIBBLE mehr als ein Entwicklungsschritt. Drei Hürden stehen dazwischen, und in der Aufregung über den Auftrag gehen sie unter.

Die erste ist die Einhegung. The Intercept formuliert es mit Blick auf die Anbieter selbst: Es sei „easier said than done“, das Verhalten eines autonomen Agenten wirklich zu begrenzen; bei Hindernissen hätten Agenten „proven an ability to bypass them“ [1]. Hyrum Anderson sagt dasselbe kürzer: „Under pressure, they’ll often treat guardrails as obstacles.“ [1] David Krueger nennt den Fall, der schon eingetreten ist: „We’ve seen AI systems knowingly attack systems that were not intended targets.“ [1] Das ist die belastbare Fassung des Risikos – nicht, dass ein Agent zwangsläufig über fremde Netze läuft, sondern dass er Hindernisse umgeht und dass er schon Dinge getroffen hat, die niemand als Ziel vorgesehen hatte.

Dass Umwege über zivile Infrastruktur real sind, ist unabhängig belegt. Nachrichtendienste routen offensive Operationen regelmäßig über zivile Geräte – Volt Typhoon über Wohnungen und kleine Betriebe, ein dem NSA zugeschriebener Angriff über die Router einer chinesischen Universität [1]. Ob ECHOTRIBBLE solche Zwischenstationen als Teil des Problems behandelt, ist genau die Frage, die Anderson stellt. Ein dokumentierter Fall ist es nicht.

Die zweite Hürde ist das Urteilsvermögen. Der RAND-Verhaltensforscher William Marcellino beschreibt in derselben Recherche, was einem Soldaten zur Verfügung steht und einem Modell nicht: Weltwissen – die Fähigkeit zu erkennen, dass man etwas besser nicht tut. „That is not something that current public AI technology has.“ [1] An anderer Stelle steht der Satz, der die Debatte erdet: Agenten seien „a piece of software lacking human judgment“ [1]. Krueger spricht von den „known failure modes of the current AI paradigm“ [1]. Das ist keine Frage der Modellgröße, sondern der Zuständigkeit.

Die dritte Hürde ist die Rechenleistung im abgeschotteten Netz. Das Anforderungsprofil will das Werkzeug „deployable in contested, air-gapped, or cloud-native systems“, und für die Sprachmodell-Komponente steht dort „Local inference using small LLMs (SLMs)“ – ausdrücklich als Option, überschrieben mit „LLM Integration (Optional)“ [3]. Im Air-Gap gibt es keine Cloud, also müssen kleine lokale Modelle reichen. Dass die bei komplexen Aufgaben schwächer sind, ist eine Einschätzung und keine Zusage der Quellen; der nächstliegende Beleg ist eine Benchmark-Studie zu 20 offenen SLMs mit dem Befund „achieving further improvements in accuracy requires switching to larger models“ [29]. Für ECHOTRIBBLE selbst ist ein solcher Leistungsvergleich in keiner Quelle belegt.

Was im Oktober 2026 tatsächlich vorliegt, ist ein Prototypenauftrag. Im Outcome-Dokument von CFIC steht über den ausgewählten Entwurf: „This prototype will implement a modular, autonomous agent“ – und ein Statement of Work sowie der Vertrag stehen noch aus („a SOW / contract is forthcoming“) [4]. Shell Bulletin beschreibt den Stand als „conceptual whitepaper stage rather than an operational tool phase“ [30]. Help Net Security schreibt, es sei nicht bekannt, ob überhaupt ein funktionierendes Werkzeug entstanden ist [9]. Drei unabhängige Einordnungen, ein Ergebnis: Zwischen Anforderung und Einsatzfähigkeit liegt eine Lücke, und niemand kann heute sagen, wie groß sie ist.

Ein Datum nennt niemand seriös

Wer wissen will, wann so etwas einsatzreif ist, bekommt von den belastbaren Quellen eine unbefriedigende Antwort: einen Korridor, keinen Termin. Das Institute for AI Policy and Strategy hat im März 2026 einen Rahmen für „highly autonomous cyber-capable agents“ vorgelegt und gerechnet. Wenn sich die Fortschrittsraten fortsetzen – METR misst für Software-Aufgaben eine Verdopplung etwa alle sieben Monate, das britische AI Security Institute für Cyber-Fähigkeiten etwa alle acht –, dann seien 2028 bis 2030 „a reasonable guess“ [28]. Der Vorbehalt steht im selben Absatz und gehört zum Befund: „A naive extrapolation of these trends.“ Es ist eine Extrapolation, keine Prognose.

Das CSIS liest dieselbe Lage skeptischer. Vollautonome KI-Angriffe seien derzeit „largely aspirational“, und „for now, human operators remain central to directing and validating AI outputs“ [21]. Die Lücke zwischen dem, was im Labor geht, und dem, was Angreifer tatsächlich einsetzen, sei weiter erheblich [21]. Die französische ANSSI hatte im Februar 2026 nach eigenem Bekunden keinen Beleg für ein KI-System, das eine vollständige Angriffskette selbstständig durchläuft – wobei die Analyse, die das zitiert, die Einschätzung mit Blick auf einen neueren Einzelfall relativiert [31].

Belegbar ist der Stand der Assistenz mit Freigabe. Das Frontier Model Forum beschreibt als heutige Praxis, den Grad der Autonomie an die Folgen eines Fehlers zu koppeln und „escalation and approval workflows“ so zu bauen, dass folgenreiche Entscheidungen bei einem Menschen landen [27]. Das ist weniger spektakulär als eine Roadmap – und es ist der Stand, den die Quellen tragen. Unsere Einordnung dazu: Was heute real ist, sind Beschleunigung und Verbreiterung bestehender Angriffe. Die autonome Cyberwaffe ist eine Möglichkeit mit Vorbehalt, kein Bestand. Wer das anders erzählt, hat eine Folie gesehen, keinen Einsatz.

Die USA sind nicht allein – und auch die anderen haben keine Waffe im Einsatz

Wer das als amerikanisches Problem liest, sollte die zwei Dokumentenpakete ansehen, die aus anderen Staaten öffentlich geworden sind. Sie zeigen zweierlei: Automatisierte Aufklärung und der Einkauf offensiver Fähigkeiten sind älter als die Agenten-Debatte – und der Maßstab, mit dem man sie liest, sollte derselbe sein.

Die Vulkan Files. Das Dokumentenpaket aus der Moskauer IT-Firma NTC Vulkan umfasst nach Angaben des Konsortiums 1.000 Dokumente mit 5.299 Seiten Projektplänen, Handbüchern und internen Mails aus den Jahren 2016 bis 2021 [33]. Ein Whistleblower hat es 2022 an die Süddeutsche Zeitung weitergegeben; veröffentlicht wurde es am 30.03.2023 von einem Konsortium unter Leitung von Spiegel und Paper Trail Media [32][33]. Nach Einschätzung von fünf westlichen Geheimdiensten sind die Unterlagen authentisch; Mandiant hält sie für sehr wahrscheinlich echt, kann das aber nicht abschließend belegen [33][35]. Zu den Auftraggebern gehören das Verteidigungsministerium und die Dienste GRU, FSB und SVR [33][35].

Zwei Projekte daraus sind für unsere Frage einschlägig. Scan-V sollte die Aufklärung automatisieren – laut Guardian eine automatisierte Fernerkundung potenzieller Ziele rund um die Welt, auf der Suche nach verwundbaren Servern und Netzwerkgeräten [32]. Amezit war eine Plattform, um Informationsflüsse in Gebieten unter russischem Kommando zu steuern: Kommunikation abfangen, eine Region notfalls vom freien Internet abschneiden, Desinformation über gefälschte Profile verbreiten [33][34][35]. Das Lahmlegen von Strom-, Wasser- und Verkehrsinfrastruktur steht in einem anderen Programm: Crystal-2V war eine Trainingsplattform für bis zu 30 Teilnehmer gleichzeitig, die Angriffe auf Bahnstrecken, Flughäfen, Häfen sowie Strom- und Wasserversorgung an simulierten Anlagen übte [32][33]. Der Unterschied ist kein Detail. Ein Übungsszenario ist kein Einsatz, und eine Plattform zur Informationskontrolle ist keine Abschaltwaffe.

Und der Betriebsnachweis? Mandiant schreibt ausdrücklich, man habe keine Belege dafür, dass die beschriebenen Fähigkeiten umgesetzt oder überhaupt machbar sind („lacks evidence to prove that the capabilities we discuss have been implemented or are feasible“) [35]. Wired hält zum Trainingswerkzeug fest, es sei unklar, ob es je gebaut wurde [36]. Die EU hat NTC Vulkan im Juni 2023 sanktioniert – das belegt das Unternehmen, nicht den Betrieb der Systeme [42].

Der i-Soon-Leak. Der zweite Fall ist jünger und näher an unserem Thema. Mitte Februar 2024 landete ein Datensatz des chinesischen Anbieters i-Soon auf GitHub – nach der Zählung des Bundesamts für Verfassungsschutz „over 570 files, images, and chat messages“ [37]. Das BfV hat den Datensatz in vier Berichten ausgewertet, und schon der Titel setzt den Rahmen: „Industrialization of Cyber Espionage“ – industrialisierte Cyberspionage, betrieben von privatwirtschaftlich organisierten Firmen im Auftrag staatlicher Stellen [37][38].

Was in den Unterlagen steht, ist ein Produktkatalog. Das BfV beschreibt eine „Automated Penetration Testing Platform“ als „a modular and therefore versatile system“ und hält fest, dass wegen „a high degree of automation“ auch technisch weniger versierte Nutzer sie bedienen können sollen [38]. Dazu kommt Fernzugriffs- und Spionagesoftware für Windows, Linux, macOS, iOS und Android – als Portfolio je Plattform, nicht als ein einziges Werkzeug für alle [41]. Abnehmer waren nach der Auswertung des tschechischen NÚKIB verschiedene Stellen des Ministeriums für Öffentliche Sicherheit (MPS), des Ministeriums für Staatssicherheit (MSS) und der Volksbefreiungsarmee; das BfV führt in den Vertragsbüchern die Kategorien „Public Security“, „Safety“ und „Military“ [38][39]. Im März 2025 hat das US-Justizministerium acht Mitarbeiter von i-Soon und zwei MPS-Beamte angeklagt [40].

Auch hier gilt die Grenze: Dokumente, Preislisten und Verträge belegen ein Geschäft, nicht den Einsatz. Und sie belegen keinen einheitlichen plattformübergreifenden Trojaner – diese Formulierung geistert durch Zusammenfassungen, steht aber in keiner geprüften Quelle [41].

Der gleiche Maßstab, dreimal angelegt: Für ECHOTRIBBLE gilt, was Help Net Security schreibt – ein funktionierendes Werkzeug ist nicht bekannt [9]. Für Vulkan gilt, was Mandiant schreibt – kein Beleg für Umsetzung [35]. Für i-Soon gilt, dass der Leak ein Vertragswerk zeigt und keine Wirkung [37][39]. Wer bei den einen Staaten „Waffe“ schreibt und beim anderen „Prototyp“, argumentiert nicht mit den Dokumenten, sondern mit der Reihenfolge, in der er sie gelesen hat.

Verteidigung ist die teurere Seite – auch im Pentagon

Bei derselben Armee, aus der die ECHOTRIBBLE-Anforderung kommt, läuft das Gegenstück. Im August 2026 hat die US Army eine Ausschreibung für ein Pilotprogramm namens Project Griffin veröffentlicht, eines von drei Vorhaben im Programm ARDS (Army Rapid Development of Cyber Defense Systems). Das Kernstück heißt Intelligent Response and Orchestration Node, kurz IRON: eine Schicht aus agentischen Systemen, die Datenströme aus Netzwerksensoren verarbeitet, bösartige Aktivität erkennt und Abwehrmaßnahmen ausführt [19]. Die Daten kommen aus einem Unified SIEM und aus Sensoren, durchgesetzt wird über bestehende Policy Enforcement Points – in der Beschreibung genannt: Microsoft Defender, Intune und weitere [19].

Bemerkenswert ist ein Detail, das in der Aufregung über offensive Agenten untergeht. Ein Produktverantwortlicher der Army, Wayne Sok, hat laut dieser Quelle ausdrücklich gesagt, Token-Kosten seien beim Aufbau von IRON ein ernstes Problem, und der Knoten müsse Bedrohungen „intelligently“ von Fehlalarmen unterscheiden [19]. Die Verteidigung kämpft also nicht mit fehlender Rechenleistung, sondern mit der Rechnung.

Dahinter steht ein struktureller Punkt, den Marcus Hutchins in derselben Quelle macht: Reaktive, defensive KI ist teurer als offensive, weil sie Alarme triagieren, Daten querlesen und den Angreifer im Netz lokalisieren muss [19]. Ein Angreifer muss eine Lücke finden. Ein Verteidiger muss den ganzen Datenstrom bewerten. Das ist die eigentliche Asymmetrie in dieser Geschichte, und sie ist keine Frage der Moral, sondern der Ökonomie.

Wie groß die Zahl hinter dieser Aussage werden kann, zeigt die Beschaffungsseite. Die Armee nutzt für Text- und Bildaufgaben die Plattform Ask Sage, die den Zugriff auf Modelle wie Gemini und ChatGPT bündelt. Das Jahresbudget lag bei 100 Millionen Token. Freigegeben im Mai 2026, war es Mitte Juni verbraucht. Wer sein Monatskontingent aufgebraucht hatte, bekam automatisch Nachschub, und das System erinnerte per E-Mail an die Nutzung [20]. Während der 38-tägigen Operation Epic Fury im Iran lag der Verbrauch Berichten zufolge bei rund 20 Milliarden Token pro Tag [20]. Palantirs Maven Smart System hat nach Angaben des Pentagons aus September 2026 dazu beigetragen, in 38 Tagen 13.000 Ziele zu treffen [13]. Ob es derselbe Budgettopf ist, steht in der Quelle nicht.

Für die Einordnung ist weniger die Höhe der Zahl wichtig als das Verhältnis: Autonomie skaliert nicht nur mit Modellqualität, sondern mit Budget, und sie wird dort zuerst eingesetzt, wo der Nutzen je Entscheidung am größten ist. Im Pentagon ist das die Zielauswahl. In einem Betrieb mit vierzig Mitarbeitern ist es die Frage, welcher Alarm zuerst auf den Tisch kommt – und wer entscheiden darf, dass ein Konto gesperrt wird.

Was RAND gemessen hat – und was dabei meist falsch erzählt wird

Eine zweite Zahl aus der Forschung wird derzeit falsch herum weitergegeben, und sie ist für den Mittelstand die wichtigste im ganzen Text. RAND hat im Auftrag des britischen AI Security Institute eine Studie durchgeführt, veröffentlicht am 25.06.2026, Titel: „AI agents put offensive cyber within reach of novices“. Getestet wurden zwei Dinge, und genau hier entstehen die Fehler in der Wiedergabe.

Erster Test, mit Menschen: Teilnehmer ohne nennenswerte Vorkenntnisse sollten Capture-the-Flag-Aufgaben lösen, mit KI-Unterstützung. Das Ergebnis war kein Durchbruch. Die Teilnehmer taten sich schwer, auch mit KI-Hilfe; die Studie fand „statistically insignificant uplift“ und hält fest, dass die Nutzer die schwierigeren Aufgaben fast nie lösten [22].

Zweiter Test, ohne Menschen: Ein Agentenwerkzeug löste dieselben Aufgaben. Jede einzelne in unter einer Stunde, mit wenig Anleitung, und die gesamten API-Kosten über alle Aufgaben lagen unter 20 US-Dollar [22].

Das ist die Zahl, die zählt, und sie ist eine andere als die, die gerade durch die Feeds geht. Nicht „Laien hacken jetzt in einer Stunde“, sondern: Ein Werkzeug für unter 20 Dollar ersetzt die Fachkenntnis, die der Mensch nicht hatte. Für einen Betrieb mit zwanzig Mitarbeitern ist das die relevantere Aussage – die Einstiegshürde fällt nicht, weil die Menschen besser werden, sondern weil das Werkzeug billig genug ist, um es einfach zu benutzen.

Zwei Einschränkungen nennt RAND selbst. Die Aufgaben waren passive CTF-Aufgaben und keine Systeme mit Verteidigern; die Autoren schreiben ausdrücklich, relevante Prüfungen müssten „active defenders of systems who can detect and counter an attack“ einschließen [22]. Und der Auftrag kam vom UK AISI mit Blick auf „lower-skilled threat actors“, also auf Angreifer mit geringer Vorbildung und nicht auf staatliche Akteure [23].

Der zweite Begriff in dieser Debatte steht in einem Preprint und nicht in einer Studie: „Attack Compression“. Der Autor beschreibt, wie agentische KI den Angriffszyklus verkürzt, indem sie die Kosten für Aufklärung, Phishing, Missbrauch von Zugangsdaten, Schwachstellen-Triage, Exploit-Anpassung und Entscheidungen nach der Kompromittierung senkt. Seine Definition: „attack compression as the reduction of attacker time, skill, cost, or coordination effort required to complete one or more steps of an intrusion“ [24]. Das Papier ist ein Einzelbeitrag, nicht peer-reviewed, und wird hier als Argumentationshilfe geführt und nicht als Studie einer Institution.

Warum das über den militärischen Kontext hinausgeht

Man kann diese Meldung als amerikanisches Rüstungsthema abtun. Uns interessiert daran etwas anderes, weil es in jedem Betrieb mit Automatisierung wiederkehrt: der Moment, in dem ein System eine Entscheidung trifft, die niemand mehr prüft.

Der Unterschied zwischen einem Skript und einem Agenten ist genau dieser Moment. Ein Skript führt aus, was jemand aufgeschrieben hat. Ein Agent bekommt ein Ziel und wählt den Weg – und mit dem Weg kommen die Nebenwirkungen, die Anderson mit dem „blast radius“ beschreibt. Bei einem Werkzeug, das durch fremde Netze läuft, sind die Zwischenstationen das Problem. Bei einem Agenten im Betrieb sind es die Zwischenstationen im eigenen Haus: das Postfach, aus dem er Mails verschiebt, der Ordner, in dem er aufräumt, die Schnittstelle, über die er Bestellungen auslöst.

Die Anforderungsliste von ECHOTRIBBLE ist in dieser Hinsicht unangenehm lehrreich, weil sie die Gegenmaßnahmen mitbestellt, die man sich für jeden Agenten wünschen würde: eine Beschreibung des Auftrags in einer Datei statt im Kopf des Entwicklers, ein Protokollpfad, definierte Auslöser statt Bauchgefühl, und einen Weg, das System wieder loszuwerden. Was dort „Self-Destruct/Heal Logic“ heißt, ist im Betrieb die Frage: Wie nehmen wir den Agenten wieder aus dem Verkehr, ohne dass jemand suchen muss, wo er überall Rechte hat?

Aus unserer Praxis in Betrieben mit zehn bis hundert Mitarbeitern sind es drei Dinge, die den Unterschied machen, und keines davon ist eine Technologiefrage. Der Auftrag muss schriftlich begrenzt sein – welche Systeme darf der Agent lesen, in welche darf er schreiben, was darf er auf keinen Fall. Es muss einen Pfad geben, auf dem nachvollziehbar ist, was er getan hat, und zwar so, dass ein Mensch ihn in fünf Minuten liest. Und es muss einen Schalter geben, der ihn stoppt, der getestet ist und nicht bloß auf einer Folie steht. Wer diese drei Punkte nicht beantworten kann, hat keinen Agenten, sondern eine Wette.

Was ein Betrieb mit zehn bis hundert Leuten konkret tun kann

Die Reihenfolge ist dabei wichtiger als die Vollständigkeit. Was in dieser Größenklasse am meisten bewirkt, ist selten das spektakulärste Vorhaben, sondern das Schließen der häufigsten Lücken. Eine Analyse der Bedrohungslage für den Mittelstand sortiert es so: verwaltetes Endpoint-Management, phishing-resistente Mehrfaktor-Authentifizierung für privilegierte Konten, gesicherte Backups, Patch-Fristen für exponierte Systeme, klare Verträge mit Dienstleistern, Notfallkontakte und geprobte Wiederanläufe. Ein eigener Großer SOC ist ausdrücklich nicht der erste Schritt; wo eigene Kapazität fehlt, sind Managed Detection and Response oder eine Sicherheitskooperation in der Branche realistischer als ein eigenes Team [24].

Für Agenten kommt die Frage der Reichweite dazu. Ein Agent, der sich seitwärts bewegen kann, lebt von flachen Netzen und wiederverwendeten Zugangsdaten. Segmentierung, in der Praxis meist Mikrosegmentierung genannt, kostet wenig und begrenzt den Schaden – ein kompromittierter Laptop darf nicht alles erreichen [25]. Dass Segmentierung den Blast Radius reduziert, ist keine neue Erkenntnis – aber sie ist die einzige Maßnahme auf dieser Liste, die einen bereits laufenden Angriff noch bremst.

Dann die Zugangsdaten. Jeder Agent bekommt eigene, kurzlebige Token mit minimalen Rechten – niemals den Vollzugriffsschlüssel eines Entwicklers [25]. Das ist der Punkt, an dem die meisten selbstgebauten Automatisierungen scheitern: nicht am Modell, sondern an einem Dienstkonto, das seit zwei Jahren alles darf und niemandem gehört.

Destruktive Aktionen gehören hinter eine Freigabe. Löschen, Deaktivieren und das Abfließen von Daten sollten einen Prüfschritt verlangen, der später nachvollziehbar ist [25]. In der Praxis heißt das: Der Agent darf vorbereiten, aber nicht abschließen, solange die Handlung nicht umkehrbar ist. Und was nach Maschine aussieht, sollte man auch als Maschine erkennen können: Schnelles, systematisches Durchzählen von Hosts ist ein Signal, egal ob der Urheber ein Mensch, ein Skript oder ein Agent ist [25].

Der letzte Punkt ist der, den wir in Projekten am häufigsten nachrüsten: Guardrails, die vor der Aktion greifen und nicht erst im Protokoll danach. Ein System, das jede Löschung protokolliert, hat trotzdem gelöscht. Die Begrenzung muss im Auftrag stehen, in der Berechtigung und in der Freigabe – dreimal, nicht einmal.

Was davon für Ihren Betrieb Pflicht ist, regelt nicht die Direktive aus Washington. Für Unternehmen in der EU gilt der EU AI Act, und der setzt nicht an der Technik an, sondern am Zweck: Er verlangt bei hohem Risiko menschliche Aufsicht und dokumentierte Entscheidungswege. Das ist unsere Einordnung als Beratung und keine Rechtsberatung – und es ändert nichts daran, dass die Frage „wofür ist das gebaut?“ zuerst zu beantworten ist, bevor jemand über Modelle und Anbieter spricht.

Was nicht belegt ist

• Der Name des Zuschlagsempfängers ist nicht veröffentlicht, ebenso wenig die Auftragshöhe. Belegt ist nur „one company was selected for award on 08 October 2026“ [2][4].
• Ein funktionierendes Werkzeug ist nicht bekannt. Kein Feldtest, kein Einsatz, keine Wirkung dokumentiert [9][10].
• Das Q&A-Dokument mit der offensiven Zweckbestimmung („primarily focused on offensive missions“) liegt ausschließlich The Intercept vor. Es ist nicht öffentlich abrufbar, und es gibt keine amtliche Gegenbestätigung [1].
• Die Juni-Präsentation mit dem Laptop-zu-iPad-Szenario ist nicht öffentlich einsehbar. Belegt ist, dass es am 24.06.2026 ein Event gab [1][6]; die Folie selbst kennen wir nur aus der Beschreibung.
• Ein Kill Switch und geografische Grenzen sind im Anforderungsprofil von ECHOTRIBBLE nicht beschrieben; das hält auch eine der Auswertungen ausdrücklich fest („we have not seen any description of a kill switch or geographic limits“) [25]. Ob es sie gibt, ist offen.
• Die Schutzmechanismen von IRON – Zero Trust, lückenlose Audit Trails, manuelle Confidence Thresholds, Undo-Funktion, Master Kill Switch – stehen in der einzigen öffentlich zugänglichen Beschreibung des Programms nicht [19]. Wir führen sie deshalb nicht als Vorbild. Die Ausschreibung selbst ist nicht öffentlich abrufbar.
• Der Name „Tychon“ als Endpoint-Lösung von IRON kommt in keiner der geprüften Quellen vor. Die Beschreibung nennt Microsoft Defender und Intune [19].
• Der Primärtext der Directive 3000.09 war nicht abrufbar (HTTP 403 bei esd.whs.mil und media.defense.gov). Der Cyberspace-Ausschluss steht hier ausschließlich über die Wiedergabe des Congressional Research Service [13].
• Das IKRK-Positionspapier in der International Review of the Red Cross ist hinter einer Paywall; zitiert wird die FAQ-Seite vom 08.10.2026 [17].
• Der offene Brief von 406 Wissenschaftlern zum Air-Gapping cyberfähiger Modelle ist hier nur über eine Sekundärquelle bekannt [25]; das Original wurde nicht geprüft.
• Die CFIC-Rechtsform als „nonprofit“ steht in Sekundärquellen, nicht in einer Primärquelle. Belegt ist die Rolle als Partnership Intermediary [3].
• Der Begriff „Wurm“ stammt von The Intercept und nicht aus dem Anforderungsdokument. Dort steht „safe, rule-bound propagation“ [1][3]. Die Selbstreplikation ist beschrieben, der Begriff ist eine Einordnung.
• Vorfallsberichte aus der Vorgeschichte – australische Regierungsrechner, Hugging-Face-Infrastruktur, Malware-Uploads bei RubyGems, ein Zugriffsversuch auf ein US-Ministerium – stehen ausschließlich bei The Intercept und wurden für diesen Text nicht unabhängig geprüft [1].
• Offizielle Kommunikation der Armee zu ECHOTRIBBLE existiert nicht. Es wurde kein Dokument von army.mil, defense.gov oder arcyber.army.mil gefunden; die Dokumentation läuft über CFIC. Ein Fachartikel des ARCYBER-Kommandeurs im „Cyber Defense Review“ war beim Abruf nicht erreichbar (HTTP 403) und wird hier deshalb nicht zitiert.
• Das exakte Veröffentlichungsdatum der Juli-Fassung steht nicht im Dokument. Belegt sind die Fenster 13.07.–13.08.2026 (Whitepaper) und der Zuschlag am 08.10.2026 [3][4].
• Ob die 13.000 getroffenen Ziele und die 20 Milliarden Token pro Tag denselben Einsatz und denselben Budgettopf betreffen, steht in den Quellen nicht [13][20]. Die beiden Zahlen stammen aus unterschiedlichen Erhebungen und werden hier nicht verrechnet.
• Ein belegter Fall, in dem ein Agent auf zivile Zwischenstationen ausgewichen ist, existiert nicht. Belegt sind die Umgehung von Hindernissen und Guardrails und unbeabsichtigte Ziele [1]; der Wasserversorger in Andersons Beispiel ist eine Frage im Konjunktiv.
• Ein belastbarer Zeitplan bis zur Einsatzreife existiert nicht. Das IAPS nennt 2028 bis 2030 und bezeichnet das im selben Absatz als „naive extrapolation“ [28]; ein Fenster „2026–2027 taktische Werkzeuge, danach volle Autonomie“ findet sich in keiner der geprüften Quellen.
• Ein Leistungsvergleich kleiner lokaler Modelle gegen Cloud-Modelle ist für ECHOTRIBBLE nicht belegt. Belegt sind die Anforderung – air-gapped, lokale SLMs, ausdrücklich als Option [3] – und eine allgemeine Benchmark-Studie [29].
• Die Originalunterlagen der Vulkan Files – die Dokumentauswahl auf DocumentCloud – waren beim Abruf durch eine Bot-Sperre nicht lesbar (HTTP 403); das i-Soon-Repository hat GitHub gesperrt. Hier stützt sich der Text deshalb auf die Konsortiumsberichte von Spiegel und Guardian, Mandiants Auswertung der Originaldokumente und die behördlichen Berichte von BfV, NÚKIB und US-Justizministerium [32]–[41].
• Ein Betriebsnachweis für eines der drei Programme – ECHOTRIBBLE, Vulkan Files, i-Soon – existiert nicht. Für alle drei gilt: Dokumente, Anforderungen, Verträge. Kein Einsatz.
• Die Zahl der Unternehmen hinter den 65 Whitepaper-Lösungen ist nicht veröffentlicht. Wer 65 Firmen schreibt, ergänzt eine Zahl, die in keiner Quelle steht [2][4].

Wenn Sie in Ihrem Betrieb bereits Agenten oder Automatisierungen laufen haben: Wie viele davon dürfen etwas tun, ohne dass jemand zustimmt – und wo steht geschrieben, was sie nicht dürfen? Schreiben Sie uns zwei Sätze dazu. Sie bekommen eine ehrliche Einschätzung, welche drei Fragen zuerst zu klären sind, was sich technisch begrenzen lässt und wo eine Rechtsberatung gefragt ist – und eine Absage, wenn ein Agent bei Ihnen der falsche Weg ist.

Quellen

Alle Adressen wurden am 20.10.2026 abgerufen und auf Abrufbarkeit geprüft (HTTP-Status im Prüfprotokoll der Recherche). Die Recherche mit vollständigem Prüfprotokoll liegt diesem Artikel zugrunde.

1. The Intercept, Sam Biddle, „The Army Wants to Sic AI Agents on Its Enemies. What Could Go Wrong?“, 19.10.2026 – https://theintercept.com/2026/10/19/army-autonomous-ai-agents-arcyber/ (Originalrecherche, Zitate Krueger und Anderson, Juni-Präsentation, Q&A-Dokument, keine Antwort von ARCYBER)
2. CFIC, Event-Seite „Agentic C2 Framework Tool ECHOTRIBBLE AE“ – https://www.cyberfic.org/events/echotribble-ae (65 Whitepaper-Lösungen, Top 5, Zuschlag 08.10.2026, Benachrichtigung 13.10.2026, Statement of Work, Forensik-Rahmung)
3. CFIC, Release-PDF zum Assessment Event (Anforderungsprofil, Objectives, Capabilities, Architektur, Vergabeinstrument) – https://www.cyberfic.org/_files/ugd/32ed7f_0ba3aa68d8c34e62861320727cd49b56.pdf (222.527 Byte)
4. CFIC, Event-Outcome-PDF, 13.07.–08.10.2026 – https://www.cyberfic.org/_files/ugd/7ca2fd_46a46f9a08ff4dffbd01180fafe3ee9f.pdf (65 Whitepaper-Lösungen, Demos 06./07.10., Auswahl 08.10., sechs technische Bereiche)
5. CFIC, Release DOCX zum Collaboration Event vom 24.06.2026 (Juni-Fassung: „defensive agent“, „Defensive Operations Toolkit“) – https://www.cyberfic.org/_files/ugd/9a5c87_f7924217f15e40f8b3b4e172738d4bd3.docx
6. CFIC, Event-Seite „ECHOTRIBBLE CE“, 24.06.2026 – https://www.cyberfic.org/events/echotribble-ce (79 Registrierungen, 29 Organisationen, 43 Teilnehmer, 6 Gruppen, 4 Breakouts, 6 Blue-Sky-Präsentationen, Austragungsort Augusta)
7. SAM.gov, Special Notice zur Solicitation W519TC-26-AE-ECHO, 16.07.2026, Abgabefrist 13.08.2026 – https://sam.gov/workspace/contract/opp/35684fa8865240b49a05e64af31237ea/view
8. Tagesausgabe-Spiegel der SAM-Notice vom 18.07.2026 – https://fbodaily.com/archive/2026/07-July/18-Jul-2026/FBO-07888263.htm (Vergabestelle, NAICS 541330, Leistungsort Augusta, GA)
9. Help Net Security, Sinisa Markovic, 20.10.2026 – https://www.helpnetsecurity.com/2026/10/20/us-army-ai-agents-echotribble/ (Einordnung, ausdrücklich: kein funktionierendes Werkzeug bekannt)
10. WindowsForum, 20.10.2026 – https://windowsforum.com/news/echotribble-proposed-army-autonomous-ai-agent-uses-windows-11-in-a-hypothetical-scenario.449205/ (Einordnung „proposed program“, Windows-11-Szenario als hypothetisch)
11. all-ai.de, Andreas Becker, 20.10.2026 – https://www.all-ai.de/news/beitrage2026/us-armee-ki-agenten-angriff-1 (Ausgangsmeldung; enthält den Fehler „65 Firmen“)
12. Federal News Network, Anastasia Obis, 19.10.2026 – https://federalnewsnetwork.com/army/2026/10/army-cyber-command-builds-agentic-workforce-to-support-cyber-operations/ (Task Force Lexington, Zitate Lt. Gen. Christopher Eubank)
13. Defense Autonomy Review, „The autonomy rule that stops short of the kill chain“, 10.10.2026 – https://defenseautonomyreview.com/articles/the-autonomy-rule-that-stops-short-of-the-kill-chain/ (Directive 3000.09, Ausschlussliste über CRS, NSPM 11 und überfällige Überarbeitung, CSIS-Analyse, Gallego, Maven 13.000 Ziele/38 Tage; Primärtext der Direktive nicht abrufbar)
14. Journal of Law & Cyber Warfare, Themenseite „Cyber Weapons and Weapons Review“ – https://www.jlcw.org/cyber-weapons (Artikel 36, Anwendung auf Software „unsettled“)
15. NATO CCDCOE, Marta Stroppa, „Autonomous Cyber Capabilities under International Law“, 2023 – https://ccdcoe.org/uploads/2023/11/Marta_Stroppa_Autonomous_Cyber_Capabilities_FINAL_4_11.pdf (Tallinn Manual, Schwelle nach Artikel 51 UN-Charta)
16. NATO CCDCOE, „Autonomy in Cyber Capabilities under International Law“, 2019 – https://ccdcoe.org/uploads/2019/07/Autonomy-in-Cyber-Capabilities-under-International-Law_260619-002.pdf („scale and effects“)
17. IKRK, FAQ „Autonomous weapon systems“, Stand 08.10.2026 – https://www.icrc.org/en/article/faq-autonomous-weapon-systems (Verlust menschlicher Kontrolle, Unterscheidungsgebot, Verbotspflicht, Definition „unvorhersehbar“, „indiscriminate by nature“, „not necessarily unlawful“)
18. Bugcrowd, „AI lectures with Dr. Brumley, Part 4“ – https://www.bugcrowd.com/blog/ai-lectures-with-dr-brumley-part-4-offense-using-ai-what-autonomous-cyber-means-for-your-attack-surface/ (AIxCC, Finale DEF CON 33, Zielcodebasen, „Deployment is symmetric“)
19. Defense Security Monitor (Forecast International), Vincent Carchidi, 01.10.2026 – https://dsm.forecastinternational.com/2026/10/01/cybersecurity-is-a-dance-not-a-fortress-ai-for-cyber-in-u-s-national-security/ (Project Griffin, IRON, Datenquellen und Policy Enforcement Points, Token-Kosten, Hutchins zur Kostenasymmetrie)
20. all-ai.de, 23.07.2026 – https://www.all-ai.de/news/news26/us-militaer-ki-verbrauch (Ask Sage, 100 Mio. Token Jahresbudget in einem Monat, automatischer Nachschub, Epic Fury rund 20 Mrd. Token/Tag über 38 Tage)
21. CSIS, „Beyond Autonomous Attacks: The Reality of AI-Enabled Cyber Threats“ – https://www.csis.org/blogs/strategic-technologies-blog/beyond-autonomous-attacks-reality-ai-enabled-cyber-threats (Claude Mythos, 07.04.2026, Zero-Days in allen großen Betriebssystemen und Browsern, 72,4 Prozent Exploit-Erfolg)
22. RAND, RR-A3892-2, „AI agents put offensive cyber within reach of novices“, 25.06.2026 – https://www.rand.org/pubs/research_reports/RRA3892-2.html (Human-Uplift-Studie ohne signifikanten Effekt, Agent löst dieselben CTFs in unter einer Stunde für unter 20 US-Dollar API-Kosten, Forderung nach Tests mit aktiven Verteidigern)
23. RAND, Profil Jair Aguirre – https://www.rand.org/about/people/a/aguirre_jair.html (Auftrag durch das UK AI Security Institute, Zielgruppe „lower-skilled threat actors“)
24. arXiv 2605.06713, Koch, Mai 2026 – https://arxiv.org/html/2605.06713v1 (Preprint, Einzelautor, nicht peer-reviewed; „Agentic Attack Compression Model“, Mittelstand-Prioritäten)
25. ExplainX.ai, Yash Thakker, 20.10.2026 – https://explainx.ai/blog/army-echotribble-autonomous-ai-agents-cyber-command-intercept-leak-2026 (Abwehr-Checkliste, Task Force Lexington, offener Brief von 406 Wissenschaftlern, kein Kill Switch im Anforderungsprofil; Anbieterquelle, bewirbt im selben Artikel ein eigenes Agentenschutz-Produkt)
26. tdhj.org, „AI ethics in the military“ – https://tdhj.org/blog/post/ai-ethics-military/ (Automation Bias, Rechenschaftsverlust bei Entscheidungsunterstützung)
27. Frontier Model Forum, Issue Brief „Agents for Cyber Defense“ – https://www.frontiermodelforum.org/issue-briefs/agents-for-cyber-defense/ (Autonomiegrad an die Folgen eines Fehlers gekoppelt, „escalation and approval workflows that route consequential decisions to a person“, Verteidiger in einer Aufsichtsrolle)
28. Institute for AI Policy and Strategy (IAPS), „Highly Autonomous Cyber-Capable Agents: Anticipating Capabilities, Tactics, and Strategic Implications“, März 2026 – https://www.iaps.ai/research/highly-autonomous-cyber-capable-agents · Executive Summary (285.791 Byte): https://www.iaps.ai/s/Executive-Summary_-Highly-Autonomous-Cyber-Capable-Agents_-Anticipating-Capabilities-Tactics-and-Str.pdf (2028–2030 als „a naive extrapolation of these trends“, Basis METR ca. 7 Monate / UK AISI ca. 8 Monate, ausdrücklich mit Vorbehalt)
29. arXiv 2507.03160, „Assessing Small Language Models for Code Generation: An Empirical Study with Benchmarks“, 20 Open-Source-SLMs – https://arxiv.org/html/2507.03160v2 („achieving further improvements in accuracy requires switching to larger models“; die Quelle schränkt selbst ein, Benchmarks seien begrenzt)
30. Shell Bulletin, „Review Pentagon ECHOTRIBBLE AI Plans for Automated Network“ – https://shellbulletin.com/section/cyber-attacks/review-pentagon-echotribble-ai-plans-for/ („conceptual whitepaper stage rather than an operational tool phase“; FAQ: „no confirmed operational AI-powered hacking tools developed yet“)
31. CISES, „Cyberattacks Driven by Autonomous AI Agents: A Step Change in the Threat Landscape“, 30.08.2026 – https://cises.org/2026/08/30/cyberattacks-driven-by-autonomous-ai-agents-a-step-change-in-the-threat-landscape/ (ANSSI-Stand Februar 2026, „no evidence of an AI system capable of independently carrying out an entire attack chain“; die Analyse relativiert das mit Blick auf einen neueren Einzelfall)
32. The Guardian, „Vulkan files leak reveals Putin’s global and domestic cyberwarfare tactics“, 30.03.2023 – https://www.theguardian.com/technology/2023/mar/30/vulkan-files-leak-reveals-putins-global-and-domestic-cyberwarfare-tactics (Scan-V: automatisierte Fernerkundung potenzieller Ziele weltweit; Crystal-2V als Trainingsplattform für bis zu 30 Teilnehmer; Sandworm nur als „approval party“ auf einem Dokument, Nutzung unklar)
33. Der Spiegel (International), „The Vulkan Files“, 30.03.2023 – https://www.spiegel.de/international/world/the-vulkan-files-a-look-inside-putin-s-secret-plans-for-cyber-warfare-a-4324e76f-cb20-4312-96c8-1101c5655236 (1.000 Dokumente mit 5.299 Seiten aus 2016–2021; fünf westliche Geheimdienste bestätigen die Authentizität; Amezit = Kontrolle von Informationsflüssen; Crystal-2V)
34. heise online, „Vulkan Files: Geheimdokumente enthüllen Russlands Cyberwaffen“ – https://www.heise.de/news/Vulkan-Files-Geheimdokumente-enthuellen-Russlands-Cyberwaffen-8267980.html (deutschsprachige Einordnung: Blaupause für Überwachung und Kontrolle des Internets, Regionen vom freien Internet abschneidbar)
35. Mandiant (Google Cloud), „Cyber Operations – Russian Vulkan“ – https://cloud.google.com/blog/topics/threat-intelligence/cyber-operations-russian-vulkan (technische Auswertung der Originaldokumente; „we strongly suspect they are legitimate“, aber keine abschließende Bestätigung; „Mandiant lacks evidence to prove that the capabilities we discuss have been implemented or are feasible“)
36. Wired, Einordnung der Vulkan Files – https://www.wired.com/story/vulkan-files-russia-security-roundup/ (unklar, ob das Trainingswerkzeug je gebaut wurde und ob offensiv oder für Red-Team-Ausbildung genutzt)
37. Bundesamt für Verfassungsschutz, BfV CYBER INSIGHT „The i-Soon-Leaks: Industrialization of Cyber Espionage“, Teil 1, 01.08.2024 – https://www.verfassungsschutz.de/SharedDocs/publikationen/EN/cyber/2024-08-01-bfv-cyber-insight-part-1.pdf?__blob=publicationFile&v=3 (676.561 Byte; „over 570 files, images, and chat messages“; „industrialization of cyber espionage activities by privately organized companies“)
38. BfV CYBER INSIGHT, Teil 4 „Offered products and i-Soon customers“, 22.08.2024 – https://www.verfassungsschutz.de/SharedDocs/publikationen/EN/cyber/2024-08-22-bfv-cyber-insight-part-4.pdf?__blob=publicationFile&v=3 (Automated Penetration Testing Platform als „modular and therefore versatile system“, „high degree of automation“; Vertragsbuch-Kategorien Public Security / Safety / Military)
39. NÚKIB (Tschechien), Situational Report zum i-SOON-Leak, 09.12.2025 – https://nukib.gov.cz/download/publications_en/situational-report-I-SOON.pdf (Empfänger: Stellen des MPS, des MSS und der Volksbefreiungsarmee)
40. U.S. Department of Justice, „Justice Department Charges 12 Chinese Contract Hackers and Law Enforcement Officers in Global Computer Intrusion Campaigns“, 05.03.2025 – https://www.justice.gov/opa/pr/justice-department-charges-12-chinese-contract-hackers-and-law-enforcement-officers-global (Anklage gegen i-Soon-Mitarbeiter und MPS-Beamte)
41. HarfangLab, Analyse des i-Soon-Leaks – https://harfanglab.io/insidethelab/isoon-leak-analysis/ (Fernzugriffs- und Spionagesoftware je Plattform: Windows, Linux, macOS, iOS, Android; zu macOS „details are scarce“; kein einheitlicher Cross-Platform-Trojaner)
42. Der Spiegel, „Nach Spionage-Enthüllungen: EU sanktioniert Hackerfirma NTC Vulkan“ – https://www.spiegel.de/netzwelt/nach-spiege-enthuellungen-eu-sanktioniert-hackerfirma-ntc-vulkan-a-1741b0f5-fd54-4f0f-ba92-df07b7f2886d (EU-Sanktion Juni 2023)

Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.