Ein Penetrationstest von ClassKasa mit KI-Agenten: Ablauf und Funde
Ein Penetrationstest ist ein Einbruchsversuch mit Erlaubnis des Eigentümers. Hier steht, wie ein solcher Test von ClassKasa mit KI-Agenten ablief, was er fand und was er über den Rest der Gruppe nicht aussagt.
Was der Werkzeugsatz ist
pentest-ai-agents ist ein Open-Source-Werkzeugsatz aus Claude-Code-Subagenten von 0xSteph unter der MIT-Lizenz, gebaut für Penetrationstests. Die README spricht von 50 Subagenten (der Installationsabschnitt nennt 52, deshalb schreiben wir „etwa 50“). Stufe 1 berät nur. Stufe 2 führt Befehle in einem festgelegten Umfang aus, jeder Befehl braucht eine Freigabe. Der Werkzeugsatz ist nur für autorisierte Tests gedacht.
Was, wann und mit wessen Erlaubnis
Der Inhaber von ClassKasa führte den Test mit Claude Code und diesem Werkzeugsatz im Rahmen eines autorisierten Tests durch, mit Erlaubnis des Inhabers von ClassKasa. Die Ergebnisse flossen in die ClassKasa-Releases vom 29. Mai 2026 ein: Version 3.27.0 (das dritte Korrekturpaket aus dem Test) und 3.27.1. Umfang: nur ClassKasa. Wir nennen weder das verwendete Modell noch die Zahl der beteiligten Agenten des Werkzeugsatzes.
Was gefunden und behoben wurde
Version 3.27.0 brachte 8 Korrekturen, davon 3 mit hoher Schwere: Rollenprüfung auf dem Server, Bereinigung von Chat-Inhalten und eine Begrenzung der Beträge im Zahlungsabgleich.
Der erneute Angriff
Am selben Tag wurden in Version 3.27.1 alle Angriffe wiederholt. Die Korrekturen hielten. 3 verwandte Schwachstellen derselben Klassen wurden gefunden und geschlossen, jede mit einem Regressionstest, der zuerst rot war (er fing die Lücke) und danach grün (nach der Korrektur).
Was dieser Test aussagt und was nicht
Das Ergebnis betrifft ClassKasa im Stand zur Zeit des Tests. Es ist keine Garantie für die Zukunft, kein Test einer unabhängigen Firma und sagt nichts über CzynszOK oder Kasandro. Einen vollständigen Überblick darüber, was wir in der veinito.-Gruppe prüfen, gibt die Sicherheitsseite.
Open Banking erklärt: Was eine App wirklich sieht, wenn du dein Konto verbindest
Was Open Banking und PSD2 sind, was eine App mit Kontozugriff sieht, wie die Zustimmung abläuft und widerrufen wird und wie du eine Lizenz prüfst.
Lesen →WeiterlesenEine Lizenz, drei Produkte: ein Fintech aus Polen für die ganze EU
Wie ein kleines Unternehmen aus Wrocław drei Open-Banking-Produkte auf der AIS-Lizenz von Enable Banking baut und warum es von Anfang an für die ganze EU plant.
Lesen →WeiterlesenOWASP ZAP erklärt: was es ist und 10 typische Prüfungen
Was ZAP ist, wie sich ein passiver von einem aktiven Scan unterscheidet, welche 10 typischen Prüfungen es meldet und was sein Einsatz über eine App aussagt.
Lesen →