SecurityOct 24, 20265 min read

Always-On Agents Arrived the Same Week the Patch Window Shrank

Claude Duet, OpenAI Dots, Meta Muse and Grok Bot give agents standing access to our work. The same week, PHP and Node.js shipped emergency fixes — one was exploited before disclosure.

Two things happened in the same week of October 2026, and I don't think they're a coincidence. On October 21, Anthropic put Claude Duet into research preview — a personal agent that keeps working in the background and checks in when something needs you. On the same day, PHP and Node.js shipped emergency security releases for remote-code-execution bugs, one of which was already being exploited before the patch was public. The first story is about agents getting standing access to our work. The second is about how fast the ground under that access is shifting.

Always-on is the new default

For two years, "agent" mostly meant a chat window you had to keep open. That's over. Within ten weeks, every large lab shipped an agent that lives on its own and keeps going while you sleep:

Grok Bot (xAI, beta since August 11) runs on its own cloud computer, works across apps and inboxes and brings drafts back for approval.
Meta Muse (September 8) handles errands and transactions from a dedicated "Secure VM", in its own app and in WhatsApp. A second agent, Sentinel, has to approve anything Muse sends to the outside world.
OpenAI Dots (September 29) are always-on agents inside ChatGPT with a cloud computer and browser. Per action you decide: act freely, act if pre-approved, ask first, or hand off.
Claude Duet (October 21) sends a morning brief, checks connected accounts every few hours and asks before paying, signing, sending or deleting.

The pattern is identical across vendors: a persistent cloud machine, thousands of connectors into email, calendars and business apps, and an approval gate before "important" actions. That last part is reassuring. It's also the part people will click through on day three.

The same week, the floor moved

PHP2Shell — CVE-2026-109618 and CVE-2026-109619, both rated 9.2 — allows unauthenticated remote code execution against default PHP configurations, in versions going back to 5.4. Details leaked a day before the embargo, so PHP released early; Amazon's honeypots had already caught exploitation attempts four days before disclosure. The researcher found the first bug with a generally available LLM, guided by his knowledge of PHP's history of memory-limit bugs. Amazon's advice was blunt: measure patch windows "in hours, not weeks."

Node.js fixed ten vulnerabilities across its 22, 24 and 26 lines, headed by CVE-2026-111497, an out-of-bounds write in the bundled Brotli decoder that can lead to code execution when an app decompresses attacker-controlled data. Node 20 is end-of-life and gets no fix at all. Around it: a record Microsoft Patch Tuesday with more than 1,400 fixes — Microsoft credits LLM-driven bug hunting for the volume — and a report of an attacker using a swarm of mostly autonomous agents to breach more than 100 websites.

None of this is exotic. PHP and Node are the shared plumbing under a large part of the web — including many of the SaaS tools an always-on agent connects to.

Why the two stories belong together

An always-on agent concentrates exactly what an attacker wants: standing, broad, long-lived access to mail, files, calendars and business systems, held by software that acts without a human watching each step. In my post on the Hugging Face intrusion the lesson was that machine-speed offense makes ordinary weaknesses expensive. This week adds the other half: machine-assisted discovery makes ordinary weaknesses appear faster. More doors, found faster, in front of agents holding more keys.

The approval gate doesn't solve that. It protects against the agent doing something dumb. It doesn't protect against the connector, the runtime or the token underneath being compromised — and it says nothing about what the agent can read, which is usually everything.

What I'd do now

This is a process problem as much as a security problem, and that's where most organisations are slow:

Treat agents as identities. Every personal or team agent gets its own account, scoped permissions and an owner — not a copy of a human's access. Inventory them like any other service account, including the shadow ones employees connect on their own.
Scope connectors to the task. Read-only by default, short-lived tokens, separate permissions for reading and sending. "Connect your whole inbox" should be a decision, not a default.
Know your runtimes. If you can't answer "where do we still run Node 20 or an unpatched PHP?" within an hour, your patch window isn't hours.
Make patching a flow, not a project. The teams that cope are the ones where updating a dependency is a routine, tested, small change — the same delivery discipline that makes teams fast also makes them safe.
Log what agents do, centrally. Actions across systems need to be joinable after the fact. An agent's single steps all look plausible; only the sequence tells the story.

I'm genuinely excited about always-on agents — they're the version of AI that changes how work flows, not just how fast one person types. But they arrive at the exact moment the cost of an unpatched dependency is going up. Adopting the first without fixing the second is how this year's productivity story becomes next year's incident report.

Sources

Questions about this — or about Michel? Ask his AI agent →

← Alle Beiträge

Security24. Okt 20265 Min. Lesezeit

Always-on-Agenten kamen in der Woche, in der das Patch-Fenster schrumpfte

Claude Duet, OpenAI Dots, Meta Muse und Grok Bot geben Agenten dauerhaften Zugriff auf unsere Arbeit. In derselben Woche lieferten PHP und Node.js Notfall-Fixes — eine Lücke wurde schon vor der Veröffentlichung ausgenutzt.

In derselben Oktoberwoche 2026 sind zwei Dinge passiert, und ich halte das nicht für Zufall. Am 21. Oktober hat Anthropic Claude Duet als Research Preview gestartet — einen persönlichen Agenten, der im Hintergrund weiterarbeitet und sich meldet, wenn er dich braucht. Am selben Tag haben PHP und Node.js Notfall-Sicherheitsupdates für Remote-Code-Execution-Lücken veröffentlicht, von denen eine schon ausgenutzt wurde, bevor der Patch öffentlich war. Die erste Geschichte handelt davon, dass Agenten dauerhaften Zugriff auf unsere Arbeit bekommen. Die zweite davon, wie schnell sich der Boden unter diesem Zugriff verschiebt.

Always-on ist der neue Standard

Zwei Jahre lang hieß „Agent“ meist: ein Chatfenster, das offen bleiben musste. Das ist vorbei. Innerhalb von zehn Wochen hat jedes große Lab einen Agenten veröffentlicht, der eigenständig lebt und weitermacht, während du schläfst:

Grok Bot (xAI, Beta seit 11. August) läuft auf einem eigenen Cloud-Rechner, arbeitet über Apps und Postfächer hinweg und legt Entwürfe zur Freigabe vor.
Meta Muse (8. September) erledigt Besorgungen und Transaktionen aus einer eigenen „Secure VM“, in der eigenen App und in WhatsApp. Ein zweiter Agent, Sentinel, muss alles freigeben, was Muse nach außen schickt.
OpenAI Dots (29. September) sind Always-on-Agenten in ChatGPT mit Cloud-Rechner und Browser. Pro Aktion legst du fest: frei handeln, nach Vorabfreigabe handeln, erst fragen oder übergeben.
Claude Duet (21. Oktober) schickt morgens ein Briefing, prüft verbundene Konten alle paar Stunden und fragt vor dem Bezahlen, Unterschreiben, Senden oder Löschen.

Das Muster ist bei allen Anbietern gleich: ein dauerhafter Cloud-Rechner, Tausende Konnektoren zu Mail, Kalender und Business-Apps und eine Freigabe vor „wichtigen“ Aktionen. Der letzte Punkt beruhigt. Er ist aber auch der, den man am dritten Tag nur noch wegklickt.

In derselben Woche hat sich der Boden bewegt

PHP2Shell — CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 bewertet — erlaubt Remote Code Execution ohne Anmeldung gegen PHP in Standardkonfiguration, zurück bis Version 5.4. Details sind einen Tag vor Ablauf des Embargos durchgesickert, deshalb hat PHP früher veröffentlicht; Amazons Honeypots hatten schon vier Tage vor der Veröffentlichung Ausnutzungsversuche registriert. Der Forscher hat den ersten Bug mit einem frei verfügbaren LLM gefunden, gelenkt von seinem Wissen über PHPs Geschichte von Memory-Limit-Bugs. Amazons Rat war eindeutig: Patch-Fenster „in Stunden messen, nicht in Wochen“.

Node.js hat zehn Lücken in den Versionslinien 22, 24 und 26 geschlossen, allen voran CVE-2026-111497, einen Out-of-Bounds-Write im mitgelieferten Brotli-Decoder, der zu Code-Ausführung führen kann, wenn eine App angreiferkontrollierte Daten entpackt. Node 20 ist End-of-Life und bekommt gar keinen Fix. Drumherum: ein Rekord-Patchday bei Microsoft mit über 1.400 Korrekturen — Microsoft schreibt die Menge der LLM-gestützten Fehlersuche zu — und ein Bericht über einen Angreifer, der mit einem Schwarm weitgehend autonomer Agenten mehr als 100 Websites kompromittiert hat.

Nichts davon ist exotisch. PHP und Node sind die gemeinsame Infrastruktur unter einem großen Teil des Webs — auch unter vielen SaaS-Tools, mit denen sich ein Always-on-Agent verbindet.

Warum beide Geschichten zusammengehören

Ein Always-on-Agent bündelt genau das, was ein Angreifer will: dauerhaften, breiten, langlebigen Zugriff auf Mail, Dateien, Kalender und Business-Systeme, gehalten von Software, die handelt, ohne dass jemand jeden Schritt beobachtet. In meinem Beitrag zum Hugging-Face-Einbruch war die Lehre, dass Angriffe in Maschinengeschwindigkeit gewöhnliche Schwächen teuer machen. Diese Woche liefert die andere Hälfte: Maschinengestützte Suche lässt gewöhnliche Schwächen schneller auftauchen. Mehr Türen, schneller gefunden, vor Agenten mit mehr Schlüsseln.

Die Freigabe-Schranke löst das nicht. Sie schützt davor, dass der Agent etwas Dummes tut. Sie schützt nicht davor, dass der Konnektor, die Laufzeitumgebung oder das Token darunter kompromittiert wird — und sie sagt nichts darüber, was der Agent lesen darf, und das ist meistens alles.

Was ich jetzt tun würde

Das ist genauso ein Prozess- wie ein Sicherheitsproblem, und genau da sind die meisten Organisationen langsam:

Agenten als Identitäten behandeln. Jeder persönliche oder Team-Agent bekommt ein eigenes Konto, begrenzte Rechte und eine verantwortliche Person — keine Kopie der Zugriffe eines Menschen. Erfass sie wie jedes andere Service-Konto, auch die Schatten-Agenten, die Mitarbeitende selbst verbinden.
Konnektoren auf die Aufgabe begrenzen. Standardmäßig nur lesen, kurzlebige Tokens, getrennte Rechte für Lesen und Senden. „Verbinde dein ganzes Postfach“ sollte eine Entscheidung sein, kein Default.
Die eigenen Laufzeitumgebungen kennen. Wenn du die Frage „Wo laufen bei uns noch Node 20 oder ein ungepatchtes PHP?“ nicht innerhalb einer Stunde beantworten kannst, misst du dein Patch-Fenster nicht in Stunden.
Patchen als Fluss, nicht als Projekt. Gut durch so eine Woche kommen Teams, bei denen ein Dependency-Update eine kleine, getestete Routineänderung ist — dieselbe Delivery-Disziplin, die Teams schnell macht, macht sie auch sicher.
Protokollieren, was Agenten tun — zentral. Aktionen über Systeme hinweg müssen sich im Nachhinein verknüpfen lassen. Einzelne Schritte eines Agenten wirken alle plausibel; erst die Abfolge erzählt die Geschichte.

Ich freue mich ehrlich auf Always-on-Agenten — sie sind die Form von KI, die verändert, wie Arbeit fließt, nicht nur, wie schnell eine Person tippt. Aber sie kommen genau in dem Moment, in dem eine ungepatchte Abhängigkeit teurer wird. Das eine einzuführen, ohne das andere zu reparieren, ist der Weg, auf dem aus der Produktivitätsgeschichte dieses Jahres der Incident-Report des nächsten wird.

Quellen

Fragen dazu — oder zu Michel? Frag seinen KI-Agenten →