FORSCHUNG
Oktober 2024: LLM-Agenten im Test, brüchige verschlüsselte Clouds, uneinige DDoS-Daten
Der Oktober 2024 bringt die ersten breiten Benchmarks zur Sicherheit von LLM-Agenten: Angriffe gelingen oft, Abwehrmaßnahmen halten wenig. In der angewandten Kryptografie zeigen vier von fünf verschlüsselten Cloud-Speichern schwere Mängel, Compiler heben Constant-Time-Schutz auf. Eine Studie vergleicht DDoS-Daten von Industrie und Forschung und findet abweichende Bilder.
Archiv: Rekonstruktion, verfasst im November 2026
1. Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
arXiv · Hanrong Zhang, Jingyuan Huang, Kai Mei, Yifei Yao et al. · KI- und LLM-Sicherheit
Kurz gesagt: Ein breiter Benchmark zeigt: LLM-Agenten erliegen vielen Angriffen, aktuelle Abwehr hilft wenig.
Agent Security Bench umfasst 10 Szenarien, darunter Finanzen und E-Commerce, über 400 Werkzeuge und 27 Angriffs- und Abwehrmethoden, getestet an 13 Modellen. Prompt Injection, Gedächtnisvergiftung und eine neue Hintertür in der Planung treffen jede Phase des Agenten. Die höchste mittlere Erfolgsquote liegt bei 84,3%, die 11 getesteten Abwehrmaßnahmen wirken begrenzt.
Warum es wichtig ist. Es liefert einen gemeinsamen Maßstab für Agentenrisiken, nützlich bei Unternehmen, die Agenten Werkzeuge, Daten und Gedächtnis geben.
2. Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
arXiv · Donghyun Lee, Mo Tiwari · KI- und LLM-Sicherheit
Kurz gesagt: In Multi-Agenten-Systemen repliziert sich ein bösartiger Prompt von Agent zu Agent wie ein Virus.
Bisher ging es um einzelne LLMs. Prompt Infection zeigt eine Injection zwischen LLMs: Der bösartige Prompt repliziert sich über verbundene Agenten und verbreitet sich unbemerkt, mit Datendiebstahl, Betrug, Desinformation und Ausfällen. Die getesteten Systeme sind stark exponiert, auch wenn Agenten nicht alles teilen. Die Abwehr LLM Tagging bremst die Ausbreitung deutlich.
Warum es wichtig ist. Ein einziger bösartiger Inhalt kann sich durch die gesamte Automatisierung eines Unternehmens ziehen: ein systemisches Risiko.
3. SecAlign: Defending Against Prompt Injection with Preference Optimization
ACM Conference on Computer and Communications Security · Sizhe Chen, Arman Serikuly Zharmagambetov, Saeed Mahloujifar, Kamalika Chaudhuri et al. · KI- und LLM-Sicherheit
Kurz gesagt: Wird das Modell auf die sichere Antwort trainiert, sinkt der Erfolg von Prompt Injection unter 10%.
SecAlign erstellt einen Datensatz mit injizierten Eingaben, sicheren Antworten, die der legitimen Anweisung folgen, und unsicheren, die der injizierten folgen, und wendet Präferenzoptimierung an. Als erstes bekanntes Verfahren drückt es mehrere Prompt Injections unter 10% Erfolg, auch gegen raffiniertere Angriffe als im Training, bei ähnlichem Nutzen.
Warum es wichtig ist. Widerstand gegen Prompt Injection lässt sich im Modell selbst verbessern: ein Punkt für Fragen an Anbieter.
4. End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
ACM Conference on Computer and Communications Security · Jonas Hofmann, Kien Tuong Truong
Kurz gesagt: Vier von fünf Cloud-Speichern mit Ende-zu-Ende-Verschlüsselung haben schwere kryptografische Mängel.
Die Autoren untersuchen Sync, pCloud, Icedrive, Seafile und Tresorit mit zusammen über 22 Millionen Nutzern unter Annahme eines bösartigen Servers. Vier haben schwere Schwachstellen: Der Server kann Dateien einschleusen, Daten manipulieren und teils Inhalte lesen. Viele Angriffe treffen mehrere Anbieter gleich, ein Zeichen gemeinsamer Designfehler.
Warum es wichtig ist. Die beworbene Ende-zu-Ende-Verschlüsselung eines Anbieters ist allein keine Garantie: Werbeversprechen halten nicht immer der Analyse stand.
5. Breaking Bad: How Compilers Break Constant-Time Implementations
arXiv · Moritz Schneider, Daniele Lain, Ivan Puddu, Nicolas Dutly et al. · Hardware und Seitenkanäle
Kurz gesagt: Compiler-Optimierungen brechen Constant-Time-Schutz selbst in den am stärksten gehärteten Kryptobibliotheken.
Constant-Time-Code vermeidet geheimnisabhängige Operationen gegen Timing-Angriffe, doch der Schutz zählt nur, wenn er die Kompilierung übersteht. Mit einem neuen Werkzeug analysieren die Autoren dynamisch 44.604 Ziele auf sechs Architekturen, von x86-64 bis RISC-V. Sie finden vom Compiler eingeführte geheimnisabhängige Operationen in einigen der angesehensten Bibliotheken.
Warum es wichtig ist. Die behauptete Sicherheit einer Bibliothek hängt auch von der Kompilierung ab: ein oft übersehenes Glied der Kette.
6. The Age of DDoScovery: An Empirical Comparison of Industry and Academic DDoS Assessments
arXiv · Raphael Hiesgen, Marcin Nawrocki, Marinho Pilla Barcellos, Daniel Kopp et al. · Netzwerksicherheit
Kurz gesagt: Industrie und Forschung sehen unterschiedliche DDoS-Trends, je nach Quellen, Messpunkten und Methoden.
Eine gemeinsame Studie wertet 24 Branchenberichte von 2022 und zehn Datensätze aus Industrie und Forschung von 2019 bis 2023 aus, zu direkten und Reflexions-Amplifikations-Angriffen. Eine neue Methode gleicht eine Zielliste mit Firmendaten ab und zeigt blinde Flecken akademischer Quellen. Abweichungen erklären sich aus Quellen, Messpunkten, Methoden und Parametern.
Warum es wichtig ist. DDoS-Statistiken für Häufigkeit und Schwere sind nicht neutral: Man muss wissen, von welchem Beobachtungspunkt sie stammen.
7. Characterizing the MrDeepFakes Sexual Deepfake Marketplace
arXiv · Catherine Han, Anne Li, Deepak Kumar, Zakir Durumeric · Politik, Recht und Gesellschaft
Kurz gesagt: Der wichtigste Marktplatz für sexuelle Deepfakes analysiert: Regeln kaum durchgesetzt, neue Taktiken zur Ressourcenbeschaffung.
Das Paper beschreibt systematisch MrDeepFakes, den bekanntesten Marktplatz für sexuelle Deepfakes: Ökonomie, Zielpersonen und Nutzerdiskussionen zur Erstellung, die den Stand der Technik zeigen. Es findet kaum durchgesetzte Regeln, etwa die Beschränkung auf Prominente, bisher undokumentierte Motive und neue Taktiken, um Rechenressourcen zu beschaffen.
Warum es wichtig ist. Für Reputations- und Haftpflichtdeckungen sind Deepfakes ein organisierter Markt, kein Randphänomen.
8. Persistent Pre-Training Poisoning of LLMs
arXiv · Yiming Zhang, Javier Rando, Ivan Evtimov, Jianfeng Chi et al.
Kurz gesagt: Schon 0,1% vergiftete Pre-Training-Daten hinterlassen Effekte, die das Fine-Tuning überstehen.
LLMs lernen aus Webtexten, die Angreifer vergiften können. Die Autoren trainieren Modelle mit 600 Millionen bis 7 Milliarden Parametern von Grund auf, mit vier Zielen: Dienstblockade, Meinungsmanipulation, Jailbreak und Prompt-Diebstahl. Bei 0,1% vergifteten Daten bleiben drei von vier Angriffen nach dem Alignment wirksam; für die Dienstblockade reichen 0,001%.
Warum es wichtig ist. Die Herkunft der Trainingsdaten wird zum Risikothema für Unternehmen, die fremde Modelle in ihre Prozesse einbauen.
9. OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates
IACR Transactions on Cryptographic Hardware and Embedded Systems · Haiyue Dong, Qian Guo · Hardware und Seitenkanäle
Kurz gesagt: Ein neuer Seitenkanalangriff auf HQC gewinnt den Schlüssel mit weit weniger Geräteabfragen.
OT-PCA nutzt den öffentlichen HQC-Decoder für Offline-Templates, die mit einer einzigen Abfrage Informationen zu Hunderten geheimer Positionen gewinnen. Die nötigen Aufrufe sinken bei hqc-128 um das 2,4-Fache, bei höheren Stufen stärker; bei 95% Orakelgenauigkeit steigt der Faktor auf 7,6. Eine Leistungsanalyse auf einem Cortex-M4 bestätigt die Praxistauglichkeit.
Warum es wichtig ist. Auch Post-Quanten-Verfahren auf dem Weg zur Standardisierung brauchen vor dem Einsatz Schutz gegen Seitenkanäle.
10. Zero day ransomware detection with Pulse: Function classification with Transformer models and assembly language
Computers & Security · Matthew Gaber, Mohiuddin Ahmed, Helge Janicke · Malware und Bedrohungen
Kurz gesagt: Ein Transformer-Modell erkennt nie gesehene Ransomware an ihrem Assembler-Code.
Pulse nutzt Assembler-Anweisungen von Ransomware, erfasst mit Peekaboo, das Umgehungstechniken aushebelt. Die Anweisungen folgen wie natürliche Sprache dem Zipfschen Gesetz, was zu Transformer-Modellen passt. Ohne gemeinsame Funktionen zwischen Test- und Trainingsproben erkennt das Modell bösartiges Verhalten allein aus dem Kontext, mit hoher Genauigkeit.
Warum es wichtig ist. Neue Ransomware vor der Verschlüsselung zu erkennen ist der Punkt, an dem eine Kontrolle den Schaden wirklich senkt.
Die Trends des Monats
KI- und LLM-Sicherheit
254 Paper des Monats zu diesem Thema
Mit 254 eingeordneten Papers ist KI-Sicherheit das breiteste Thema des Monats, fast doppelt so viel wie im September. Es kommen die ersten gemeinsamen Messwerkzeuge wie Agent Security Bench und die ersten systemischen Szenarien, mit Prompts, die sich wie ein Virus zwischen Agenten verbreiten. Die vielversprechendsten Abwehrmaßnahmen setzen beim Training an, doch vergiftete Pre-Training-Daten zeigen, dass das Risiko schon an der Quelle entstehen kann.
Zitierte Paper:
- Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
- Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
- SecAlign: Defending Against Prompt Injection with Preference Optimization
- Persistent Pre-Training Poisoning of LLMs
Kryptographie
196 Paper des Monats zu diesem Thema
Der rote Faden der angewandten Kryptografie ist die Lücke zwischen Versprechen und Wirklichkeit. Verschlüsselte Cloud-Dienste mit Millionen Nutzern halten einem bösartigen Server nicht stand, sorgfältig geschriebener Constant-Time-Schutz wird vom Compiler aufgehoben. In beiden Fällen ist der Algorithmus solide, die Implementierung nicht. Für die Risikobewertung sagt eine Verschlüsselungsangabe ohne unabhängige Prüfung wenig.
Zitierte Paper:
- End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
- Breaking Bad: How Compilers Break Constant-Time Implementations
Post-Quanten-Kryptographie
37 Paper des Monats zu diesem Thema
Nach ML-KEM und ML-DSA richtet sich der Blick auf HQC, das codebasierte Verfahren, das das NIST im März 2025 als zweiten Schlüsselkapselungsmechanismus auswählte. Ein Seitenkanalangriff senkt den Aufwand, seinen Schlüssel auf einem Mikrocontroller zurückzugewinnen, deutlich. Die Forschung ist den Implementierungen voraus: Wer die Migration plant, kann Gegenmaßnahmen ab den ersten Versionen verlangen.
Zitierte Paper:
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1491.