FORSCHUNG
Januar 2025: trojanisierte LLM-Plugins, LiDAR-Täuschung bei Tempo, IoT-Angriffe über Tor
Supply chainOT and industrial security
Der Januar 2025 bringt die NDSS-Tagungsbände. Adapter offener Modelle können Trojaner verbergen, und der geteilte Cache von LLM-Servern verrät Prompts anderer Nutzer. Das LiDAR eines autonomen Autos wird bei 60 km/h aus 110 Metern getäuscht, Angreifer nutzen Tor gegen cloudlose IoT-Geräte, und CSS allein reicht für Browser- und E-Mail-Fingerprinting.
Archiv: Rekonstruktion, verfasst im November 2026
1. The Philosopher's Stone: Trojaning Plugins of Large Language Models
Network and Distributed System Security Symposium · Tian Dong, Minhui Xue, Guoxing Chen, Rayne Holland et al. · KI- und LLM-Sicherheit
Kurz gesagt: Ein infizierter LoRA-Adapter lässt ein LLM vom Angreifer gewählte Inhalte ausgeben und Werkzeuge missbrauchen.
Offene Modelle werden mit Low-Rank-Adaptern spezialisiert, die jeder herunterladen kann. Zwei neue Angriffe, POLISHED und FUSION, erzeugen Trojaner-Adapter, die das LLM bei einem Auslöser gewählte Inhalte ausgeben oder Werkzeuge nutzen lassen: Ein kompromittierter Agent installiert Malware oder startet Spear-Phishing. Der Nutzen bleibt, keine der drei getesteten Abwehren wirkt voll.
Warum es wichtig ist. Ein Adapter aus einem öffentlichen Hub ist Fremdcode: Wer ihn in einen Agenten mit Werkzeugzugriff einbindet, übernimmt sein Verhalten.
2. I Know What You Asked: Prompt Leakage via KV-Cache Sharing in Multi-Tenant LLM Serving
Network and Distributed System Security Symposium · Guanlong Wu, Zheng Zhang, Jianyu Niu, Weili Wang et al. · Hardware und Seitenkanäle
Kurz gesagt: Geteilter KV-Cache in mandantenfähigen LLM-Servern erlaubt die Rekonstruktion fremder Prompts.
Frameworks wie vLLM und SGLang teilen den Key-Value-Cache für identische Tokenfolgen zwischen Nutzern und sparen so Speicher und Rechenzeit. Die erste Studie zu Risiken mandantenfähiger LLM-Dienste zeigt, dass dies einen Seitenkanal öffnet: Der Angriff PROMPTPEEK rekonstruiert Prompts anderer Nutzer in drei Szenarien mit unterschiedlichem Vorwissen.
Warum es wichtig ist. Eine Leistungsoptimierung wird zum Datenleck zwischen Kunden desselben Dienstes: Mandantenfähige Setups sind als Sicherheitsgrenze zu bewerten.
3. Membership Inference Attacks Against Vision-Language Models
USENIX Security Symposium · Yuke Hu, Zheng Li, Zhihao Liu, Yang Zhang et al. · KI- und LLM-Sicherheit
Kurz gesagt: Fünf Proben genügen, um zu erkennen, ob Daten ein Vision-Language-Modell trainiert haben.
Instruction-Tuning-Daten von Vision-Language-Modellen können sensible oder unerlaubte Informationen enthalten. Die erste Membership-Inference-Studie zu diesen Modellen nutzt, wie sich Antworten auf eine Probenmenge mit der Temperatur ändern. Vier Methoden decken verschiedene Wissensstufen ab und erreichen auf LLaVA mit nur 5 Proben eine AUC über 0,8.
Warum es wichtig ist. Die Technik dient Angreifern wie Prüfern: Sie zeigt, ob eigene oder vertrauliche Daten ins Training eines Modells gelangt sind.
4. On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance
Network and Distributed System Security Symposium · Takami Sato, Ryō Suzuki, Yuki Hayakawa, Kazuma Ikeda et al. · Cyber-physische Systeme und IoT
Kurz gesagt: Erstes LiDAR-Spoofing gegen ein autonomes Fahrzeug bei 60 km/h, aus 110 Metern ausgeführt.
LiDAR-Spoofing war bisher nur unter kontrollierten Bedingungen gezeigt worden. Das System MVS erkennt und verfolgt das Fahrzeug, richtet den Laser automatisch aus und injiziert falsche Pulse; der neue Angriff A-HFR entfernt Objekte selbst bei LiDARs mit Puls-Fingerprinting. Erstmals gelingt Spoofing gegen ein Fahrzeug bei 60 km/h, aus 110 Metern Entfernung.
Warum es wichtig ist. Das physische Risiko für Sensoren autonomer Fahrzeuge verlässt das Labor: relevant für die Bewertung von Flotten und Herstellerhaftung.
5. TORCHLIGHT: Shedding LIGHT on Real-World Attacks on Cloudless IoT Devices Concealed within the Tor Network
USENIX Security Symposium · Y. C. Pan, Zhen Ling, Yue Zhang, Hongze Wang et al. · Datenschutz
Kurz gesagt: Zwölf Monate Tor-Verkehr zeigen 45 ausgenutzte Lücken in cloudlosem IoT, 29 davon Zero-Days.
Cloudlose IoT-Geräte sind direkt im Internet erreichbar. Wegen auffällig viel Tor-Verkehrs zu ihnen bauen die Autoren TORCHLIGHT, das Verkehr filtert und Bedrohungen mit LLMs erkennt. In 12 Monaten und 26 TB findet es 45 Schwachstellen, darunter 29 Zero-Days mit 25 CVEs, die rund 12,7 Millionen Geräte in 148 Ländern betreffen.
Warum es wichtig ist. Zero-Day-Ausnutzung bei IoT läuft bereits, verborgen hinter Anonymität: Expositionsschätzungen nur auf Basis bekannter CVEs bleiben unvollständig.
6. Hidden and Lost Control: on Security Design Risks in IoT User-Facing Matter Controller
Network and Distributed System Security Symposium · Haoqiang Wang, Yiwei Fang, Yichen Liu, Ze Jin et al. · Cyber-physische Systeme und IoT
Kurz gesagt: Designfehler in Matter-Controllern nehmen Smart-Home-Nutzern die Kontrolle über Geräte.
Matter ist der vereinheitlichende Smart-Home-Standard. Die Studie findet eine neue Klasse von Designfehlern, UMCCI, in den Oberflächen, mit denen Nutzer Matter-Geräte steuern und überwachen. Ein automatisches Werkzeug mit LLM-gestützter UI-Analyse erkennt sie ohne Hardware; Proof-of-Concept-Angriffe auf 11 Geräte von 8 Herstellern zeigen, dass sie praktikabel und verbreitet sind.
Warum es wichtig ist. Ein Interoperabilitätsstandard vervielfacht Fehler über viele Hersteller: Die Lücke wird zum Lieferkettenproblem, nicht zu einem Einzelgerätefehler.
7. CounterSEVeillance: Performance-Counter Attacks on AMD SEV-SNP
Network and Distributed System Security Symposium · Stefan Gast, Hannes Weissteiner, Robin Leander Schröder, Daniel Gruss · Hardware und Seitenkanäle
Kurz gesagt: Leistungszähler verraten Geheimnisse vertraulicher AMD-SEV-SNP-VMs, auch auf gepatchten Systemen.
SEV-SNP verspricht VM-Vertraulichkeit auch auf geteilten Hosts. CounterSEVeillance zeigt, dass 228 Leistungszähler-Ereignisse für einen bösartigen Hypervisor sichtbar sind, und liest sie Instruktion für Instruktion aus, um geheimnisabhängige Sprünge zu rekonstruieren. Auf gepatchten Systemen gewinnt es einen RSA-4096-Schlüssel aus einer Mbed-TLS-Signatur in unter 8 Minuten.
Warum es wichtig ist. Confidential Computing gilt als Schutz vor dem Cloud-Anbieter: Diese Seitenkanäle begrenzen die Zusage und gehören in die Vertragsbedingungen.
8. The Skeleton Keys: A Large Scale Analysis of Credential Leakage in Mini-apps
Network and Distributed System Security Symposium · Yizhe Shi, Min Yang, Kangwei Zhong, Guangliang Yang et al. · Identität und Authentifizierung
Kurz gesagt: Mini-App-Zugangsdaten in 21 Super-Apps können durchsickern und Zahlungen sowie sensible Daten öffnen.
Super-Apps übertragen sensible Dienste wie Zahlungen und Analysen an Mini-App-Server, geschützt durch Zugangsdaten. Die erste systematische Studie des Mechanismus findet 21 verbreitete Plattformen mit sieben Arten von Zugangsdaten, die durch böswillige Nutzer abfließen können. Das Werkzeug KeyMagnet bewertet die Folgen geleakter Zugangsdaten für Plattformen und Server.
Warum es wichtig ist. Im App-in-App-Ökosystem kann ein offengelegter Zugang eines einzelnen Entwicklers Zahlungen und Daten vieler Nutzer öffnen.
9. Cascading Spy Sheets: Exploiting the Complexity of Modern CSS for Email and Browser Fingerprinting
Network and Distributed System Security Symposium · Leon Trampert, Daniel Weber, Lukas Gerlach, Christian Rossow et al. · Web und Mobile
Kurz gesagt: CSS allein, ohne JavaScript, unterscheidet 98% der Browser-OS-Kombinationen und wirkt auch in E-Mails.
Datenschutzorientierte Browser wie Tor und E-Mail-Clients deaktivieren JavaScript gegen Tracking. Drei Techniken auf Basis von CSS-Container-Queries, Rechenfunktionen und komplexen Selektoren ermitteln Anwendung, Betriebssystem und Hardware: Sie unterscheiden 97,95% von 1.176 Browser-OS-Kombinationen und wirken bei 8 von 21 E-Mail-Clients. Zwei Abwehren werden vorgeschlagen.
Warum es wichtig ist. Tracking erreicht HTML-E-Mails, wo es als ausgeschlossen galt: relevant für die Bewertung von Datenschutzrisiken in Kommunikation und Kampagnen.
10. Revisiting Concept Drift in Windows Malware Detection: Adaptation to Real Drifted Malware with Minimal Samples
Network and Distributed System Security Symposium · Adrian Shuai Li, Arun Iyengar, Ashish Kundu, Elisa Bertino et al. · Malware und Bedrohungen
Kurz gesagt: Über die Zeit stabile Merkmale helfen, sich wandelnde Windows-Malware zu erkennen.
Malware verändert sich, und trainierte Klassifikatoren versagen bei neuen Proben. Heutige Nachtrainingsverfahren reichen nicht, wenn wenige neue Proben vorliegen. Die vorgeschlagene Methode lernt mit Graph-Neural-Networks und adversarieller Domänenanpassung stabile Merkmale aus Kontrollflussgraphen und verbessert die Erkennung auf Benchmarks und realer Malware von 2024.
Warum es wichtig ist. Ein Detektor, der unbemerkt nachlässt, wiegt in falscher Sicherheit: Zeitstabilität ist ein Kriterium für Anbieter von Abwehrlösungen.
Die Trends des Monats
KI- und LLM-Sicherheit
282 Paper des Monats zu diesem Thema
Mit 282 Arbeiten ist KI-Sicherheit erneut das breiteste Thema, und der Blick wandert von der Modellantwort zu Lieferkette und Betrieb. Herunterladbare Adapter können Trojaner enthalten, der geteilte Server-Cache verrät fremde Prompts, und wenige Proben genügen, um zu erkennen, ob Daten im Training verwendet wurden.
Zitierte Paper:
- The Philosopher's Stone: Trojaning Plugins of Large Language Models
- I Know What You Asked: Prompt Leakage via KV-Cache Sharing in Multi-Tenant LLM Serving
- Membership Inference Attacks Against Vision-Language Models
Cyber-physische Systeme und IoT
83 Paper des Monats zu diesem Thema
Physische und häusliche Systeme verlassen das Labor. LiDAR-Spoofing gelingt an einem fahrenden Fahrzeug, Angreifer nutzen hinter Tor bereits Zero-Days gegen cloudloses IoT, und der Matter-Standard verbreitet dieselben Designfehler über Hersteller hinweg. Für die Risikobewertung wiegt die Kumulierung über baugleiche Geräte schwerer als eine einzelne Lücke.
Zitierte Paper:
- On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance
- TORCHLIGHT: Shedding LIGHT on Real-World Attacks on Cloudless IoT Devices Concealed within the Tor Network
- Hidden and Lost Control: on Security Design Risks in IoT User-Facing Matter Controller
Web und Mobile
75 Paper des Monats zu diesem Thema
Im Web und auf Mobilgeräten geben vermeintlich sichere Abwehren an unerwarteten Stellen nach. JavaScript abzuschalten stoppt Fingerprinting nicht mehr, das allein mit CSS bis in E-Mails reicht, und in Super-Apps können Zugangsdaten für Zahlungen und Daten über Mini-Apps abfließen.
Zitierte Paper:
- Cascading Spy Sheets: Exploiting the Complexity of Modern CSS for Email and Browser Fingerprinting
- The Skeleton Keys: A Large Scale Analysis of Credential Leakage in Mini-apps
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 2656.