FORSCHUNG
Februar 2025: LLM-Agenten mit verschlüsselten Backdoors, zurückkehrende Booter, Dilithium
Der Februar 2025 gehört den LLM-Agenten: verschlüsselte Backdoors, die Audits entgehen, eine Abwehr gegen indirekte Prompt-Injection, KI-Suchmaschinen, die bösartige Seiten zitieren, und ein Agent, der allein ein Active-Directory-Netz kompromittiert. Außerhalb der KI wirkt die globale Beschlagnahme von DDoS-Mietdiensten nur kurz, und die Post-Quanten-Signatur Dilithium fällt einem Seitenkanal.
Archiv: Rekonstruktion, verfasst im November 2026
1. DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
arXiv · Pengyu Zhu, Zhenhong Zhou, Yuanhe Zhang, Shilinlu Yan et al. · KI- und LLM-Sicherheit
Kurz gesagt: Verschlüsselte, fragmentierte Backdoors in LLM-Agenten erreichen fast 100% Erfolg ohne Erkennung.
Backdoors lassen sich über Nutzeranfragen oder Umgebungsrückmeldungen in LLM-Agenten einschleusen, doch Audits des Denkprozesses entdecken sie meist. DemonAgent verschlüsselt die Backdoor dynamisch in harmlosen Inhalt und zerlegt sie in mehrere Fragmente. Auf mehreren Datensätzen, darunter dem neuen AgentBackdoorEval, liegt der Erfolg nahe 100% bei 0% Erkennung.
Warum es wichtig ist. Audits des Denkprozesses reichen zur Zertifizierung eines Agenten nicht: Anwender bleiben verborgenem Verhalten ausgesetzt, das nach einem Vorfall schwer nachweisbar ist.
2. MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
arXiv · Kaijie Zhu, Xianjun Yang, Jindong Wang, Wenbo Guo et al. · KI- und LLM-Sicherheit
Kurz gesagt: MELON erkennt indirekte Prompt-Injection, indem es den Agenten mit maskierter Nutzeranfrage erneut ausführt.
In LLM-Agenten können bösartige Anweisungen in von Werkzeugen gelesenen Daten Aktionen kapern. MELON nutzt eine Beobachtung: Gelingt ein Angriff, hängt die nächste Aktion stärker von der bösartigen Aufgabe ab als von der des Nutzers. Es führt den Ablauf mit maskierter Anfrage erneut aus und meldet einen Angriff, wenn die Aktionen übereinstimmen. Auf AgentDojo schlägt es bisherige Abwehren.
Warum es wichtig ist. Eine Abwehr ohne Nachtraining, die den Nutzen erhält, ist leichter einzuführen, wenn Agenten an E-Mail, Dokumente oder Zahlungen angebunden werden.
3. Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
USENIX Security Symposium · Zeren Luo, Zifan Peng, Yule Liu, Zhen Sun et al. · KI- und LLM-Sicherheit
Kurz gesagt: Sieben produktive LLM-Suchmaschinen zitieren oft bösartige Seiten, selbst bei harmlosen Anfragen.
Erste Risikomessung an sieben produktiven KI-Suchmaschinen mit Daten von PhishTank, ThreatBook und LevelBlue. Antworten enthalten oft bösartige URLs, auch bei harmlosen Stichwörtern, und die direkte Abfrage einer URL erhöht das Risiko. Zwei Praxisfälle zeigen, wie leicht gefälschte Dokumente und Phishing sie täuschen. Eine agentenbasierte Abwehr senkt das Risiko bei etwa 10,7% Informationsverlust.
Warum es wichtig ist. Antworten von KI-Suchmaschinen wirken geprüft und senken die Wachsamkeit: Sie werden zu einem neuen Zustellweg für Phishing und Betrug.
4. Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
ACM Conference on Computer and Communications Security · Ali Naseh, Yuefeng Peng, Anshuman Suri, Harsh Chaudhari et al. · KI- und LLM-Sicherheit
Kurz gesagt: Dreißig natürliche Fragen zeigen unbemerkt, ob ein Dokument im Datenspeicher eines RAG-Systems liegt.
RAG-Systeme lassen die Modellgewichte unverändert, doch abgerufene Dokumente gelangen in den Kontext und können abfließen. Der Interrogation Attack stellt natürliche Fragen, die nur mit dem Zieldokument beantwortbar sind: 30 Anfragen genügen, für unter 0,02 Dollar pro Dokument. Einfache Detektoren erkennen frühere Angriffe bis zu rund 76-mal häufiger.
Warum es wichtig ist. Schon das Wissen, dass ein Dokument im Speicher eines Unternehmensassistenten liegt, kann ein Leck vertraulicher Informationen sein, bei minimalen Kosten.
5. Can LLMs Hack Enterprise Networks? Autonomous Assumed Breach Penetration-Testing Active Directory Networks
arXiv · Andreas Happe, Jürgen Cito · Identität und Authentifizierung
Kurz gesagt: Ein autonomes LLM-System kompromittiert Konten in einem Active-Directory-Testnetz.
Unternehmens-Penetrationstests sind teuer und durch Expertenmangel begrenzt. Ein Prototyp führt mit LLMs autonom Assumed-Breach-Simulationen durch und kompromittiert Konten im Active-Directory-Testbed GOAD. Über fünf Modelle passt das System Strategien an, prüft Web-Apps und unstrukturierte Daten, erzeugt plausible Passwörter und korrigiert eigene Fehler, günstiger als ein Profi.
Warum es wichtig ist. Die Kosten eines Innenangriffs auf ein Windows-Netz sinken: Das Szenario einer Active-Directory-Kompromittierung ist nach Häufigkeit neu zu bewerten, nicht nur nach Schwere.
6. Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
USENIX Security Symposium · Anh V. Vu, Ben Collier, Daniel R. Thomas, John Kristoff et al. · Netzwerksicherheit
Kurz gesagt: Die globale Beschlagnahme von DDoS-Mietdiensten senkt Angriffe, doch Seiten kehren in ein bis zwei Tagen zurück.
Seit Dezember 2022 gehen Behörden mehrerer Länder mit zwei Beschlagnahmewellen und Täuschungsdomains gegen DDoS-Mietdienste vor. Über die Hälfte der Seiten der ersten Welle kehrt im Median nach einem Tag zurück, alle der zweiten nach zwei, aber mit 80-90% weniger Besuchen. Die erste Welle senkt das globale Angriffsvolumen um 20-40%, die zweite kaum.
Warum es wichtig ist. Polizeiaktionen senken das DDoS-Risiko nur kurz: Die erwartete Häufigkeit sollte nach einer angekündigten Abschaltung nicht dauerhaft reduziert werden.
7. MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
IEEE Symposium on Security and Privacy · Fatih Deniz, Mohamed Nabeel, Ting Yu, Issa M. Khalil
Kurz gesagt: MANTIS erkennt neu registrierte bösartige Domains anhand wiederverwendeter Hosting-Infrastruktur.
Angreifer nutzen Wegwerf-Domains, die oft vor der Erkennung verschwinden oder durch Cloaking und Captchas geschützt sind. Da sie dieselbe Hosting-Infrastruktur wiederverwenden, baut MANTIS einen Netzwerkgraphen darüber und erkennt neue bösartige Domains ohne Inhaltsanalyse. Es erreicht 99,7% Präzision und 86,9% Recall bei 0,1% Fehlalarmen.
Warum es wichtig ist. Domains in den ersten Stunden zu blockieren senkt die Exposition gegenüber Phishing und Malware genau dann, wenn klassische Sperrlisten noch leer sind.
8. URL Inspection Tasks: Helping Users Detect Phishing Links in Emails
USENIX Security Symposium · Daniele Lain, Yoshimichi Nakatsuka, Kari Kostiainen, Gene Tsudik et al. · Faktor Mensch
Kurz gesagt: Kleine URL-Aufgaben vor dem Öffnen eines Links senken den Erfolg von E-Mail-Phishing.
Phishing gelingt vor allem durch Unaufmerksamkeit, weniger durch fehlende Schulung. Die Studie schaltet vor das Öffnen eines Links kurze, an CAPTCHAs angelehnte Aufgaben: die richtige URL wählen, den Domainnamen markieren oder abtippen. In einer Online-Studie mit 2.673 Teilnehmenden aus drei Kulturen und Schriften senken die Aufgaben erfolgreiches Phishing deutlich.
Warum es wichtig ist. Nutzer im Moment des Klicks zu bremsen wirkt besser als mehr Schulung: eine konkrete Maßnahme gegen E-Mail-Betrug.
9. Rejected Signatures' Challenges Pose New Challenges: Key Recovery of CRYSTALS-Dilithium via Side-Channel Attacks
IACR Transactions on Cryptographic Hardware and Embedded Systems · Yuanyuan Zhou, Weijia Wang, Yiteng Sun, Yu Yu · Post-Quanten-Kryptographie
Kurz gesagt: Verworfene Dilithium-Signaturen verraten über einen Seitenkanal den privaten Schlüssel in Sekunden bis Minuten.
Bei Gittersignaturen wie ML-DSA/Dilithium macht Rejection Sampling Signaturen unabhängig vom Geheimnis. Die Autoren überführen das Leck verworfener Signaturen in ein ganzzahliges lineares Programm und gewinnen den privaten Schlüssel auf allen drei Sicherheitsstufen in Sekunden bis Minuten mit 100% Erfolg. Die nötigen Daten stammen aus einer einzigen Seitenkanal-Messung.
Warum es wichtig ist. Der Umstieg auf Post-Quanten-Kryptografie verlagert das Risiko in die Implementierung: Signierende Geräte und Module sind auch gegen Seitenkanäle zu prüfen.
10. Chronus: Understanding and Securing the Cutting-Edge Industry Solutions to DRAM Read Disturbance
arXiv · Oğuzhan Canpolat, A. Giray Yağlıkçı, Geraldo F. Oliveira, Ataberk Olgun et al. · Hardware und Seitenkanäle
Kurz gesagt: Der in neue DRAMs eingebaute RowHammer-Schutz hat Kosten und Schwächen; Chronus verringert sie.
Die erste gründliche Analyse von PRAC, der in neueste DRAM-Chips eingebauten Abwehr gegen Read Disturbance, misst Sicherheit, Leistung, Energie und Kosten. PRAC verlangsamt Zugriffe und muss gegen den Wave-Angriff mit sehr niedrigen Schwellen laufen, was künftige Chips stark belastet. Chronus aktualisiert Zähler parallel und regelt präventive Refreshes, nahezu ohne Mehraufwand.
Warum es wichtig ist. RowHammer bleibt ein Plattformrisiko, das Cloud-Kunden teilen: Hardware-Abwehren sind nach tatsächlicher Wirkung zu bewerten, nicht nach dem Datenblatt.
Die Trends des Monats
KI- und LLM-Sicherheit
276 Paper des Monats zu diesem Thema
Mit 276 von 1.465 Arbeiten im Monat konzentriert sich KI-Sicherheit auf Agenten und Systeme, die externe Quellen lesen. Backdoors verbergen sich vor Audits, bösartige Anweisungen kommen über von Werkzeugen gelesene Daten, KI-Suchmaschinen zitieren bösartige Seiten, und RAG-Speicher verraten ihren Inhalt. Abwehren gibt es, sie hinken aber hinterher.
Zitierte Paper:
- DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
- MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
- Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
- Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
Netzwerksicherheit
36 Paper des Monats zu diesem Thema
Zwei Arbeiten betrachten die Infrastruktur der Angreifer. Die Beschlagnahme von DDoS-Mietdiensten senkt Angriffe nur kurz, da Seiten in ein bis zwei Tagen zurückkehren, während wiederverwendetes Hosting erlaubt, bösartige Domains direkt nach ihrem Entstehen zu sperren. In beiden Fällen zählt Reaktionstempo mehr als ein einzelner Schlag.
Zitierte Paper:
- Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
- MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
Post-Quanten-Kryptographie
41 Paper des Monats zu diesem Thema
Während ML-DSA in die Standards einzieht, verlagert sich die Forschung vom Algorithmus zur Implementierung. Verworfene Dilithium-Signaturen, bisher als harmlos betrachtet, reichen aus einer einzigen Seitenkanal-Messung, um den privaten Schlüssel zu rekonstruieren: Standardkonformität allein sichert kein Gerät.
Zitierte Paper:
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1465.