FORSCHUNG
April 2025: Agenten gekapert über MCP und Tools, manipulierbares KI-Wetter, Lehre aus XZ
Supply chainOT and industrial security
Der April 2025 gehört Agenten mit externen Werkzeugen: MCP ermöglicht Diebstahl von Zugangsdaten, ein bösartiges Dokument kapert die Werkzeugwahl, und eine neue Abwehr trainiert ein LLM auf Prompt-Injection. Außerhalb der KI wird die XZ-Utils-Backdoor Schritt für Schritt rekonstruiert, KI-Wettervorhersagen lassen sich fälschen, und Post-Quanten-SSH erhält die erste Gesamtanalyse.
Archiv: Rekonstruktion, verfasst im November 2026
1. MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
arXiv · Brandon Radosevich, John Halloran · Identität und Authentifizierung
Kurz gesagt: Bösartige oder schlecht konfigurierte MCP-Server bringen LLMs dazu, Code auszuführen, Fernzugriff zu öffnen und Zugangsdaten zu stehlen.
Das Model Context Protocol standardisiert die Anbindung von LLMs an Datenquellen und Werkzeuge und wurde schnell übernommen. Die Autoren zeigen, dass führende LLMs über MCP-Werkzeuge dazu gebracht werden können, das System eines Entwicklers per Codeausführung, Fernzugriff und Diebstahl von Zugangsdaten zu kompromittieren. Sie schlagen MCPSafetyScanner zur Prüfung von MCP-Servern vor.
Warum es wichtig ist. Jeder hinzugefügte MCP-Server ist eine Abhängigkeit mit Zugriff auf Daten und Systeme: Er gehört inventarisiert und geprüft wie jede Fremdintegration.
2. Prompt Injection Attack to Tool Selection in LLM Agents
arXiv · Jiawen Shi, Zenghui Yuan, Guiyao Tie, Pan Zhou et al. · KI- und LLM-Sicherheit
Kurz gesagt: ToolHijacker platziert ein bösartiges Dokument in der Werkzeugbibliothek und zwingt den Agenten, es zu wählen.
LLM-Agenten wählen Werkzeuge in zwei Schritten, Abruf und Auswahl, aus einer Bibliothek von Beschreibungen. ToolHijacker fügt ein optimiertes Dokument ein, das den Agenten für eine Zielaufgabe stets das Werkzeug des Angreifers wählen lässt, auch ohne Kenntnis von Modell und Bibliothek. Es übertrifft bisherige Angriffe, und getestete Abwehren, präventiv wie erkennend, reichen nicht.
Warum es wichtig ist. Wer ein Werkzeug in einem geteilten Katalog veröffentlicht, kann fremde Agenten kapern: Werkzeugbibliotheken werden zum Angriffspunkt der Lieferkette.
3. DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
IEEE Symposium on Security and Privacy · Yupei Liu, Yuqi Jia, Jinyuan Jia, Dawn Song et al. · KI- und LLM-Sicherheit
Kurz gesagt: DataSentinel trainiert ein LLM spieltheoretisch darauf, auch adaptive Prompt-Injection zu erkennen.
LLM-Anwendungen und -Agenten sind Prompt-Injection ausgesetzt, und bisherige Detektoren halten starken Angriffen kaum stand, adaptiven noch weniger. DataSentinel formuliert das Problem als Minimax-Optimierung und trainiert ein LLM, Eingaben mit auf Umgehung ausgelegten Prompts zu erkennen. Auf mehreren Benchmarks und Modellen erkennt es bekannte wie adaptive Angriffe.
Warum es wichtig ist. Ein Detektor, der adaptiven Angriffen standhält, ist eine konkrete Anforderung an alle, die LLMs externen Inhalten wie E-Mails oder Webseiten aussetzen.
4. Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
arXiv · Piotr Przymus, Thomas Durieux · Software-Lieferkette
Kurz gesagt: Die XZ-Utils-Backdoor aus GitHub-Spuren rekonstruiert: Der Angriff nutzte den Entwicklungsprozess, nicht nur Code.
Die Studie rekonstruiert den Ablauf des Angriffs auf XZ Utils (CVE-2024-3094), der eine Backdoor in eine zentrale Linux-Kompressionsbibliothek brachte. GitHub-Ereignisse zeigen eine neue Art Lieferkettenangriff: Hilfreiche Beiträge zu Infrastruktur und Wartung, Community-Pflege und CI/CD-Konfiguration dienten dazu, Legitimität und dauerhafte Kontrolle zu gewinnen.
Warum es wichtig ist. Zentrale, dünn gewartete Open-Source-Projekte sind ein Kumulpunkt für Tausende Firmen: Ihr Zustand ist ein Risikofaktor, nicht nur ihr Code.
5. The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
USENIX Security Symposium · Xinhui Shao, Zhen Ling, Yue Zhang, Huaiyu Yan et al. · System- und Softwaresicherheit
Kurz gesagt: Eine Leistungsoptimierung in ThreadX erlaubt es, Kernel-Prüfungen auf IoT-Geräten zu umgehen.
Viele IoT-Geräte nutzen Echtzeitbetriebssysteme. FreeRTOS fehlen grundlegende Schutzmechanismen, Zephyr und ThreadX haben sie, setzen sie aber unterschiedlich um. In ThreadX lässt eine Leistungsoptimierung die Prüfung von Systemaufruf-Parametern aus: Der Angriff Kernel Object Masquerading manipuliert Kernelobjekte, um Daten zu ändern oder Rechte zu erlangen.
Warum es wichtig ist. Dasselbe Embedded-Betriebssystem läuft auf sehr vielen Geräten verschiedener Hersteller: Ein Designfehler schafft breite, schwer behebbare Exposition.
6. Adversarial Observations in Weather Forecasting
ACM Conference on Computer and Communications Security · Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck · Cyber-physische Systeme und IoT
Kurz gesagt: Weniger als 0,1% veränderte Beobachtungen genügen, damit ein KI-Modell nicht existierende Hurrikane vorhersagt.
KI-Wettervorhersagen wie GenCast lösen klassische Verfahren ab. Ein neuer Angriff auf autoregressive Diffusionsmodelle fügt statistisch von natürlichem Rauschen ununterscheidbare Störungen in weniger als 0,1% der Messungen ein, etwa den Daten eines Satelliten. Das reicht, um Vorhersagen zu verfälschen und Extremereignisse wie Hurrikane, Hitzewellen und Starkregen zu erfinden.
Warum es wichtig ist. Wettervorhersagen steuern betriebliche Entscheidungen und Katastrophenmodelle: Ihre Integrität wird zur Sicherheitsfrage mit Folgen weit über Cyber hinaus.
7. Making Acoustic Side-Channel Attacks on Noisy Keyboards Viable with LLM-Assisted Spectrograms' "Typo" Correction
USENIX WOOT Conference on Offensive Technologies · Seyyed Ali Ayati, Park, Jin Hyun, Cai, Yichen, Marcus Felipe Botacin · Hardware und Seitenkanäle
Kurz gesagt: Visual Transformer und LLMs machen das Abgreifen getippter Texte über Tastaturgeräusche auch bei Lärm praktikabel.
Allgegenwärtige Mikrofone erhöhen das Risiko akustischer Angriffe, die Tastenanschläge aus ihrem Klang ableiten, doch bisherige Modelle versagten bei Lärm. Die Studie kombiniert Visual Transformer, die Kontext langer Folgen nutzen, mit LLMs, die Erkennungsfehler anhand des Satzsinns korrigieren. Der Ansatz ist der erste seiner Art und macht den Angriff praxistauglicher.
Warum es wichtig ist. Videocalls und Geräte mit Mikrofon werden zum Kanal für Passwörter und vertrauliche Texte: Das Risiko betrifft auch Homeoffice.
8. Post-quantum Cryptographic Analysis of SSH
IEEE Symposium on Security and Privacy · Benjamin Benčina, Benjamin Dowling, Varun Maram, Keita Xagawa · Post-Quanten-Kryptographie
Kurz gesagt: Erste vollständige kryptografische Analyse von Post-Quanten-SSH, einschließlich Harvest-now-decrypt-later.
SSH übernahm als eines der ersten Protokolle einen quantenresistenten hybriden Schlüsselaustausch, in OpenSSH seit April 2022 Standard, doch eine Analyse des Gesamtprotokolls fehlte. Die Autoren erweitern das ACCE-Modell um Harvest-now-decrypt-later-Angriffe, beweisen die Sicherheit von SSH darin und analysieren Streamlined NTRU Prime aus OpenSSH und TinySSH.
Warum es wichtig ist. Heute abgefangene Daten können morgen entschlüsselt werden: Dass hybrides SSH hält, gibt Migrationsplänen eine konkrete Grundlage.
9. Clubcards for the WebPKI: smaller certificate revocation tests in theory and practice
IEEE Symposium on Security and Privacy · John M. Schanck
Kurz gesagt: Clubcards komprimieren den Sperrstatus von Web-Zertifikaten auf 6,7 MB, nun Standard in Firefox Nightly.
CRLite liefert Browsern den Sperrstatus von Zertifikaten kompakt und datenschutzfreundlich. Eine neue Datenstruktur, die Clubcard, kodiert über 8 Millionen Sperrungen unter 900 Millionen gültigen Zertifikaten in 6,7 MB, 54% weniger als das ursprüngliche Design, mit sechsstündlichen Updates von etwa 26,8 kB. Das System ist die Standard-Sperrprüfung in Firefox Nightly.
Warum es wichtig ist. Eine funktionierende Sperrprüfung verkürzt das Zeitfenster, in dem ein gestohlenes Zertifikat zur Nachahmung einer Website taugt.
Die Trends des Monats
KI- und LLM-Sicherheit
233 Paper des Monats zu diesem Thema
Mit 233 von 1.400 Arbeiten bleibt KI-Sicherheit das wichtigste Thema, und die Schwachstelle wandert zu den Verbindungen der Agenten. MCP-Server und Werkzeugbibliotheken sind neue Abhängigkeiten, von denen der Agent Anweisungen bezieht: Ein bösartiger Server führt zu Diebstahl von Zugangsdaten, ein optimiertes Dokument kapert die Werkzeugwahl. Detektoren werden besser, gegen ToolHijacker reichen sie nicht.
Zitierte Paper:
- MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
- Prompt Injection Attack to Tool Selection in LLM Agents
- DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
System- und Softwaresicherheit
39 Paper des Monats zu diesem Thema
Zwei Arbeiten zeigen, wie Entwicklungsentscheidungen breite Exposition schaffen. Bei XZ Utils nutzte der Angreifer den Open-Source-Prozess selbst, mit hilfreichen Beiträgen und jahrelanger Geduld, um eine Bibliothek in fast jedem Linux-System zu erreichen. In ThreadX öffnet eine Leistungsoptimierung eine Lücke in einem Betriebssystem auf sehr vielen IoT-Geräten.
Zitierte Paper:
- Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
- The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
Post-Quanten-Kryptographie
45 Paper des Monats zu diesem Thema
Aus der Post-Quanten-Forschung kommt eine gute Nachricht: Die erste Gesamtanalyse von hybridem SSH, seit 2022 Standard in OpenSSH, beweist seine Sicherheit auch gegen Angreifer, die heute mitschneiden, um später zu entschlüsseln. Für die Migrationsplanung ist das eine konkrete Referenz für ein überall genutztes Administrationsprotokoll.
Zitierte Paper:
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1400.