FORSCHUNG
Juli 2025: Rowhammer auf GPUs, gekaperte E-Mail-Agenten, Malware in KI-Modellen
Supply chainOT and industrial security
Der Juli 2025 bringt Rowhammer auf KI-GPUs, mit Genauigkeitsverlusten bis 80%. Heruntergeladene Modelle können selbstentpackende Malware enthalten, E-Mail-Agenten fallen auf eine neue Art Prompt-Injection herein, und ein KI-Agent schreibt profitable Exploits für Smart Contracts. Mobil umgehen WebViews und SDKs Schutzmechanismen, und über die Hälfte sensibler Apps ignoriert sichere Hardware.
Archiv: Rekonstruktion, verfasst im November 2026
1. GPUHammer: Rowhammer Attacks on GPU Memories are Practical
USENIX Security Symposium · Chris S. Lin, Joy Qu, Gururaj Saileshwar · Hardware und Seitenkanäle
Kurz gesagt: Erster erfolgreicher Rowhammer-Angriff auf eine dedizierte GPU: wenige gekippte Bits ruinieren die Modellgenauigkeit.
Rowhammer wurde auf CPUs und DDR-Speicher untersucht, nicht auf dem GDDR-Speicher von GPUs für maschinelles Lernen. GPUHammer rekonstruiert die proprietäre GDDR6-Zeilenzuordnung, verstärkt Zugriffe und umgeht Abwehrmaßnahmen. Auf einer NVIDIA A6000 erzeugt es bis zu 8 Bitfehler in 4 Bänken, genug, um die Modellgenauigkeit um bis zu 80% zu senken.
Warum es wichtig ist. GPUs werden in der Cloud zwischen Kunden geteilt: Ein bösartiger Mieter kann fremde Modelle sabotieren, ohne deren Software zu berühren.
2. Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
IEEE Transactions on Dependable and Secure Computing · Dorjan Hitaj, Giulio Pagnotta, Fabio De Gaspari, Sediola Ruko et al. · Malware und Bedrohungen
Kurz gesagt: MaleficNet 2.0 versteckt selbstentpackende Malware in den Parametern eines neuronalen Netzes, ohne Leistungsverlust.
Viele nutzen vortrainierte Modelle aus öffentlichen Repositories, als wären sie bloße Daten. MaleficNet 2.0 bettet per Spread-Spectrum-Kodierung und Fehlerkorrektur eine Schadlast in die Parameter ein: unauffällig, ohne Leistungsverlust und resistent gegen Entfernung, auch im Federated Learning. Ein Prototyp entpackt und startet sich selbst in einem verbreiteten Framework.
Warum es wichtig ist. Ein heruntergeladenes Modell ist Fremdsoftware: Es braucht dieselben Herkunfts- und Prüfregeln wie eine ausführbare Datei.
3. Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
arXiv · Jiangrong Wu, Yuhong Nan, Jianliang Wu, Zitong Yao et al. · KI- und LLM-Sicherheit
Kurz gesagt: Eine neue Art Prompt-Injection kapert alle 63 getesteten echten E-Mail-Agenten, in weniger als zwei Versuchen.
LLM-Agenten für E-Mail verarbeiten sensible Nachrichten und Authentifizierungsabläufe. Klassische Injektionen wirken bei ihnen kaum, mit 4,58% bis 8,13% Erfolg. ESPI stellt die gewünschten Aktionen des Angreifers als nötige Korrekturen eines gefälschten Postfachzustands dar: 73,54% Erfolg, und alle 63 geprüften Anwendungen werden in weniger als zwei Versuchen gekapert.
Warum es wichtig ist. Das Postfach ist der Schlüssel zu Passwort-Resets und Zahlungsfreigaben: Ein Agent dafür ist wie ein hochprivilegierter Nutzer zu behandeln.
4. Depth Gives a False Sense of Privacy: LLM Internal States Inversion
USENIX Security Symposium · Tian Dong, Yan Meng, Shaofeng Li, Chen, Guoxing et al.
Kurz gesagt: Die als irreversibel geltenden internen Zustände eines LLM verraten den Prompt, auch einen langen medizinischen.
Kollaborative Inferenz und neuronenbasierte Sicherheitsaudits legen interne Zustände eines LLM offen, die als nicht invertierbar galten. Die Autoren stellen vier Inversionsangriffe vor, mit und ohne Zugriff auf Gewichte, darunter einen, der Zustände per Modell in Text übersetzt. Bei sechs LLMs wird ein medizinischer Prompt mit 4.112 Tokens nahezu perfekt rekonstruiert.
Warum es wichtig ist. Nur Zwischenrepräsentationen zu senden schützt keine Daten: Architekturen, die so Datenschutz versprechen, sind vorsichtig zu bewerten.
5. AI Agent Smart Contract Exploit Generation
arXiv · Arthur Gervais, Liyi Zhou · Blockchain und DeFi
Kurz gesagt: Ein KI-Agent erzeugt geprüfte Exploits für verwundbare Smart Contracts, bis zu 8,59 Millionen Dollar pro Angriff.
A1 macht ein LLM mit sechs Fachwerkzeugen zum Exploit-Generator und prüft jedes Ergebnis durch Ausführung auf echtem Blockchain-Zustand. Bei 36 verwundbaren Verträgen auf Ethereum und Binance Smart Chain gelingt es in 63% des VERITE-Benchmarks und erbeutet bis zu 8,59 Millionen Dollar pro Exploit. Angreifern reichen 6.000 Dollar Beutewert, Verteidiger brauchen 60.000.
Warum es wichtig ist. Die Kosten, eine Lücke zu finden und auszunutzen, brechen ein, die der Abwehr nicht: Das Fenster zwischen Entdeckung und Diebstahl schrumpft auf Stunden.
6. Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
Proceedings on Privacy Enhancing Technologies · Nipuna Weerasekara, José Miguel Moreno, Srdjan Matic, Joel Reardon et al. · Web und Mobile
Kurz gesagt: Android-Apps konfigurieren WebViews so, dass sie Schutzmechanismen umgehen und Nutzer über App und Web verfolgen.
WebViews zeigen Webinhalte wie Werbung in Apps an. Die erste großangelegte Studie zeigt, dass Entwickler und Dritt-SDKs sie so einstellen, dass Plattformschutz umgangen wird. Schädliches JavaScript, oft über ungeprüfte Echtzeit-Werbeauktionen ausgeliefert, synchronisiert Cookies, betreibt Fingerprinting und sendet unbemerkt Kennungen und Standort.
Warum es wichtig ist. In einer App gezeigte Werbung kann im Namen des Anbieters personenbezogene Daten erheben: ein regulatorisches Risiko aus der Werbelieferkette.
7. KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
Proceedings on Privacy Enhancing Technologies · Jenny Blessing, Ross Anderson, Alastair R. Beresford · Web und Mobile
Kurz gesagt: 56% der Apps, die sensible Daten angeben, nutzen Androids sichere Hardware zum Schutz von Schlüsseln nicht.
Moderne Smartphones bieten eigene Hardware, die Schlüssel und Zugangsdaten auch bei kompromittiertem Betriebssystem schützt. Die Analyse von 490.119 Android-Apps und ihren Datenschutzangaben zeigt: 56% der Apps mit sensiblen Daten nutzen diese Hardware gar nicht, nur 5% die stärkste Form, ein vom Hauptprozessor getrenntes Secure Element.
Warum es wichtig ist. Schlüsselschutz ist eine Grundregel: Die geringe Nutzung erhöht die Folgen von Handy-Malware, auch bei Finanz- und Gesundheits-Apps.
8. Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
Proceedings on Privacy Enhancing Technologies · Leon Böttger, Alexander Matern, Dennis Arndt, Matthias Hollick · Web und Mobile
Kurz gesagt: Googles Find-My-Device-Netz, auf Android standardmäßig aktiv, zeigt Sicherheits- und Datenschutzmängel.
Seit April 2024 nutzt Googles Find-My-Device-Netz Milliarden Android-Geräte, um verlorene Tracker und Kopfhörer zu orten, standardmäßig aktiv. Google verspricht Ende-zu-Ende-Verschlüsselung und Datenschutz, doch das System ist nur teilweise spezifiziert. Die Autoren rekonstruieren die proprietären Teile und finden Probleme, darunter Denial-of-Service und einen möglichen Verknüpfungsangriff.
Warum es wichtig ist. Ortungsnetze auf Milliarden Handys sind geteilte Infrastruktur: Ein Designfehler trifft alle Nutzer zugleich.
9. OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
IEEE Transactions on Dependable and Secure Computing · Futai Zou, Zehui Zhang, Yuzong Hu · Identität und Authentifizierung
Kurz gesagt: OTP-Hunter findet 68 Einmalpasswort-Lücken in 59 IoT-Apps, bis hin zur Fernübernahme von Geräten.
Einmalpasswörter prüfen die Identität bei Registrierung, Anmeldung und Passwortwiederherstellung, schlecht umgesetzt erlauben sie SMS- oder Mail-Bombing, Brute Force und Umgehung. OTP-Hunter verbindet statische und dynamische Analyse direkt in den Apps, ohne Protokolle entschlüsseln zu müssen. In 59 IoT-Apps findet es 68 Schwachstellen, die Gerätekontrolle allein über die Telefonnummer erlauben.
Warum es wichtig ist. Ein schwaches OTP hebelt den zweiten Faktor aus: Für Hersteller vernetzter Geräte ist das ein Haftungsrisiko gegenüber Tausenden Kunden.
Die Trends des Monats
KI- und LLM-Sicherheit
235 Paper des Monats zu diesem Thema
Mit 235 von 1.244 Arbeiten bleibt KI-Sicherheit das wichtigste Thema, und der Juli betrifft jede Ebene. GPU-Hardware lässt sich per Rowhammer manipulieren, heruntergeladene Modelle können versteckte Malware tragen, interne Modellzustände verraten Prompts, und E-Mail-Agenten führen Aktionen des Angreifers aus. Die KI-Kette ist als Ganzes zu bewerten, vom Chip bis zum Agenten.
Zitierte Paper:
- Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
- Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
- Depth Gives a False Sense of Privacy: LLM Internal States Inversion
- GPUHammer: Rowhammer Attacks on GPU Memories are Practical
Web und Mobile
36 Paper des Monats zu diesem Thema
PETS-Tagungsband und weitere Arbeiten vermessen Mobilgeräte im großen Maßstab. WebViews umgehen Android-Schutz für Tracking, über die Hälfte der Apps mit sensiblen Daten nutzt keine sichere Hardware, Googles Ortungsnetz hat Designfehler, und Einmalpasswörter von IoT-Apps lassen sich umgehen. Abwehr gibt es, sie wird aber oft nicht genutzt.
Zitierte Paper:
- Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
- KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
- Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
- OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
Blockchain und DeFi
31 Paper des Monats zu diesem Thema
Bei Smart Contracts verändert KI die Ökonomie des Angriffs. Ein Agent, der Exploits selbst erzeugt und prüft, findet echte Lücken und macht sie schon bei wenigen tausend Dollar profitabel, während die Abwehr zehnmal mehr Mittel braucht. Die Geschwindigkeit des Patchens wird entscheidend.
Zitierte Paper:
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1244.