FORSCHUNG
September 2025: EchoLeak im Firmenassistenten, zehn Jahre APTs, schwache SSH-Schlüssel
Supply chainOT and industrial security
Der September 2025 beginnt mit EchoLeak, der ersten Zero-Click-Prompt-Injection in einem produktiven Unternehmensassistenten. Die ACM-CCS-Bände bringen zudem eine Abwehr für Computer-Agenten, eine systematische Analyse von zehn Jahren APT-Kampagnen, Angriffe auf SSH-Client-Signaturen und k-anonymisierte klinische Daten sowie Off-Path-TCP-Hijacking bei geteilten IP-Adressen.
Archiv: Rekonstruktion, verfasst im November 2026
1. EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System
arXiv · Pavan Reddy, Aditya Sanjay Gujral · KI- und LLM-Sicherheit
Kurz gesagt: Eine einzige präparierte E-Mail genügte, damit Microsoft 365 Copilot ohne Klick Daten abfließen ließ.
EchoLeak (CVE-2025-32711) ist die erste Zero-Click-Prompt-Injection, die in einem produktiven LLM-System ausgenutzt wurde. Mit einer E-Mail umging der Angriff den Injektionsklassifikator von Microsoft 365 Copilot, die Link-Entfernung, automatisch geladene Bilder und einen erlaubten Teams-Proxy und schleuste Daten ohne Authentifizierung aus. Die Studie zeigt, warum die Abwehr versagte.
Warum es wichtig ist. An Firmenpost und Dokumente angebundene Assistenten sind ein neuer Vektor für Datenlecks: Prompt-Injection ist eine Schwachstellenklasse hoher Schwere.
2. AgentSentinel: An End-to-End and Real-Time Security Defense Framework for Computer-Use Agents
ACM Conference on Computer and Communications Security · Haitao Hu, Peng Chen, Yanpeng Zhao, Yuqi Chen · KI- und LLM-Sicherheit
Kurz gesagt: AgentSentinel hält sensible Operationen von Computer-Agenten an, bis eine Prüfung sie freigibt.
Computer-Agenten können durch Fehler oder Manipulation schädliche Befehle ausführen. Der neue Benchmark BadComputerUse mit 60 Angriffsszenarien erreicht im Mittel 87% Erfolg bei vier führenden LLMs. AgentSentinel fängt sensible Operationen ab und hält sie an, bis eine Prüfung die laufende Aufgabe mit Systemspuren abgleicht; es wehrt im Mittel 79,6% der Angriffe ab.
Warum es wichtig ist. Eine Prüfung, die den Agenten vor riskanten Aktionen stoppt, ist die Art Maßnahme, die Agenten mit Systemzugriff versicherbar macht.
3. ImportSnare: Directed "Code Manual" Hijacking in Retrieval-Augmented Code Generation
ACM Conference on Computer and Communications Security · Kai Ye, Liangcai Su, Chenxiong Qian · KI- und LLM-Sicherheit
Kurz gesagt: Vergiftete Dokumentation bringt Coding-Assistenten dazu, bösartige Abhängigkeiten zu empfehlen.
RAG-basierte Coding-Assistenten ziehen externe Handbücher heran, um besseren Code zu schreiben, und öffnen damit eine neue Angriffsfläche. ImportSnare erstellt vergiftete Dokumentation, die im Abruf weit oben landet und das LLM bösartige Abhängigkeiten wie „matplotlib_safe“ empfehlen lässt. In Python, Rust und JavaScript liegt der Erfolg bei beliebten Bibliotheken über 50%.
Warum es wichtig ist. Das Vertrauen von Entwicklern in KI-Vorschläge wird zum Einfallstor für bösartige Pakete in der Software-Lieferkette des Unternehmens.
4. A Decade-long Landscape of Advanced Persistent Threats: Longitudinal Analysis and Global Trends
ACM Conference on Computer and Communications Security · Shakhzod Yuldoshkhujaev, Mijin Jeon, Doowon Kim, Nick Nikiforakis et al. · Malware und Bedrohungen
Kurz gesagt: 1.509 Dossiers aus zehn Jahren APT kartieren 603 Gruppen, Zielbranchen und Bezüge zu Ereignissen wie Wahlen.
Die Studie sammelt 1.509 öffentliche Dossiers über Advanced Persistent Threats, über 24.000 Seiten von 2014 bis 2023 aus sechs verlässlichen Quellen, und identifiziert 603 Gruppen. Mit Regeln und LLM-gestützter Suche zeichnet sie nach, wie sich Akteure, Angriffswege und Zielbranchen verändert haben und wie Kampagnen mit Ereignissen wie Wahlen zusammenhängen.
Warum es wichtig ist. Eine historische Basis zu staatlichen Akteuren und Zielbranchen hilft, Häufigkeit und Kumul zu schätzen und Ausschlüsse für Staatsangriffe zu bewerten.
5. HADES: Detecting and Investigating Active Directory Attacks via Whole Network Provenance Analytics
IEEE Transactions on Dependable and Secure Computing · Qi Liu, Kaibin Bao, Wajih Ul Hassan, Veit Hagenmeyer · Malware und Bedrohungen
Kurz gesagt: HADES verfolgt einen Active-Directory-Angriff von Rechner zu Rechner und schlägt einen kommerziellen Detektor.
Active Directory ist ein Hauptziel von APT-Akteuren, und herkunftsbasierte Erkennung endet am einzelnen Rechner. HADES rekonstruiert kausale Verbindungen über Rechner hinweg, indem es die Ausführung nach Anmeldesitzungen aufteilt, und startet erst, wenn ein schlankes Modell eine Authentifizierungsanomalie meldet. Es übertrifft verbreitete Open-Source-Systeme und einen kommerziellen Detektor.
Warum es wichtig ist. Zu rekonstruieren, wie weit ein Angreifer im Netz vorgedrungen ist, senkt Dauer und Kosten der Untersuchung nach einem Vorfall.
6. On the Security of SSH Client Signatures
ACM Conference on Computer and Communications Security · Fabian Bäumer, Marcus Brinkmann, Maximilian Radoy, Jörg Schwenk et al. · Identität und Authentifizierung
Kurz gesagt: Unter 31 Millionen öffentlichen SSH-Schlüsseln sind Hunderte schwach, und ein PuTTY-Schlüssel folgt aus 58 Signaturen.
SSH-Client-Schlüssel öffnen kritische Server und Repositories, lassen sich aber nicht wie Serverschlüssel scannen. Die Autoren sammeln 31.622.338 öffentliche Schlüssel von GitHub, GitLab und anderen Quellen: Im Januar 2025 finden sie 98 zu kurze Schlüssel, 139 aus schwachem Zufall und 149 mit gemeinsamen Faktoren. Zudem lässt sich der Schlüssel eines PuTTY-Clients aus 58 Signaturen gewinnen.
Warum es wichtig ist. Ein kompromittierter SSH-Schlüssel öffnet Server und Repositories direkt: Die Schlüsselverwaltung der Entwickler gehört in die Zugriffskontrolle.
7. Off-Path TCP Exploits: PMTUD Breaks TCP Connection Isolation in IP Address Sharing Scenarios
ACM Conference on Computer and Communications Security · Xuewei Feng, Zhaoxi Li, Qi Lecky Li, Ziqiang Wang et al. · System- und Softwaresicherheit
Kurz gesagt: Bei geteilter IP kann ein externer Angreifer TCP-Verbindungen anderer Geräte in 70% der Fälle kapern.
Path MTU Discovery ist nicht für IP-Adressen ausgelegt, die sich viele Geräte hinter NAT teilen. Ein Angreifer im Internet kann mit einem Komplizengerät im selben Netz den vom Server gesetzten MTU-Wert beobachten und Sequenznummern fremder TCP-Verbindungen ableiten. Der Angriff gelingt in 70% der Fälle in etwa 220 Sekunden und ermöglicht SSH-DoS sowie Injektion in FTP und HTTP.
Warum es wichtig ist. Geteilte Netze wie öffentliches WLAN, Mobilfunk oder Coworking isolieren Verbindungen nicht wirklich: Das Risiko trifft viele Nutzer zugleich.
8. Fingerprinting Deep Packet Inspection Devices by Their Ambiguities
ACM Conference on Computer and Communications Security · Diwen Xue, Armin Huremagic, Wayne Wang, Ram Sundara Raman et al. · Web und Mobile
Kurz gesagt: Mehrdeutigkeiten bei der Verkehrsanalyse erlauben es, DPI-Geräte aus der Ferne zu erkennen und zu kartieren.
Zensur, Drosselung und Abhören nehmen zu, weil Deep-Packet-Inspection-Geräte für fast jeden Betreiber erschwinglich sind. dMAP nutzt, dass jeder Hersteller unklar spezifiziertes Protokollverhalten anders auslegt: Per differenziellem Fuzzing erzeugt es Proben, die diese Unterschiede sichtbar machen, und gruppiert DPI-Geräte weltweit.
Warum es wichtig ist. Zu wissen, wo Verkehr inspiziert oder verändert wird, hilft bei der Risikobewertung für Unternehmenskommunikation in Ländern mit Netzkontrolle.
9. Exposing Privacy Risks in Anonymizing Clinical Data: Combinatorial Refinement Attacks on k-Anonymity Without Auxiliary Information
ACM Conference on Computer and Communications Security · Somiya Chhillar, Mary Kirtley Righi, Rebecca Sutter, Evgenios M. Kornaropoulos · Datenschutz
Kurz gesagt: Mit ARX k-anonymisierte klinische Daten verraten sensible Werte auch ohne externe Informationen.
k-Anonymität bleibt verbreitet, weil sie einfach und regelkonform ist, und gilt ohne Zusatzwissen als sicher. Combinatorial Refinement Attacks widerlegen das: Sie nutzen, wie ARX, in Kliniken verbreitete Open-Source-Software, die Anonymisierung optimiert. Mit echten Daten eines Netzes kostenloser Kliniken zeigt sich, dass der versprochene Datenschutz nicht gilt.
Warum es wichtig ist. Als anonym geltende Daten können weiter personenbezogen sein: Wer sie auf Basis von k-Anonymität teilt, bleibt Sanktionen ausgesetzt.
10. Asymmetry Vulnerability and Physical Attacks on Online Map Construction for Autonomous Driving
ACM Conference on Computer and Communications Security · Yang Lou, Haibo Hu, Qun Song, Qian Xu et al. · Cyber-physische Systeme und IoT
Kurz gesagt: Hindernisse und gezielte Patches täuschen die Bordkarten autonomer Autos und machen viele Routen unerreichbar.
Autonome Autos erstellen HD-Karten zunehmend aus eigenen Sensordaten. Die Studie zeigt, dass diese Modelle symmetrische Straßen bevorzugen: An Gabelungen und Einmündungen zeichnen sie eine nicht vorhandene gerade Kante. Mit Kamerablendung und adversariellen Patches macht der Angriff bis zu 44% der Zielrouten unerreichbar und erhöht unsichere Trajektorien.
Warum es wichtig ist. Ein Modellfehler lässt sich mit einfachen physischen Mitteln ausnutzen: Für die Herstellerhaftung zählt Robustheit, nicht nur mittlere Genauigkeit.
Die Trends des Monats
KI- und LLM-Sicherheit
312 Paper des Monats zu diesem Thema
Mit 312 von 1.708 Arbeiten bleibt KI-Sicherheit das wichtigste Thema, und der September bringt den ersten realen Fall mit großer Wirkung. EchoLeak zeigt, dass Prompt-Injection in einem Unternehmensassistenten mit einer einzigen E-Mail Daten abziehen kann. Computer-Agenten fallen im Mittel auf 87% der Testangriffe herein, und vergiftete Dokumentation lässt Coding-Assistenten bösartige Pakete empfehlen.
Zitierte Paper:
- EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System
- AgentSentinel: An End-to-End and Real-Time Security Defense Framework for Computer-Use Agents
- ImportSnare: Directed "Code Manual" Hijacking in Retrieval-Augmented Code Generation
Netzwerksicherheit
55 Paper des Monats zu diesem Thema
Drei CCS-Arbeiten betrachten die Grundlagen des Netzes. Hunderte öffentliche SSH-Schlüssel sind schwach, und ein verbreiteter Client verrät seinen privaten Schlüssel über Signaturen, geteilte IP-Adressen brechen die Isolation von TCP-Verbindungen, und DPI-Geräte, die zensieren oder abhören, lassen sich aus der Ferne kartieren. Das sind Infrastrukturrisiken, die viele Organisationen zugleich treffen.
Zitierte Paper:
- On the Security of SSH Client Signatures
- Off-Path TCP Exploits: PMTUD Breaks TCP Connection Isolation in IP Address Sharing Scenarios
- Fingerprinting Deep Packet Inspection Devices by Their Ambiguities
Malware und Bedrohungen
51 Paper des Monats zu diesem Thema
Zu staatlichen Akteuren gibt es zwei nützliche Beiträge. Zehn Jahre APT-Dossiers kartieren 603 Gruppen und zeigen, wie sich Zielbranchen und Angriffswege rund um Ereignisse wie Wahlen verschieben, während HADES Active-Directory-Angriffe von Rechner zu Rechner verfolgt. Die Risikobewertung braucht beides: historische Häufigkeit und die Fähigkeit, das Ausmaß eines Vorfalls zu messen.
Zitierte Paper:
- A Decade-long Landscape of Advanced Persistent Threats: Longitudinal Analysis and Global Trends
- HADES: Detecting and Investigating Active Directory Attacks via Whole Network Provenance Analytics
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1708.