FORSCHUNG
Oktober 2025: Angriffe über MCP, Backdoors durch Quantisierung, Malware an Gmail vorbei
Der Oktober 2025 stellt KI-Agenten auf die Probe: Ein Benchmark misst zwölf Angriffe über das Model Context Protocol, und schon die Quantisierung reicht, um eine Backdoor im Modell zu verstecken. 13 Byte schicken Malware im Gmail-Filter auf den falschen Weg. Dazu kommen Modellsignaturen auf GPUs, LLMs gegen bösartige npm-Updates und Verstärkung über DNS-Forwarder.
Archiv: Rekonstruktion, verfasst im November 2026
1. MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
arXiv · Dongsen Zhang, Zekun Li, Xu Luo, Xuannan Liu et al.
Kurz gesagt: MSB misst, wie neun LLM-Agenten zwölf Angriffen über MCP-Werkzeuge standhalten.
Das Model Context Protocol vereinheitlicht, wie Agenten externe Werkzeuge finden und aufrufen, vergrößert aber die Angriffsfläche. MSB ordnet zwölf Angriffe, von Namenskollisionen bis zu Anweisungen in Werkzeugbeschreibungen, und führt sie mit echten Werkzeugen aus: 2.000 Fälle, neun Agenten, 10 Domänen, 405 Werkzeuge. Die leistungsfähigsten Modelle sind am anfälligsten.
Warum es wichtig ist. Jedes an einen Agenten angebundene Werkzeug ist ein Einfallstor: Wer MCP nutzt, sollte Werkzeugkataloge wie Fremdcode behandeln.
2. Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
arXiv · Xiangxiang Chen, Peixin Zhang, Jun Sun, Wenhai Wang et al. · KI- und LLM-Sicherheit
Kurz gesagt: QuRA versteckt eine Backdoor allein durch die Wahl, wie Gewichte bei der Quantisierung gerundet werden.
Quantisierung komprimiert Modelle für Geräte mit wenig Ressourcen. QuRA vergiftet weder Daten noch Training: Es wählt kritische Gewichte und optimiert deren Rundungsrichtung, sodass die Backdoor über die Schichten verstärkt wird, ohne Genauigkeit zu verlieren. Die Erfolgsrate liegt meist nahe 100 %, und bestehende Abwehrmaßnahmen lassen sich umgehen.
Warum es wichtig ist. Ein sauberes Modell kann beim Komprimieren bösartig werden: Wer quantisierte Fremdversionen nutzt, erbt ein schwer sichtbares Risiko.
3. Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
ACM Conference on Computer and Communications Security · Milad Nasr, Yanick Fratantonio, Luca Invernizzi, Ange Albertini et al. · Malware und Bedrohungen
Kurz gesagt: 13 geänderte Byte genügen, um das Modell, das Gmail-Anhänge verteilt, in 90 % der Fälle zu täuschen.
Die Malware-Pipeline von Gmail nutzt Magika, ein Open-Source-Modell, das Dateitypen erkennt und Proben an spezialisierte Klassifikatoren leitet. Adversariale Beispiele lenken Malware zum falschen Detektor: Mit 13 geänderten Byte gelingt die Umgehung in 90 % der Fälle. Die vorgeschlagene, bereits produktive Abwehr senkt die Erfolgsrate selbst bei 50 Byte auf 20 %.
Warum es wichtig ist. Eine einzige ML-Komponente kann das ganze Abwehrsystem öffnen: Adversariale Tests müssen die gesamte Kette abdecken.
4. Sentry: Authenticating Machine Learning Artifacts on the Fly
ACM Conference on Computer and Communications Security · Andrew Gan, Zahra Ghodsi · Post-Quanten-Kryptographie
Kurz gesagt: Sentry signiert und prüft Datensätze und Modelle direkt auf der GPU, während sie geladen werden.
ML-Systeme hängen von Datensätzen und Modellen Dritter ab, die vor der Auslieferung vergiftet werden können. Hashes und Signaturen würden helfen, sind für so große Artefakte aber zu schwer und laufen nicht auf GPUs. Sentry bindet Signaturen an Entwickleridentitäten und prüft Artefakte beim Laden in den GPU-Speicher, mit beschleunigten Merkle-Bäumen.
Warum es wichtig ist. Die Herkunftsprüfung von Modellen und Daten ist die erste Kontrolle gegen Angriffe auf die KI-Lieferkette.
5. Evaluating LLM-Based Detection of Malicious Package Updates in npm
Research in Attacks, Intrusions and Defenses · Elizabeth Wyss, Dominic Tassio, Lorenzo De Carli, Drew Davidson · Software-Lieferkette
Kurz gesagt: Mit passender Vor- und Nachverarbeitung erkennt ein LLM alle 209 bösartigen npm-Updates im Test.
Wer ein npm-Paketupdate kompromittiert, verteilt Malware an Entwickler und Endnutzer. Die Autoren prüfen LLMs als Detektoren: Sie kürzen den Code vor der Übergabe an das Modell und werten die Antworten zur Klassifikation aus. Der Ansatz funktioniert im Maßstab des ganzen Registers, und das beste Modell erkennt 209 von 209 historischen bösartigen Proben.
Warum es wichtig ist. Angriffe auf Paketupdates treffen viele Firmen zugleich: Ein wirksamer automatischer Filter senkt das Kumulrisiko.
6. Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
ACM Conference on Computer and Communications Security · Maynard Koch, Florian Dolzmann, Thomas C. Schmidt, Matthias Wählisch · Netzwerksicherheit
Kurz gesagt: Transparente DNS-Forwarder machen große öffentliche Resolver zu Verstärkern für DDoS-Angriffe.
Transparente DNS-Forwarder reichen Anfragen an offene rekursive Resolver weiter, ohne die Absenderadresse umzuschreiben. So beteiligen sich große Anycast-Resolver unfreiwillig an reflektierenden Verstärkungsangriffen. Die Forwarder umgehen Ratenbegrenzungen, skalieren über Anycast bis zum Faktor 14 und helfen, Firewall-Regeln vor Resolvern zu umgehen.
Warum es wichtig ist. Eine verbreitete, übersehene Netzkomponente befeuert DDoS im großen Stil: Ausfälle treffen viele Kunden zugleich.
7. Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Research in Attacks, Intrusions and Defenses · Nazatul Haque Sultan, Xinlong Guan, Josef Pieprzyk, Wei Ni et al. · Netzwerksicherheit
Kurz gesagt: Eine 5G-AKA-Variante ohne Sequenznummern und mit Forward Secrecy, kompatibel mit heutigen SIMs.
5G-AKA, das Authentifizierungsprotokoll von 5G, schützt vor passiven, aber nicht vor aktiven Angreifern. Es braucht synchron gehaltene Sequenznummern und bietet keine Forward Secrecy: Gelangen Langzeitschlüssel nach außen, ist alter Verkehr offen. Die Autoren schlagen eine zustandslose, zu SIMs und Netzen kompatible Variante vor und erweitern sie um Forward Secrecy.
Warum es wichtig ist. 5G trägt zunehmend kritische Infrastruktur: Robustere Authentifizierung senkt das Risiko von Abhören und Identitätsdiebstahl.
8. DPA-Style Attacks on HQC
IACR Transactions on Cryptographic Hardware and Embedded Systems · Zhuo Huang, Weijia Wang, Xiaogang Zhou, Yu Yu · Post-Quanten-Kryptographie
Kurz gesagt: 50 Stromspuren genügen, um den Schlüssel des neuen Post-Quanten-Standards HQC aus einem Mikrocontroller zu holen.
HQC ist der fünfte vom NIST gewählte Post-Quanten-Algorithmus und der einzige codebasierte. Bekannte Leistungsanalysen brauchen wenige Spuren, vertragen aber kaum Rauschen. Die Autoren entwickeln einen DPA-artigen Angriff mit gewähltem Chiffretext: Auf einem STM32F4 gelingt die Schlüsselgewinnung mit 50 Spuren, 20 mit Profiling und rund 3.000 trotz Maskierung.
Warum es wichtig ist. Post-Quanten-Verfahren brauchen Seitenkanalschutz, bevor sie in Geräte und Chipkarten gelangen.
9. OCR-APT: Reconstructing APT Stories from Audit Logs using Subgraph Anomaly Detection and LLMs
ACM Conference on Computer and Communications Security · Ahmed Aly, Essam Mansour, Amr Youssef · KI für die Sicherheit
Kurz gesagt: OCR-APT findet APT-Einbrüche in Systemlogs, und ein LLM erzählt den Angriff in Klartext nach.
Anomaliesuche in Provenienzgraphen erzeugt viele Fehlalarme und vage Meldungen, auch weil sie auf fragile Attribute wie Pfade und IPs setzt. OCR-APT lernt mit Graph-Neural-Networks das Verhalten rund um Knoten; danach rekonstruiert ein LLM den Angriff Phase für Phase und prüft jeden Schritt. Es übertrifft den Stand der Technik auf DARPA TC3, OpTC und NODLINK.
Warum es wichtig ist. Eine klare Darstellung des Einbruchs beschleunigt Reaktion und Schadensaufklärung, zwei Kostentreiber eines Schadens.
10. Your Microphone Array Retains Your Identity: A Robust Voice Liveness Detection System for Smart Speakers
USENIX Security Symposium · Yan Meng, Jiachun Li, Matthew Pillari, Arjun Deopujari et al. · Identität und Authentifizierung
Kurz gesagt: Das Mikrofonarray eines Smart Speakers unterscheidet echte von abgespielten Stimmen mit 99,84 % Genauigkeit.
Smart Speaker sind anfällig für abgespielte oder synthetische Stimmen. Passive Lebenderkennung nutzt nur das aufgenommene Audio, leidet aber unter Umgebungswechseln und verlangt feste Haltungen. ArrayID nutzt die kreisförmige Mikrofonanordnung als bewegungsrobusten Fingerabdruck: Bei 32.780 Proben und 14 Spoofing-Geräten erreicht es 99,84 % Genauigkeit.
Warum es wichtig ist. Da Stimmen zunehmend Käufe und Haussteuerung freigeben, senkt die Unterscheidung von Mensch und Aufnahme den Betrug.
Die Trends des Monats
KI- und LLM-Sicherheit
389 Paper des Monats zu diesem Thema
Mit 389 von 1.883 Arbeiten bleibt KI-Sicherheit das wichtigste Thema. Der Monat zeigt drei Schwachstellen im Leben eines Modells: über MCP angebundene Werkzeuge, die Komprimierung, die eine Backdoor verstecken kann, und die einzelne ML-Komponente, die getäuscht ein Malware-Filtersystem für Milliarden Nutzer öffnet.
Zitierte Paper:
- MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
- Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
- Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
Software-Lieferkette
18 Paper des Monats zu diesem Thema
Zur Lieferkette gibt es zwei praktische Antworten. Sentry bringt Signatur und Prüfung in die GPU, sodass Fremdmodelle und Datensätze beim Laden kontrolliert werden, und ein gut eingestelltes LLM erkennt jedes bösartige npm-Update eines historischen Bestands. Beide Kontrollen greifen, bevor eine kompromittierte Komponente viele Firmen zugleich erreicht.
Zitierte Paper:
- Sentry: Authenticating Machine Learning Artifacts on the Fly
- Evaluating LLM-Based Detection of Malicious Package Updates in npm
Netzwerksicherheit
38 Paper des Monats zu diesem Thema
Zwei Arbeiten betreffen gemeinsam genutzte Netzinfrastruktur. Transparente DNS-Forwarder umgehen die Grenzen großer öffentlicher Resolver und vervielfachen DDoS-Angriffe, während eine überarbeitete 5G-Authentifizierung ohne Sequenznummern auskommt und Forward Secrecy ergänzt, ohne SIM-Karten zu tauschen.
Zitierte Paper:
- Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
- Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1883.