FORSCHUNG
Dezember 2025: vergiftetes Agentengedächtnis, Telegram geprüft, Laden auf fremde Rechnung
Der Dezember 2025 führt KI-Agenten auf neues Terrain: vergiftete Erinnerungen über Sitzungen hinweg, Injektionen aus beliebigen Quellen und Prompts, die einen Dienst in endloses Nachdenken schicken. Kryptografisch zeigen Telegram und Plug-and-Charge für E-Autos konkrete Schwächen. Den Abschluss bilden Ausbrüche aus virtuellen Maschinen und Einwilligungsverstöße in Webformularen.
Archiv: Rekonstruktion, verfasst im November 2026
1. MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
arXiv · Saksham Sahai Srivastava, Haoyu He · KI- und LLM-Sicherheit
Kurz gesagt: MemoryGraft pflanzt falsche Erfolgserfahrungen in das Langzeitgedächtnis eines Agenten, der sie dann nachahmt.
LLM-Agenten speichern frühere Erfahrungen, um besser zu werden. MemoryGraft nutzt das aus: Über harmlos wirkende Inhalte, die der Agent bei einer Aufgabe liest, bringt es ihn dazu, bösartige Abläufe als Erfolge abzulegen. Bei ähnlichen Aufgaben ruft er sie ab und kopiert sie. Wenige vergiftete Einträge dominieren die abgerufenen Erinnerungen, über Sitzungen hinweg.
Warum es wichtig ist. Eine Kompromittierung im Agentengedächtnis verschwindet nicht mit der Sitzung: Die Vorfallreaktion muss das Gedächtnis bereinigen.
2. ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
Network and Distributed System Security Symposium · Reachal Wang, Yuqi Jia, Neil Zhenqiang Gong · KI- und LLM-Sicherheit
Kurz gesagt: ObliInjection wirkt, auch wenn der Angreifer nur eine von hundert Quellen kontrolliert und die Reihenfolge nicht kennt.
Die Eingabe einer LLM-Anwendung vereint oft Texte aus mehreren Quellen, von denen Angreifer nur einige kontrollieren, ohne die Reihenfolge zu kennen. ObliInjection ist die erste Prompt-Injection für diesen Fall: Sie optimiert den bösartigen Text für jede Anordnung. Über drei Datensätze und zwölf LLMs bleibt sie wirksam, selbst mit einem verseuchten Segment unter 6-100.
Warum es wichtig ist. Assistenten, die Bewertungen, E-Mails oder Dokumente vieler Autoren zusammenfassen, kippen schon durch einen feindlichen Beitrag.
3. ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
Network and Distributed System Security Symposium · Yunzhe Li, Jianan Wang, Hongzi Zhu, James Lin et al.
Kurz gesagt: ThinkTrap findet Prompts, die ein LLM endlos nachdenken lassen und einen Dienst auf 1 % Kapazität drücken.
Cloud-LLM-Dienste sind einer neuen Art von Dienstverweigerung ausgesetzt: Eingaben, die das Modell in extrem lange oder endlose Ausgaben treiben. ThinkTrap findet solche Prompts ohne Modellzugang durch Optimierung in einem niedrigdimensionalen Raum. Gegen geschlossene kommerzielle Dienste senkt es selbst unter zehn Anfragen pro Minute den Durchsatz auf 1 %, teils bis zum Ausfall.
Warum es wichtig ist. Anbieter LLM-basierter Dienste riskieren Ausfälle und ausufernde Rechenkosten: Grenzen für die Denklänge werden zur Kernkontrolle.
4. Chasing Shadows: Pitfalls in LLM Security Research
Network and Distributed System Security Symposium · Jonathan Evertz, Niklas Risse, Nicolai Neuer, Andreas Müller et al.
Kurz gesagt: Alle 72 geprüften LLM-Sicherheitsarbeiten enthalten mindestens einen von neun wiederkehrenden Methodenfehlern.
LLMs erschweren Reproduzierbarkeit und Bewertung in der Sicherheitsforschung. Die Autoren benennen neun wiederkehrende Fehler, von der Datenerhebung bis zum Prompting, und suchen sie in allen 72 Arbeiten führender Sicherheits- und Software-Engineering-Konferenzen 2023-2024: Jede hat mindestens einen, nur 15,7 % werden diskutiert. Vier Fallstudien zeigen geschönte Ergebnisse.
Warum es wichtig ist. Angegebene Leistungen LLM-basierter Sicherheitswerkzeuge sind mit Vorsicht zu lesen, bevor ein Unternehmen darauf baut.
5. Four Attacks and a Proof for Telegram
Journal of Cryptology · Martin R. Albrecht, Lenka Mareková, Kenneth G. Paterson, Igors Stepanovs · Formale Methoden
Kurz gesagt: Vier Angriffe und ein formaler Beweis zur symmetrischen Kryptografie von MTProto, dem Telegram-Protokoll.
Die Arbeit ist die erste umfassende Analyse der symmetrischen Kryptografie von MTProto 2.0, dem TLS-Gegenstück von Telegram. Eine Protokollvariante wird formal als sicher bewiesen, doch die Autoren zeigen zwei Angriffe auf die Spezifikation und zwei auf die Umsetzung: Zeitkanäle in drei offiziellen Clients zur Klartextgewinnung und eine Lücke im Server-Schlüsselaustausch für Man-in-the-Middle.
Warum es wichtig ist. Auch beruflich genutzte Messenger können konkrete kryptografische Schwächen haben: Die Wahl sollte auf geprüfte Protokolle fallen.
6. Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
arXiv · Jakob Löw, Vishwa Vasu, Thomas Hutzelmann, Hans-Joachim Hof · Kryptographie
Kurz gesagt: Eine gefälschte Ladesäule lädt das eigene E-Auto und belastet einen fremden Fahrer.
ISO 15118, in Europa der führende Standard für Schnellladen, lässt E-Autos per Vertragszertifikat automatisch zahlen. Der Angriff verbindet das Opferauto mit einer falschen Säule und leitet dessen Authentifizierung an eine echte weiter, die das Auto des Angreifers lädt und das Opfer belastet. Er nutzt die fehlende Stationskennung in der Signatur und schwache TLS-Zertifikatsprüfung.
Warum es wichtig ist. Mit wachsendem Plug-and-Charge können solche Zahlungsbetrügereien Flotten und Ladebetreiber treffen, bevor der Standard korrigiert ist.
7. Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
Network and Distributed System Security Symposium · Gaoning Pan, Yiming Tao, Qinying Wang, Chunming Wu et al. · System- und Softwaresicherheit
Kurz gesagt: Durch Wiederverwendung von Gastspeicher werden Hypervisor-Bugs in QEMU und VirtualBox ausnutzbar.
Speicherfehler in Hypervisoren sind schwer, aber kaum auszunutzen, weil nützliche Strukturen selten und durch Adressrandomisierung verborgen sind. Die Autoren stellen fest, dass der vom Angreifer kontrollierte Gastspeicher vom Host erreichbar ist, und nutzen ihn als Hebel. Ein automatisches System baut ganze Exploit-Ketten: Bei 15 echten Lücken in QEMU und VirtualBox greift der Ansatz breit.
Warum es wichtig ist. Ein Ausbruch aus einer virtuellen Maschine trifft alle Kunden auf demselben Host: ein typisches Kumulrisiko der Cloud.
8. Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
IEEE Symposium on Security and Privacy · Giada Stivala, Rafael Mrowczynski, Maria V. Hellenthal, Giancarlo Pellegrino · System- und Softwaresicherheit
Kurz gesagt: 24 Hosting-Anbieter erklären, warum Schwachstellenmeldungen so selten zu Korrekturen führen.
Massenhafte Schwachstellenmeldungen bewirken wenige Korrekturen. Die Autoren befragen 24 Shared-Hosting-Anbieter: Fast alle erhalten und bearbeiten Meldungen, sehen Fehler in Webanwendungen aber als Sache des Kunden. Niedrige Preise und viele tägliche Kompromittierungen bremsen vorbeugende Maßnahmen, und die Anbieter geben den Website-Betreibern die Schuld.
Warum es wichtig ist. Kleine Firmen im Shared Hosting können nicht auf den Anbieter zählen, um Lücken zu schließen: Die Verantwortung bleibt bei ihnen.
9. Breaking the illusion: Automated Reasoning of GDPR Consent Violations
IEEE Symposium on Security and Privacy · Ying Li, Wenjun Qiu, Faysal Hossain Shezan, Kunlin Cai et al. · Datenschutz
Kurz gesagt: Cosmic findet DSGVO-Einwilligungsverstöße in 94,1 % der untersuchten Webformulare auf 5.823 Websites.
DSGVO und CCPA verlangen informierte, freiwillige, bestimmte und eindeutige Einwilligung, doch die Forschung sah bisher vor allem Cookie-Banner an. Cosmic prüft Webformulare, die Einwilligungen einholen, automatisch: Auf 5.823 Websites und 3.598 Formularen erkennt es 3.384 Verstöße in 94,1 % der Formulare, von unfreiwilliger Einwilligung bis zu fehlendem Zweck, mit 99,1 % Trefferquote.
Warum es wichtig ist. Einwilligungsverstöße sind verbreitet und nun automatisch erkennbar: Das Risiko von Datenschutzbußgeldern für Firmenwebsites steigt.
Die Trends des Monats
KI- und LLM-Sicherheit
277 Paper des Monats zu diesem Thema
Mit 277 von 1.532 Arbeiten bleibt KI-Sicherheit das wichtigste Thema. Angriffe auf Agenten werden realistischer: vergiftete Erinnerungen, die die Sitzung überdauern, Injektionen aus einer von hundert Quellen und Prompts, die Dienstressourcen erschöpfen. Zugleich zeigt eine Prüfung von 72 Arbeiten, dass viele Ergebnisse zu LLMs in der Sicherheit mit Vorsicht zu lesen sind.
Zitierte Paper:
- MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
- ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
- ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
- Chasing Shadows: Pitfalls in LLM Security Research
Kryptographie
176 Paper des Monats zu diesem Thema
Zwei Alltagsprotokolle zeigen konkrete Schwächen. Telegrams MTProto, in einer formalen Variante als sicher bewiesen, gibt Zeitkanälen in Clients und einer Lücke im Server-Schlüsselaustausch nach, während Plug-and-Charge für E-Autos es erlaubt, über eine falsche Ladesäule einen anderen Fahrer zahlen zu lassen.
Zitierte Paper:
- Four Attacks and a Proof for Telegram
- Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
System- und Softwaresicherheit
48 Paper des Monats zu diesem Thema
In gemeinsam genutzter Infrastruktur zeigen sich zwei Risiken. Gastspeicher wird zum Hebel, um Hypervisor-Bugs auszunutzen und die Isolation zu brechen, und Shared-Hosting-Anbieter überlassen gemeldete Lücken ihren Kunden. In beiden Fällen kann eine einzige Schwachstelle viele Kunden zugleich treffen.
Zitierte Paper:
- Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
- Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1532.