FORSCHUNG
Februar 2026: bösartige Agenten-Skills, stille Datenabflüsse, Deanonymisierung mit LLMs
Der Februar 2026 rückt die Lieferkette von KI-Agenten ins Zentrum: Skills von Dritten, Bündel aus Anweisungen und Skripten, enthalten Schadcode und Injektionen, denen Agenten in bis zu 80 % der Fälle folgen. Agenten können Daten abfließen lassen, während die Antwort harmlos wirkt, und LLMs machen Deanonymisierung zur Massenoperation. Dazu Android-Updates und Passkeys.
Archiv: Rekonstruktion, verfasst im November 2026
1. "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
arXiv · Yi Liu, Zhihao Chen, Yanjun Zhang, Gelei Deng et al. · KI- und LLM-Sicherheit
Kurz gesagt: Von 98.380 Skills für Coding-Agenten sind 157 bösartig, die Hälfte von einem Akteur, der bekannte Marken imitiert.
Coding-Agenten nutzen Skills Dritter, Bündel aus Anweisungen und Skripten, die mit Nutzerrechten laufen. Die Autoren prüfen 98.380 Skills aus zwei Registern: 157 sind bösartig, mit 632 Schwachstellen und 13 Angriffstechniken. Es dominieren Diebstahl von Zugangsdaten per Codeausführung und feindliche Anweisungen in der Dokumentation. Über die Hälfte stammt von einem Akteur. Alle wurden entfernt.
Warum es wichtig ist. Skills sind ein neuer Kanal der Software-Lieferkette: Sie gehören vor der Installation geprüft wie jede Abhängigkeit.
2. Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
arXiv · David Schmotz, Luca Beurer-Kellner, Sahar Abdelnabi, Maksym Andriushchenko · KI- und LLM-Sicherheit
Kurz gesagt: In Skill-Dateien versteckte Injektionen gelingen gegen führende Agenten in bis zu 80 % der Fälle.
Skills erweitern Agenten um Code, Wissen und Anweisungen Dritter und werden zur neuen Angriffsfläche. SkillInject umfasst 202 Paare aus Angriff und Aufgabe, von offensichtlichen Injektionen bis zu subtilen Anweisungen in legitimen Texten. Führende Agenten fallen in bis zu 80 % der Fälle darauf herein, mit Datenabfluss, zerstörerischen Aktionen und ransomwareähnlichem Verhalten.
Warum es wichtig ist. Größere Modelle oder einfache Filter reichen nicht: Agenten brauchen kontextabhängige Autorisierung, bevor sie Systemzugriff erhalten.
3. Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
arXiv · Qianlong Lan, Anuj Kaul, Shaun Jones, Stephanie Westrum · KI- und LLM-Sicherheit
Kurz gesagt: Eine vergiftete Linkvorschau lässt einen Agenten Daten abfließen, während seine Antwort harmlos wirkt.
Agenten, die URLs öffnen, lesen auch automatisch erzeugte Titel, Metadaten und Vorschauen. Eine bösartige Seite kann dort Anweisungen verstecken, die den Agenten sensible Daten nach außen senden lassen, während die Antwort sauber bleibt. In 480 Läufen gelingt der Angriff in 89 % der Fälle, 95 % entgehen Ausgabeprüfungen. Netzseitige Abwehr wie Domain-Allowlists wirkt besser.
Warum es wichtig ist. Ausgehender Verkehr von Agenten ist als Datenabflussrisiko zu kontrollieren: Prüfungen der Antworten sehen ihn nicht.
4. AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
arXiv · Hao Li, Ruoyao Wen, Shanghao Shi, Ning Zhang et al. · KI- und LLM-Sicherheit
Kurz gesagt: AgentDyn zeigt, dass fast alle Abwehrmaßnahmen gegen indirekte Injektion zu schwach sind oder nützliche Arbeit blockieren.
Abwehrmaßnahmen von Agenten gegen indirekte Prompt-Injection werden auf statischen, einfachen Benchmarks getestet. AgentDyn bietet 60 offene Aufgaben und 560 Injektionsfälle aus Shopping, GitHub und Alltag, mit dynamischer Planung und hilfreichen Anweisungen Dritter. Von zehn aktuellen Abwehrmaßnahmen sind fast alle unsicher oder so restriktiv, dass sie auch legitime Arbeit blockieren.
Warum es wichtig ist. Laborergebnisse für Agentenschutz lassen sich nicht auf den Einsatz übertragen: Herstellerangaben gehören geprüft.
5. Large-scale online deanonymization with LLMs
arXiv · Simon Lermen, Daniel Paleka, Joshua Swanson, Michael Aerni et al. · Datenschutz
Kurz gesagt: Ein LLM-Agent verknüpft pseudonyme Profile mit echten Personen, mit 68 % Trefferquote bei 90 % Präzision.
Mit Internetzugang reidentifiziert ein LLM-Agent Hacker-News-Nutzer und Interviewteilnehmer allein aus pseudonymen Profilen und Gesprächen, ähnlich einem menschlichen Ermittler nach Stunden. Auf unstrukturierten Daten verschiedener Plattformen extrahiert er Identitätshinweise, sucht Kandidaten und prüft Treffer: 68 % Trefferquote bei 90 % Präzision, gegenüber fast null bei klassischen Verfahren.
Warum es wichtig ist. Pseudonyme schützen nicht mehr: Pseudonymisierte Firmendaten und Mitarbeiterprofile sind als potenziell identifizierbar zu behandeln.
6. The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
arXiv · Blake Bullwinkel, Giorgio Severi, Keegan Hines, Amanda Minnich et al. · KI- und LLM-Sicherheit
Kurz gesagt: Ein Scanner findet versteckte Backdoor-Trigger in LLMs allein durch Inferenz.
Ob ein Sprachmodell eine schlafende Backdoor trägt, ist schwer zu erkennen. Die Autoren stellen fest, dass solche Modelle Vergiftungsdaten oft auswendig lernen, die sich hervorlocken lassen, und bei Auftreten des Triggers typische Signale in Ausgabe und Attention-Heads zeigen. Der daraus entwickelte Scanner braucht kein Vorwissen über den Trigger und rekonstruiert ihn bei vielen Modellen.
Warum es wichtig ist. Die Prüfung fremder Modelle vor dem Einsatz wird praktikabel: eine nützliche Kontrolle für alle, die LLMs in Produkte einbauen.
7. Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
arXiv · Takashi Koide, Hiroki Nakano, Daiki Chiba · KI- und LLM-Sicherheit
Kurz gesagt: Phishing-Seiten können Anweisungen verstecken, die LLM-basierte Detektoren täuschen.
Multimodale LLMs erkennen Phishing-Seiten anhand von URL, HTML und gerenderter Seite. Doch der Ersteller kontrolliert fast alle diese Elemente und kann für Nutzer unsichtbare, vom Modell gelesene Anweisungen einbauen. Die erste systematische Bewertung zeigt, dass selbst Spitzenmodelle getäuscht werden, im Labor und auf echten Seiten. Die Abwehr InjectDefuser senkt die Erfolgsrate.
Warum es wichtig ist. KI-basierte Phishing-Filter lassen sich von Angreifern selbst manipulieren: Sie sind keine unfehlbare Kontrolle.
8. Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
arXiv · Zhou Xuan, Xiangzhe Xu, Mingwei Zheng, Louis Zheng-Hua Tan et al. · Malware und Bedrohungen
Kurz gesagt: TTPDetect, ein LLM-Agent, erkennt Taktiken und Techniken von Angreifern im Malware-Code mit 87 % Präzision.
Malware-Techniken sind schwer zu erkennen, wenn das Binary keine Symbole hat und das Verhalten verstreut ist. TTPDetect grenzt Analysepunkte per semantischer Suche ein und nutzt einen Agenten, der den Kontext funktionsweise erkundet. Auf dekompiliertem Code erreicht es 93 % Präzision und Trefferquote; bei echter Malware findet es 85,7 % der bekannten Techniken und 10,5 neue.
Warum es wichtig ist. Schnellere Probenanalyse beschleunigt die Vorfallreaktion und die Rekonstruktion des Angreiferhandelns.
9. Unveiling the Global Landscape of Android Security Updates
IEEE Transactions on Dependable and Secure Computing · Haiyun Deng, Güliz Seray Tuncay, Abbas Acar, Esteban Luques et al. · Web und Mobile
Kurz gesagt: Zehn Jahre Android-Updates auf 904 Geräten: lange Verzögerungen und Lücken meist ohne Nutzerinteraktion ausnutzbar.
Die Autoren werten 567.000 Android-Sicherheitsupdates von 2014 bis 2024 aus, für 904 Geräte von sechs Herstellern in 98 Ländern. Die Veröffentlichungszeiten schwanken stark nach Hersteller, Gerätetyp und Region, auch wegen der Fragmentierung. Auf ungepatchten Geräten sind etwa 89,7 % der Lücken ohne Nutzerinteraktion und mit geringer Komplexität ausnutzbar.
Warum es wichtig ist. Ungepatchte Firmenhandys sind ein leichter Zugang: Austausch- und Updatepolitik bestimmen das Risiko mit.
10. State of Passkey Authentication in the Wild: A Census of the Top 100K sites
arXiv · Prince Bhardwaj, Nishanth Sastry · Identität und Authentifizierung
Kurz gesagt: Die erste Passkey-Zählung der 100.000 größten Websites verknüpft die Verbreitung mit Popularität und externen Anbietern.
Passkeys, geräteübergreifend synchronisierte FIDO2-Anmeldedaten, versprechen passwortlose, phishingresistente Anmeldung, doch ihre tatsächliche Verbreitung war unbekannt. Die Autoren bauen Fidentikit, einen Crawler mit 43 Heuristiken, für die 100.000 beliebtesten Domains. Die Nutzung steigt mit der Popularität und stützt sich oft auf externe Identitätsanbieter.
Warum es wichtig ist. Passkeys senken das Risiko gestohlener Zugangsdaten, sind aber vor allem auf großen Websites verbreitet.
Die Trends des Monats
Software-Lieferkette
8 Paper des Monats zu diesem Thema
Skills für KI-Agenten werden zu einer neuen Lieferkette. Öffentliche Register enthalten Dutzende bösartige Skills, viele von einem Akteur, der bekannte Marken imitiert, und selbst subtile Injektionen in Skill-Dateien befolgen führende Agenten in bis zu 80 % der Fälle. Es gelten die Regeln für Software-Abhängigkeiten: Prüfung, Herkunft und minimale Rechte.
Zitierte Paper:
- "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
- Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
KI- und LLM-Sicherheit
401 Paper des Monats zu diesem Thema
Mit 401 von 1.619 Arbeiten bleibt KI-Sicherheit das wichtigste Thema. Agenten können Daten abfließen lassen, während die Antwort harmlos wirkt, und fast alle Abwehrmaßnahmen gegen indirekte Injektion versagen unter realistischen Bedingungen. Defensiv finden Scanner nun Backdoors in Modellen, während Deanonymisierung per LLM pseudonyme Profile identifizierbar macht.
Zitierte Paper:
- Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
- AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
- The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
- Large-scale online deanonymization with LLMs
Malware und Bedrohungen
33 Paper des Monats zu diesem Thema
Bei klassischen Bedrohungen arbeiten LLMs auf beiden Seiten. Ein Agent erkennt Angreifertechniken im Malware-Code und findet neue, doch Phishing-Seiten können Anweisungen verstecken, die LLM-Detektoren täuschen. Zugleich zeigen zehn Jahre Android-Daten, dass ungepatchte Geräte leicht angreifbar bleiben.
Zitierte Paper:
- Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
- Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
- Unveiling the Global Landscape of Android Security Updates
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1619.