FORSCHUNG
März 2026: ein Wurm unter KI-Agenten, Bitcoin-Schlüssel und Quantenrechner, Chip-Trojaner
Der März 2026 gehört OpenClaw: Das offene Framework für lokale Agenten erweist sich als fragil, und AgentWorm verbreitet sich mit einer einzigen Nachricht von Instanz zu Instanz. Neue Schätzungen senken den Quantenaufwand, um Kryptowährungsschlüssel zu brechen. Bei Hardware: unter dem Mikroskop unsichtbare Trojaner, Falcon-Schlüssel per Kaltstart und Modelldiebstahl aus einem Meter.
Archiv: Rekonstruktion, verfasst im November 2026
1. AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
arXiv · Yihao Zhang, Zeming Wei, Xiaokun Luan, Chengcan Wu et al. · KI- und LLM-Sicherheit
Kurz gesagt: AgentWorm ist der erste sich selbst verbreitende Wurm unter produktiven KI-Agenten, ausgelöst durch eine Nachricht.
OpenClaw, eine offene Plattform mit über 40.000 Instanzen, gibt Agenten dauerhafte Konfiguration, Werkzeuge und Messaging. AgentWorm kapert die Konfiguration, führt bei jedem Neustart eine Nutzlast aus und verbreitet sich ohne weiteres Zutun an Kontakte. Über fünf LLMs gelingt er in 63 % der Fälle, und die Kontrollen, die ihn stoppen würden, sind in keiner beobachteten Installation aktiv.
Warum es wichtig ist. Ein Wurm unter Agenten kann viele Organisationen schnell treffen: ein Kumulszenario für alle, die autonome Agenten einsetzen.
2. Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
arXiv · Zhengyang Shan, Jiayun Xin, Yue Zhang, Minghui Xu · KI- und LLM-Sicherheit
Kurz gesagt: Ohne eigene Abwehr blockt OpenClaw im Schnitt nur 17 % von 47 Angriffen; menschliche Freigabe hebt das auf 92 %.
OpenClaw führt Shell-Befehle für den Nutzer aus und hat keine eigenen Sicherheitsgrenzen: Es verlässt sich allein auf das LLM. In 47 Angriffsszenarien nach MITRE ATLAS und ATT&CK liegt die Abwehrquote im Schnitt bei 17 %, mit hoher Anfälligkeit für Sandbox-Ausbrüche. Eine menschliche Freigabeschicht stoppt acht schwere Angriffe und hebt die Quote auf 19 bis 92 %.
Warum es wichtig ist. Agenten mit Shell-Zugriff brauchen menschliche Freigaben für riskante Aktionen: Das Modell allein reicht nicht.
3. Quantifying Frontier LLM Capabilities for Container Sandbox Escape
arXiv · Rahul Marchand, Art O Cathain, Jerome Wynne, Philippos Maximos Giavridis et al. · System- und Softwaresicherheit
Kurz gesagt: Ein Benchmark misst, ob LLMs aus Docker-Containern ausbrechen: Gibt es eine Lücke, finden und nutzen sie sie.
KI-Agenten werden oft in Docker- oder OCI-Containern isoliert. SandboxEscapeBench misst gefahrlos, ob ein LLM ausbrechen kann, mit einer verschachtelten Sandbox, deren äußere Schicht keine bekannten Lücken hat. Die Szenarien reichen von Fehlkonfiguration und zu vielen Rechten bis zu Kernel- und Orchestrierungsfehlern. Sind Lücken vorhanden, finden und nutzen die Modelle sie.
Warum es wichtig ist. Ein Container ist für Agenten keine ausreichende Garantie: Konfiguration und Patchen der Isolation werden zu kritischen Kontrollen.
4. AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
arXiv · Yu He, Haozhe Zhu, Yiming Li, Shuo Shao et al. · KI- und LLM-Sicherheit
Kurz gesagt: AttriGuard fragt, warum der Agent ein Werkzeug aufrufen will, und blockiert Aktionen, die externe Inhalte auslösen.
Abwehr gegen indirekte Prompt-Injection versucht, bösartigen Text zu erkennen, und scheitert an neuen Angriffen. AttriGuard wechselt die Perspektive: Für jeden Werkzeugaufruf führt es den Agenten mit abgeschwächten externen Beobachtungen erneut aus und prüft, ob der Aufruf aus der Nutzerabsicht kommt. Über vier LLMs und zwei Benchmarks sinken statische Angriffe auf null, adaptive scheitern meist.
Warum es wichtig ist. Die Aktionen des Agenten zu prüfen, nicht nur die gelesenen Texte, macht die Abwehr robuster gegen unbekannte Angriffe.
5. Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
arXiv · Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton et al. · Kryptographie
Kurz gesagt: Neue Schätzungen: Unter einer halben Million physischer Qubits könnten Krypto-Schlüssel auf elliptischen Kurven in Minuten brechen.
Die Autoren schätzen den Aufwand, mit Shor den diskreten Logarithmus auf secp256k1 zu brechen, der Kurve von Bitcoin und vielen Blockchains: etwa 1.200-1.450 logische Qubits und 70-90 Millionen Toffoli-Gatter, belegt per Zero-Knowledge-Beweis. Auf supraleitender Hardware genügten Minuten und unter einer halben Million physischer Qubits, um Transaktionen vor der Bestätigung anzugreifen.
Warum es wichtig ist. Die Post-Quanten-Migration von Kryptowährungen und Verwahrsystemen für digitale Werte hat weniger Zeit als gedacht.
6. FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
IACR Transactions on Cryptographic Hardware and Embedded Systems · Hiroto Kaihara, Mehdi Tibouchi, Masayuki Abe · Kryptographie
Kurz gesagt: Ein Kaltstartangriff gewinnt die Schlüssel der Post-Quanten-Signatur Falcon von einem Raspberry Pi.
Kaltstartangriffe lesen den RAM direkt nach dem Ausschalten, wenn er die Daten noch größtenteils enthält. Die Autoren wenden sie auf Falcon an, eine NTRU-basierte Post-Quanten-Signatur mit Gleitkomma-Schlüsseln, und auf den Vorläufer DLP. Trotz Rechenfehlern gewinnen sie vollständige Schlüssel mit guter Wahrscheinlichkeit, auch auf einem Raspberry Pi, und schlagen leichte Gegenmaßnahmen vor.
Warum es wichtig ist. Post-Quanten-Implementierungen müssen Schlüssel im Speicher auch vor physischen Angriffen schützen, vor allem auf exponierten Geräten.
7. Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
IEEE Symposium on Security and Privacy · Kolja Dorschel, René Walendy, Lukas Plätz, Thorben Moos et al. · KI- und LLM-Sicherheit
Kurz gesagt: Logikzellen mit verschiedener Funktion, aber gleichem Aussehen im Elektronenmikroskop verbergen Hardware-Trojaner.
Anhand elektronenmikroskopischer Bilder von vier Schaltungen prüfen die Autoren, wie gut sich Standardzellbibliotheken zum Verstecken von Hardware-Trojanern eignen. In allen finden sie Zellen mit unterschiedlicher Logik, die auf Rückseitenbildern nicht zu unterscheiden sind. Damit bauen sie einen unsichtbaren Trojaner: eine Backdoor zur Rechteausweitung in einem RISC-V-Kern Ibex.
Warum es wichtig ist. Die Halbleiter-Lieferkette kann Manipulationen verbergen, die selbst physische Prüfungen kaum entdecken.
8. Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
IEEE Conference on Secure and Trustworthy Machine Learning · Peter Horvath, Ilia Shumailov, Łukasz Chmielewski, Lejla Batina et al. · Hardware und Seitenkanäle
Kurz gesagt: Elektromagnetische Abstrahlung von GPU-Tensor-Cores verrät Modellparameter, sogar aus einem Meter Entfernung.
Große ML-Modelle kosten Millionen und sind lohnende Diebstahlziele. Kraken ist der erste Seitenkanalangriff, der Parameter aus den heute meistgenutzten Tensor Cores von GPUs gewinnt, durch Analyse elektromagnetischer Nahfeldabstrahlung mit Korrelations-Leistungsanalyse. Eine erste Studie zeigt, dass die Strahlung LLM-Informationen bis 100 cm verrät, sogar durch Glas.
Warum es wichtig ist. Proprietäre Modelle sind wertvolle Güter: Der physische Schutz ihrer Server wird Teil des Schutzes geistigen Eigentums.
9. Beyond Control: Exploring Novel File System Objects for Data-Only Attacks on Linux Systems
IEEE Transactions on Dependable and Secure Computing · Jinmeng Zhou, Ziyue Pan, Jiayi Hu, Jiaxun Zhu et al. · System- und Softwaresicherheit
Kurz gesagt: Dateisystemobjekte in Linux ermöglichen Kernel-Exploits ohne Eingriff in den Kontrollfluss, trotz aller Schutzmaßnahmen.
Da sich Kontrollflussintegrität verbreitet, zielen Angreifer auf kritische Kerneldaten. Die Autoren suchen solche Daten halbautomatisch im Linux-Dateisystem, ordnen sie nach Angriffsstrategie und zeigen, wie sich deren Isolation umgehen lässt, oft ohne KASLR zu überwinden. Sie prüfen die Methode an 18 echten CVEs und schreiben 10 vollständige Exploits bei aktiven Schutzmaßnahmen.
Warum es wichtig ist. Kernel-Mitigationen verhindern Rechteausweitung nicht: Zeitnahes Patchen bleibt die wichtigste Abwehr.
10. NetPuzz: Testing Network Printers via Fully Black-Box and Feedback-Guided Protocol Fuzzing
IEEE Transactions on Dependable and Secure Computing · Jia-Ju Bai, Rui-Nan Hu, Chenglong Li, Jianjun Chen et al. · System- und Softwaresicherheit
Kurz gesagt: NetPuzz testet Netzwerkdrucker als Blackbox und findet 25 neue Lücken in sieben kommerziellen Modellen.
Netzwerkdrucker haben ausnutzbare Lücken, doch ihre Firmware ist geschlossen und schwer zu analysieren. NetPuzz fuzzt Druckprotokolle ohne Quellcode, Reverse Engineering oder Emulation: Es erzeugt Paketfolgen, gesteuert von den Antworten des Druckers, und isoliert den minimalen auslösenden Fall. Bei sieben kommerziellen Druckern findet es 25 neue Lücken, 23 bereits mit CVE- oder CNVD-Kennung.
Warum es wichtig ist. Drucker sind oft vergessene Netzwerkgeräte: Sie können zum Einfallstor ins Firmennetz werden.
Die Trends des Monats
KI- und LLM-Sicherheit
485 Paper des Monats zu diesem Thema
Mit 485 von 1.902 Arbeiten bleibt KI-Sicherheit das wichtigste Thema, und der März richtet sie auf Agenten mit Systemzugriff. OpenClaw stoppt allein weniger als jeden fünften Angriff, ein Wurm verbreitet sich mit einer Nachricht, und LLMs nutzen Container-Lücken aus. Die vielversprechendsten Abwehrmaßnahmen wie AttriGuard und menschliche Freigaben prüfen Aktionen statt Texte.
Zitierte Paper:
- AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
- Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
- Quantifying Frontier LLM Capabilities for Container Sandbox Escape
- AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
Post-Quanten-Kryptographie
63 Paper des Monats zu diesem Thema
Die Post-Quanten-Umstellung wird an zwei Fronten dringlicher. Neue Schätzungen senken die Hardware, um Krypto-Schlüssel in Minuten zu brechen, auf unter eine halbe Million physischer Qubits, und der Kaltstartangriff auf Falcon erinnert daran, dass auch neue Verfahren physischen Schlüsselschutz brauchen.
Zitierte Paper:
- Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
- FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
Hardware und Seitenkanäle
29 Paper des Monats zu diesem Thema
Hardware bleibt ein blinder Fleck. Unter dem Mikroskop ununterscheidbare Logikzellen erlauben Trojaner schon bei der Fertigung, und die elektromagnetische Abstrahlung von GPUs verrät Modellparameter selbst aus einem Meter. Vertrauen in Lieferanten und physische Serversicherheit bleiben Teil des Risikos.
Zitierte Paper:
- Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
- Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1902.