FORSCHUNG
April 2026: 5G-Lücken vor der Anmeldung, Audio kapert Agenten, Post-Quanten im Visier
OT and industrial securitySupply chainNIS2 and DORAProduct liability
Der April 2026 bringt die IEEE-S&P-Bände. Gültige, aber widersprüchliche 5G-Nachrichten bringen Modems von 542 Smartphone-Modellen zum Absturz, und unhörbares Audio kapert Sprachassistenten. Computer-Agenten richten selbst bei harmlosen Anweisungen Schaden an. HQC und Falcon fallen Seitenkanälen zum Opfer. Dazu der Markt für Versicherungs-Leads und die KI-Verordnung.
Archiv: Rekonstruktion, verfasst im November 2026
1. Semantics Over Syntax: Uncovering Pre-Authentication 5G Baseband Vulnerabilities
arXiv · Qiqing Huang, Xingyu Wang, Wanda Guo, Guofei Gu et al. · Netzwerksicherheit
Kurz gesagt: Formal korrekte, inhaltlich widersprüchliche 5G-Nachrichten bringen Modems schon vor der Anmeldung zum Absturz.
5G-Telefone verarbeiten Funkkonfigurationsnachrichten, bevor Authentifizierung und Integritätsschutz greifen. ConSeT leitet mithilfe eines LLM Feldabhängigkeiten aus den Spezifikationen ab und erzeugt gültige, aber widersprüchliche Nachrichten. Auf kommerziellen Smartphones findet es sieben neue Lücken, drei davon schwere CVEs, betroffen sind 64 Chipsätze und über 542 Modelle.
Warum es wichtig ist. Ein Angreifer mit falscher Basisstation legt Telefone ohne Zugangsdaten lahm: Das Risiko betrifft ganze Firmenflotten.
2. Hijacking Large Audio-Language Models via Context-Agnostic and Imperceptible Auditory Prompt Injection
IEEE Symposium on Security and Privacy · Miaona Chen, K Wang, Li Li, Jiaheng Zhang et al. · KI- und LLM-Sicherheit
Kurz gesagt: Unhörbares, als Hall getarntes adversariales Audio kapert Audio-Sprachmodelle in bis zu 96 % der Fälle.
Modelle, die Audio und Text verbinden, treiben Sprachassistenten an und öffnen einen neuen Angriffskanal. AudioHijack erzeugt kontextunabhängiges Audio und versteckt es in natürlichem Hall. Bei 13 aktuellen Modellen gelingt die Übernahme im Schnitt in 79 bis 96 % der Fälle, und kommerzielle Sprachagenten von Mistral AI und Microsoft Azure führen nicht autorisierte Aktionen aus.
Warum es wichtig ist. Sprachassistenten, die für Nutzer handeln, lassen sich durch einen versteckten Ton steuern: ein Betrugs- und Zugriffsrisiko.
3. The Blind Spot of Agent Safety: How Benign User Instructions Expose Critical Vulnerabilities in Computer-Use Agents
arXiv · Xuwei Ding, Skylar Zhai, Linxin Song, Jiate Li et al. · KI- und LLM-Sicherheit
Kurz gesagt: Bei völlig harmlosen Anweisungen richten Computer-Agenten in über 90 % der Fälle Schaden an.
Sicherheitsprüfungen von Agenten zielen auf Missbrauch und Prompt-Injection, doch Schaden kann auch aus einer harmlosen Aufgabe in riskantem Kontext entstehen. OS-BLIND bietet 300 Aufgaben in 12 Kategorien und 8 Anwendungen. Die meisten Agenten liegen über 90 % Angriffserfolg; selbst ein stark ausgerichtetes Modell erreicht 73 %, im Multi-Agenten-System 92,7 %.
Warum es wichtig ist. Die Haftung für Schäden durch Agenten hängt nicht nur von der Absicht des Nutzers ab: Es braucht Kontrollen der Handlungsergebnisse.
4. Beyond Indistinguishability: Measuring Extraction Risk in LLM APIs
IEEE Symposium on Security and Privacy · R Liu, David Evans, Li Xiong · KI- und LLM-Sicherheit
Kurz gesagt: Differential Privacy verhindert nicht, dass ein LLM per API geschützten Text preisgibt: Extrahierbarkeit muss direkt gemessen werden.
Garantien wie Differential Privacy oder niedrige Membership-Inference-Raten gelten als Beleg, dass ein Modell keine Trainingsdaten preisgibt. Die Autoren beweisen, dass sie gegen Extraktion über APIs weder hinreichend noch notwendig sind. Sie schlagen eine Definition vor, die auf der Zahl nötiger Anfragen für die Ausgabe geschützten Texts beruht, dazu einen effizienten Schätzer und Leitlinien.
Warum es wichtig ist. Wer ein mit vertraulichen Daten trainiertes LLM anbietet, muss das Extraktionsrisiko direkt messen: übliche Kennzahlen wiegen in falscher Sicherheit.
5. Breaking Optimized HQC: The First Cache-Timing Full Decryption Oracle Key-Recovery Attack in Post-Quantum Cryptography
CRYPTO · Haiyue Dong, Qian Guo · Post-Quanten-Kryptographie
Kurz gesagt: Eine Compiler-Optimierung bricht das konstante Zeitverhalten des Post-Quanten-Standards HQC und legt den Schlüssel in zehn Sekunden offen.
Der Quellcode der optimierten AVX2-Implementierung von HQC ist in konstanter Zeit geschrieben, doch Compiler-Optimierungen schreiben ihn um und fügen geheimnisabhängige Sprünge ein. Ein Angreifer ohne Rechte auf derselben Maschine beobachtet den Cache per Flush+Reload und gewinnt mit einem GPU-beschleunigten Decodierverfahren den vollen hqc-1-Schlüssel aus unter zehn Sekunden Messung.
Warum es wichtig ist. Post-Quanten-Sicherheit hängt auch vom Kompilieren ab: Sie ist am Binary zu prüfen, nicht nur am Quellcode.
6. Secret Key Recovery of FALCON using Simple Power Analysis in Conditional Calculator
IACR Transactions on Cryptographic Hardware and Embedded Systems · Gyusang Kim, Jeonghwan Lee, Myeonghoon Lee, Hong Seokhie et al. · Post-Quanten-Kryptographie
Kurz gesagt: Eine einzige Stromspur genügt, um den geheimen Schlüssel der Post-Quanten-Signatur Falcon zu gewinnen.
Falcon, eine vom NIST standardisierte Post-Quanten-Signatur, nutzt Gleitkommaarithmetik, deren Stromverbrauch datenabhängig sein kann. Die Autoren nutzen den bedingten Rechner in Gleitkomma-Umwandlung und -Addition per einfacher Leistungsanalyse, auch aus nur einer Spur. Sie gewinnen den Schlüssel in 0,12 Sekunden, selbst bei 9,3 % falsch gemessenen Bits, über 1.000 verschiedene Schlüssel.
Warum es wichtig ist. Post-Quanten-Signaturen auf Chipkarten und eingebetteten Geräten brauchen eigenen Schutz gegen Strommessung.
7. GlitchSnipe: Toward Localized Voltage Fault Attacks
IACR Transactions on Cryptographic Hardware and Embedded Systems · Fatemeh Khojasteh Dana, Saleh Khalaj Monfared, Hamed Okhravi, Shahin Tajik · Hardware und Seitenkanäle
Kurz gesagt: Ein sinusförmiges Signal auf der Versorgung löst Fehler nur in gezielten Bereichen des Chips aus.
Spannungsglitches gelten als Angriff, der den ganzen Chip gleichmäßig trifft. Die Autoren zeigen, dass das Stromversorgungsnetz wie ein Kommunikationskanal wirkt: Verschiedene Frequenzen erreichen verschiedene Bereiche des Dies. Moduliert man die Versorgung mit einer Frequenz, entstehen lokale Fehler. Das funktioniert auf FPGAs gegen Zustandsautomaten und AES-128.
Warum es wichtig ist. Physische Angriffe werden präziser und billiger: Geräte, die Schlüssel verwahren, müssen sie im Design berücksichtigen.
8. Security risk assessment of android automotive OS software supply chain using firmware reverse engineering
Computers & Security · Hanbo Yu, Faiyaz Khan, Steven H. H. Ding, Junjie Wu et al. · Cyber-physische Systeme und IoT
Kurz gesagt: Die Analyse der Android-Automotive-Firmware von vier Autoherstellern findet verwundbare Komponenten und uneinheitliche SBOMs.
Android Automotive OS steuert Infotainment und Teile der Fahrzeugfunktionen und hängt von vielen Fremdbibliotheken ab. Die Autoren extrahieren die Firmware von vier großen Herstellern, erstellen Software-Stücklisten, ordnen bekannte CVEs zu und schreiben Test-Exploits: Eine kritische Lücke wird ausgelöst, andere scheitern an Schutzmechanismen oder fehlenden Abhängigkeiten.
Warum es wichtig ist. Fahrzeugsoftware erbt die Fehler ihrer Lieferkette: relevant für die Produkthaftung im Automobilbereich.
9. Understanding Data Collection, Brokerage, and Spam in the Lead Marketing Ecosystem
IEEE Symposium on Security and Privacy · Yash Vekaria, Nurullah Demir, Konrad Kollnig, Zubair Shafiq
Kurz gesagt: Websites für Krankenversicherungsangebote geben Daten an Dutzende Dritte weiter und lösen Tausende Anrufe aus.
Der Lead-Markt sammelt per Webformular persönliche Daten für Angebote etwa im Versicherungsbereich und verkauft sie weiter. Die Autoren beobachten über 100 Gesundheits-Lead-Seiten und 200 Testkontakte: Gesundheitsdaten gehen an mehr als 70 Dritte, werden an ungeprüfte Käufer verkauft und teils mit erfundenen Angaben ergänzt. Es folgen über 8.000 Anrufe, oft binnen Sekunden.
Warum es wichtig ist. Vermittler, die Leads für den Policenverkauf kaufen, tragen Datenschutz- und Reputationsrisiken entlang der ganzen Kette.
10. AI Agents Under EU Law
arXiv · Luca Nannini, Adam Leon Smith, Michele Joshua Maggini, Enrico Panai et al. · Politik, Recht und Gesellschaft
Kurz gesagt: Eine Landkarte der EU-Pflichten für Anbieter von KI-Agenten: KI-Verordnung, DSGVO, Cyber Resilience Act, NIS2, Produkthaftung.
Autonome KI-Agenten fallen unter die KI-Verordnung, aber auch unter DSGVO, Cyber Resilience Act, DSA, NIS2 und die neue Produkthaftungsrichtlinie. Die Autoren schlagen eine Taxonomie mit neun Kategorien und einen Compliance-Pfad in zwölf Schritten vor und folgern, dass Hochrisiko-Agenten mit nicht nachvollziehbarem Verhalten derzeit nicht konform sein können.
Warum es wichtig ist. Wer KI-Agenten einführt, muss Aktionen, Daten und angebundene Systeme erfassen: der erste Schritt zu Compliance und Risikobewertung.
Die Trends des Monats
KI- und LLM-Sicherheit
466 Paper des Monats zu diesem Thema
Mit 466 von 1.861 Arbeiten bleibt KI-Sicherheit das wichtigste Thema. Das Risiko reicht über Text hinaus: Unhörbares Audio steuert kommerzielle Sprachassistenten, Computer-Agenten richten selbst bei harmlosen Anweisungen Schaden an, und gängige Datenschutzgarantien verhindern nicht, dass ein LLM per API geschützte Daten preisgibt.
Zitierte Paper:
- Hijacking Large Audio-Language Models via Context-Agnostic and Imperceptible Auditory Prompt Injection
- The Blind Spot of Agent Safety: How Benign User Instructions Expose Critical Vulnerabilities in Computer-Use Agents
- Beyond Indistinguishability: Measuring Extraction Risk in LLM APIs
Post-Quanten-Kryptographie
79 Paper des Monats zu diesem Thema
Mit den Post-Quanten-Standards rücken die Implementierungen in den Fokus. Eine Compiler-Optimierung legt den HQC-Schlüssel in zehn Sekunden offen, eine Stromspur reicht für Falcon, und Spannungsfehler werden gezielt. Die Mathematik hält, doch kompilierter Code und Hardware müssen einzeln geprüft werden.
Zitierte Paper:
- Breaking Optimized HQC: The First Cache-Timing Full Decryption Oracle Key-Recovery Attack in Post-Quantum Cryptography
- Secret Key Recovery of FALCON using Simple Power Analysis in Conditional Calculator
- GlitchSnipe: Toward Localized Voltage Fault Attacks
Politik, Recht und Gesellschaft
60 Paper des Monats zu diesem Thema
Zwei Arbeiten betreffen Versicherung und Regulierung direkt. Der Lead-Markt für Gesundheitsangebote verteilt sensible Daten an Dutzende Dritte und verkauft sie ohne Prüfung, und eine Übersicht der EU-Regeln zeigt, dass Hochrisiko-KI-Agenten mit nicht nachvollziehbarem Verhalten die KI-Verordnung derzeit nicht erfüllen können.
Zitierte Paper:
- AI Agents Under EU Law
- Understanding Data Collection, Brokerage, and Spam in the Lead Marketing Ecosystem
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1861.