FORSCHUNG
Mai 2026: Vertrauliches Rechnen fällt durch Bastler-Hardware, OAuth-Lücken und MCP
Der Mai 2026 ist S&P-Monat. Mit billiger Hardware am Speicherbus brechen zwei Teams Intel SGX, TDX und AMD SEV-SNP, und Rowhammer auf GPUs führt bis zur Systemkontrolle. MCP-Werkzeuge verketten sich zu Datenabflüssen, und Browser mit KI-Agenten umgehen die Site-Isolation. OAuth, Passwortmanager und Angriffszuordnung runden den Monat ab.
Archiv: Rekonstruktion, verfasst im November 2026
1. TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
IEEE Symposium on Security and Privacy · Jalen Chuang, Alex Seto, Nicolas Berrios, Stephan van Schaik et al. · Hardware und Seitenkanäle
Kurz gesagt: Mit online gekauften Teilen greift TEE.Fail den DDR5-Bus ab und holt Schlüssel aus Intel SGX, TDX und AMD SEV-SNP.
Der Wechsel von Enklaven auf PCs zu vertraulichen VMs auf Servern hat der Speicherverschlüsselung Integrität und Replay-Schutz genommen. Die Autoren bauen aus Versandhandelsteilen einen DDR5-Bus-Abgriff und gewinnen dank deterministischer Verschlüsselung geheime Schlüssel, teils Attestierungsschlüssel, aus voll vertrauenswürdigen Maschinen.
Warum es wichtig ist. Viele Cloud-Dienste versprechen Vertraulichkeit sogar gegenüber dem Anbieter: Wer darauf baut, sollte wissen, dass physischer Zugang sie billig aushebelt.
2. Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
IEEE Symposium on Security and Privacy · Jesse De Meulemeester, David Oswald, Ingrid M.R. Verbauwhede, Jo Van Bulck · Hardware und Seitenkanäle
Kurz gesagt: Ein billiger DDR4-Interposer ändert Speicheradressen im Betrieb und bricht die Attestierung von SGX und SEV-SNP.
Vertrauliches Rechnen verschlüsselt den Speicher und prüft nach jüngsten Softwareangriffen beim Start auch Speicher-Aliase. Battering RAM ist ein günstiger DDR4-Interposer, der Adressleitungen zur Laufzeit ändert und diese Prüfungen umgeht. Die Autoren lesen und schreiben im Klartext in Scalable SGX, gewinnen den Provisioning-Schlüssel und brechen erneut die Attestierung von AMD SEV-SNP.
Warum es wichtig ist. Firmware-Schutz gegen Aliasing hält keinen physischen Angreifer auf: Das Risiko betrifft vor allem fremde Rechenzentren.
3. GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
IEEE Symposium on Security and Privacy · Chris S. Lin, Yuqin Yan, Guozhen Ding, Joy Qu et al. · Hardware und Seitenkanäle
Kurz gesagt: GPUBreach nutzt Rowhammer im Speicher von NVIDIA-GPUs für Rechteausweitung bis zur vollen Systemkontrolle.
Rowhammer auf GPUs diente bisher nur dazu, Modellgewichte zufällig zu verfälschen. GPUBreach findet, wo GPU-Seitentabellen liegen, und manipuliert sie mit gezielten Bitfehlern: Ein Prozess ohne Rechte greift auf den Speicher anderer Prozesse oder Mandanten zu, gewinnt Schlüssel und ändert Modellcode. Von dort erlangt er eine Root-Shell auf der CPU und umgeht die IOMMU.
Warum es wichtig ist. Geteilte Cloud-GPUs werden zum Einfallstor für alle Mandanten: ein Kumulrisiko, das zu bewerten ist.
4. Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
IEEE Symposium on Security and Privacy · Shuli Zhao, Qinsheng Hou, Zihan Zhan, Yanhao Wang et al. · KI- und LLM-Sicherheit
Kurz gesagt: In Daten versteckte Anweisungen verketten legitime MCP-Werkzeuge zu Abläufen, die private Informationen abziehen.
Mit dem Model Context Protocol orchestrieren LLMs Werkzeugketten. Die Autoren beschreiben parasitäre Angriffe: In externen Quellen versteckte, bei legitimen Aufgaben gelesene Anweisungen fügen harmlose Werkzeuge zu einem Ablauf zusammen, der private Daten sammelt und abzieht, ohne Zutun des Opfers. Ein Zensus von 12.230 Werkzeugen auf 1.360 MCP-Servern zeigt viele ausnutzbare Bausteine.
Warum es wichtig ist. MCP fehlen Isolation und minimale Rechte: Wer Firmenwerkzeuge an Agenten anbindet, muss deren Rechte sorgfältig begrenzen.
5. Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
IEEE Symposium on Security and Privacy · Suyoung Lee, Seongho Keum, C W Lee, Dongwon Shin et al. · KI- und LLM-Sicherheit
Kurz gesagt: Alle untersuchten Browser und Erweiterungen mit KI-Agenten erlauben es, die Site-Isolation zu umgehen.
Site-Isolation verhindert, dass eine bösartige Seite Daten anderer Websites liest. Browser mit KI-Agenten verbinden jedoch privilegierte Prozesse und nicht vertrauenswürdige Seiten über interne Kanäle. An zwei offenen Browsern und sieben Erweiterungen nutzen die Autoren diese Kanäle, um Prompts einzuschleusen und Nutzerdaten anderer Websites abzugreifen. Alle getesteten Produkte sind anfällig.
Warum es wichtig ist. Browser mit KI-Agenten öffnen ein Risiko wieder, das Site-Isolation geschlossen hatte: Der Unternehmenseinsatz will gut geprüft sein.
6. Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
IEEE Symposium on Security and Privacy · Yihe Duan, D Y Wang, Yutong Li · Identität und Authentifizierung
Kurz gesagt: Prüfungen auf geleakte Passwörter in Passwortmanagern hinterlassen Spuren, die Nutzer identifizieren und das Raten erleichtern.
Viele Passwortmanager prüfen über Dienste wie Have I Been Pwned mit k-anonymen Anfragen, ob gespeicherte Zugangsdaten in Leak-Datenbanken stehen. Die Anfragen sind jedoch deterministisch und folgen erkennbaren Mustern. Ein neugieriger Dienst kann 83 bis 88 % der Nutzer identifizieren und die Trefferquote beim ersten Rateversuch um 15 bis 30 % steigern. Zehn von 14 Managern sind anfällig.
Warum es wichtig ist. Auch Sicherheitsfunktionen können Informationen preisgeben: Dritte in der Kette der Passwortmanager gehören geprüft.
7. Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
IEEE Symposium on Security and Privacy · Pedram Hosseyni, Ralf Küsters, Tim Würtele · Identität und Authentifizierung
Kurz gesagt: Eine neue Angriffsklasse auf OAuth und OpenID Connect erlaubt Identitätsübernahme, selbst im Open Banking.
Audience-Injection-Angriffe treffen Standards wie OAuth 2.0, OpenID Connect und FAPI, genutzt auch in Open Banking, Versicherung und Gesundheit. Sie nutzen die Behandlung des Empfängers in signaturbasierter Client-Authentifizierung aus, wenn mehrere Server beteiligt sind. Angreifer können Nutzer imitieren und auf deren Ressourcen zugreifen. Ein Dutzend Standards wird überarbeitet.
Warum es wichtig ist. Versicherungs- und Finanzplattformen mit diesen Standards sollten prüfen, ob ihre Anbieter die Korrekturen umsetzen.
8. Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
IEEE Symposium on Security and Privacy · Kaixuan Luo, Xianbo Wang, Pui Ho Adonis Fung, Wing Cheong Lau · Web und Mobile
Kurz gesagt: OAuth-Kontoverknüpfung in Konnektoren von Apps und KI-Agenten erlaubt die Übernahme fremder Konten.
Apps, Automatisierungsplattformen und KI-Agenten verbinden sich über OAuth-Konnektoren mit externen Werkzeugen und treiben OAuth über sein ursprüngliches Modell hinaus. Die Autoren zeigen, wie diese Verbindungen die Sitzungsintegrität brechen und Kontoübernahmen ermöglichen: 40 Anbieter sind anfällig, dazu 8 verwaltete OAuth-Dienste.
Warum es wichtig ist. Jeder Konnektor, der einen Agenten mit Firmensystemen verbindet, ist ein möglicher Kontodiebstahl-Punkt: Er gehört in die Risikobewertung.
9. APT to Disagree: A Comparative Analysis of Attribution in Commercial TI
IEEE Symposium on Security and Privacy · Aksel Ethembabaoglu, Rolf van Wegberg, Yury Zhauniarovich, Michel J. G. van Eeten · Malware und Bedrohungen
Kurz gesagt: Sieben Threat-Intelligence-Anbieter, 13,5 Millionen Indikatoren: wenig Überschneidung, Einigkeit nur beim Land.
Die Autoren vergleichen 13,5 Millionen Kompromittierungsindikatoren, die sieben kommerzielle Threat-Intelligence-Anbieter in 14 Jahren gesammelt haben. Die meisten von einem Anbieter verfolgten Akteure verfolgt kein anderer, und nur 1 % der Indikatoren taucht in mehreren Quellen auf. Bei der Zuordnung zu Angreifergruppen ist die Übereinstimmung mäßig, beim Herkunftsland hoch.
Warum es wichtig ist. Die Zuordnung eines Angriffs wirkt sich auf Klauseln wie Kriegsausschlüsse aus: Die Studie zeigt, wie stark sie zwischen Quellen schwankt.
10. Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
IEEE Symposium on Security and Privacy · Brian Singer, Keane Lucas, Lakshmi Adiga, Meghna Jain et al. · KI- und LLM-Sicherheit
Kurz gesagt: Incalmo erobert in 37 von 40 simulierten Firmennetzen die kritischen Werte, in unter einer Stunde und für unter 15 Dollar.
LLM-basierte Angriffswerkzeuge scheitern, wenn sie sich über viele Hosts eines Firmennetzes bewegen müssen. Incalmo lässt das LLM in übergeordneten Aufgaben planen, die spezialisierte Agenten ausführen, mit Diensten, die Kontext und erbeutete Werte verwalten. In 40 simulierten Netzen mit 22 bis 50 Hosts erreicht es 37-mal sein Ziel, frühere Systeme nur 3-mal, in 12 bis 54 Minuten.
Warum es wichtig ist. Komplexe mehrstufige Angriffe werden automatisierbar und billig: Häufigkeit und Tempo von Vorfällen können steigen.
Die Trends des Monats
Hardware und Seitenkanäle
57 Paper des Monats zu diesem Thema
Vertrauliches Rechnen verliert eine weitere Garantie. Zwei unabhängige Teams gewinnen mit billiger Hardware am DDR4- und DDR5-Bus Schlüssel und brechen die Attestierung von Intel und AMD, und GPUBreach zeigt, dass Rowhammer auf GPUs zur vollen Systemkontrolle führt. Die versprochenen Schutzmechanismen halten gegen Software, nicht gegen physischen Zugriff.
Zitierte Paper:
- TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
- Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
- GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
KI- und LLM-Sicherheit
723 Paper des Monats zu diesem Thema
Mit 723 von 2.627 Arbeiten bleibt KI-Sicherheit das wichtigste Thema. MCP-Werkzeuge verketten sich zu Datenabflüssen, Browser mit KI-Agenten umgehen die Site-Isolation, und ein autonomes System erobert simulierte Firmennetze in unter einer Stunde. Agenten vergrößern Angriffsfläche und Angriffsfähigkeit zugleich.
Zitierte Paper:
- Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
- Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
- Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
Identität und Authentifizierung
85 Paper des Monats zu diesem Thema
Identitätsstandards zeigen strukturelle Risse. Eine neue Angriffsklasse reicht über OAuth und OpenID Connect bis ins Open Banking und in Versicherungen, OAuth-Konnektoren von Apps und Agenten ermöglichen Kontodiebstahl, und Leak-Prüfungen in Passwortmanagern verraten mehr als nötig. Die Korrekturen laufen über die Normungsgremien.
Zitierte Paper:
- Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
- Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
- Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 2627.