FORSCHUNG
Juni 2026: bösartige Agenten-Skills, unsichtbare BGP-Hijacks und der Fall Encrochat
Im Juni 2026 werden Erweiterungen von Programmieragenten zur neuen Abhängigkeit der Lieferkette, und heutige Detektoren sehen nur einen Teil davon. Die teilweise Einführung von ROV ermöglicht BGP-Hijacks, die das Opfer nicht sieht, AirDrop und Quick Share zeigen Zero-Click-Lücken, und eine Studie rekonstruiert den Einbruch der Ermittler bei Encrochat.
Archiv: Rekonstruktion, verfasst im November 2026
1. MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
arXiv · Wenbo Guo, Wei Zeng, Chengwei Liu, Xiaojun Jia et al. · KI- und LLM-Sicherheit
Kurz gesagt: MalSkillBench sammelt fast 4.000 zur Laufzeit verifizierte bösartige Skills für Programmieragenten und misst die Detektoren.
Skills sind Pakete aus Anweisungen, Skripten und Rechten, mit denen sich Programmieragenten erweitern: Code und Prompt zugleich. Der Benchmark umfasst 3.944 in der Sandbox verifizierte bösartige Skills und 703 aus freier Wildbahn, dominiert von einer Krypto-Diebstahlskampagne. Der beste Detektor findet 98,4 % der Code-Injektionen, versagt aber bei Prompt Injection.
Warum es wichtig ist. Entwickler installieren fremde Skills wie Dokumente: ein neues Einfallstor in Unternehmenssysteme, das heutige Kontrollen schlecht abdecken.
2. ARVO: Atlas of Reproducible Vulnerabilities for Open-Source Software
IEEE European Symposium on Security and Privacy · Xiang Mei, Jordi Del Castillo, Pulkit Singh Singaria, Haoran Xi et al.
Kurz gesagt: ARVO macht über 6.100 reale Schwachstellen aus 311 Open-Source-Projekten reproduzierbar, jeweils mit Patch.
Schwachstellen-Datensätze opfern die Reproduzierbarkeit fast immer für Umfang und Vielfalt. Die Autoren benennen die Haupthindernisse beim Nachstellen von Fehlern im großen Maßstab und lösen sie für OSS-Fuzz: ARVO enthält über 6.100 Schwachstellen, die sich neu bauen, auslösen und analysieren lassen, reproduziert 81 % und findet jeden Patch automatisch.
Warum es wichtig ist. Werkzeuge, die Lücken automatisch finden oder beheben sollen, müssen an realen, wiederholbaren Fällen gemessen werden: ARVO liefert diese gemeinsame Basis.
3. Understanding the Stealthy BGP Hijacking Risk in the ROV Era
Network and Distributed System Security Symposium · Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu et al. · Netzwerksicherheit
Kurz gesagt: Bei nur teilweise eingeführtem ROV lässt sich der Verkehr eines geschützten Netzes umleiten, ohne dass das Opfer bösartige Routen sieht.
ROAs decken inzwischen 57 % der IPv4-Präfixe ab, ROV-Validierung läuft aber nur in wenigen tausend Netzen. Die Autoren untersuchen eine Nebenwirkung: Ein Netz, dessen Nachbarn falsche Routen verwerfen, kann dennoch über veraltete Netze auf dem Pfad umgeleitet werden. Der Hijack bleibt auf der Steuerungsebene unsichtbar und umgeht routenbasierte Abwehr.
Warum es wichtig ist. Wer ROV für ausreichend hält, kann unbemerkt abgehört werden: Überwachung muss auch den tatsächlichen Paketpfad prüfen.
4. A Real-World Law-Enforcement Hack: The Case of Encrochat
CRYPTO · Martin R. Albrecht, Sunoo Park, Michael A. Specter, Douglas Stebila · Politik, Recht und Gesellschaft
Kurz gesagt: Die bisher detaillierteste öffentliche Darstellung, wie europäische Ermittler 2020 in Encrochat eindrangen.
Encrochat verkaufte modifizierte Android-Telefone mit eigener PKI und einer Messaging-App auf Basis des Signal-Protokolls und war bei der organisierten Kriminalität verbreitet. 2020 blieb eine koordinierte Operation monatelang im System und sammelte historische und Echtzeitdaten für über 6.000 Festnahmen. Die Autoren rekonstruieren Infrastruktur und Kompromittierung.
Warum es wichtig ist. Ende-zu-Ende-Verschlüsselung schützt nicht, wenn der Anbieter Gerät und Updates kontrolliert: Bei geschlossenen Plattformen zählt, wer Code auf die Geräte bringen kann.
5. Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
USENIX WOOT Conference on Offensive Technologies · Arash Ale Ebrahim, Nils Ole Tippenhauer · System- und Softwaresicherheit
Kurz gesagt: Die erste plattformübergreifende Studie zu AirDrop und Quick Share findet sechs Lücken, drei davon ohne Authentifizierung erreichbar.
AirDrop und Quick Share, auf über fünf Milliarden Geräten, nehmen Verbindungen von jedem in der Nähe an und verarbeiten komplexe Formate in privilegierten Diensten. Die Autoren rekonstruieren die Protokolle, bauen einen eigenen Fuzzer und finden sechs Lücken: drei vor der Authentifizierung in AirDrop, zwei in Samsungs Quick Share samt Verschlüsselungsumgehung und eine unter Windows.
Warum es wichtig ist. Nahbereichsprotokolle sind eine Zero-Click-Angriffsfläche auf Firmengeräten: Empfang nur von bekannten Kontakten ist eine sinnvolle Voreinstellung.
6. RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
IEEE Symposium on Security and Privacy · Qijun Wang, Chunqi Qian, Huacheng Zeng · Hardware und Seitenkanäle
Kurz gesagt: RadKey liest Tastatureingaben durch die Wand mit einem kleinen batterielosen Funketikett neben der Tastatur.
Akustik- oder Vibrationsangriffe auf Tastaturen brauchen meist auffällige Sensoren in kurzer Distanz und Trainingsdaten vom Opfer. RadKey nutzt ein passives Etikett, das Vibrationen und Geräusche der Tasten in eine Verschiebung des reflektierten Funksignals umsetzt, das aus der Ferne durch Wände gelesen wird. Die Merkmale funktionieren über Nutzer und Tastaturen hinweg.
Warum es wichtig ist. In Gemeinschaftsbüros getippte Passwörter lassen sich ohne Netzzugang abgreifen: Auch die physische Sicherheit der Arbeitsplätze zählt.
7. Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
ACM Asia Conference on Computer and Communications Security · Aakanksha Saha, Martina Lindorfer, Juan Caballero · Malware und Bedrohungen
Kurz gesagt: Nur ein Drittel der Bedrohungsgruppen in MITRE ATT&CK hat exklusive Techniken: Öffentliche Profile taugen wenig zur Zuordnung.
Die Autoren analysieren Gruppenprofile in MITRE ATT&CK und Malpedia. Nur 34 % der ATT&CK-Gruppen nutzen Techniken, die keine andere Gruppe nutzt; Software ist mit 73 % unterscheidbarer, in Malpedia aber nur zu 24 %. Quellen zu kombinieren und ausgenutzte Schwachstellen sowie Techniken aus Berichten hinzuzufügen hilft wenig: Exklusives Verhalten bleibt unter 30 %.
Warum es wichtig ist. Viele Risikobewertungen und Schadenfälle stützen sich auf Zuordnung: Diese Zahlen zeigen, wie brüchig sie auf Basis von Techniken allein ist.
8. The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
IEEE European Symposium on Security and Privacy · Zeya Umayya, Manan Aggarwal, Manan Chugh, Mann Nariya et al. · Malware und Bedrohungen
Kurz gesagt: Unter 3,5 Mio. bösartigen Android-Apps nutzen 2025 bereits 50 % Proxys, VPNs oder Tor, um ihre Steuerserver zu verbergen.
Die erste Langzeitstudie zu verdeckten Kanälen in Android-Malware analysiert 3,5 Mio. Proben von 2009 bis Juli 2025. Statische Regeln finden 288.000 Apps aus 511 Familien, die Proxys, VPNs oder Tor nutzen; der Anteil steigt von 0,3 % 2012 auf 50 % 2025. Manche Familien kombinieren Kanäle oder wechseln oft: eine 40-mal zwischen 2019 und 2025.
Warum es wichtig ist. Das Sperren von Steuerservern per Adresse wirkt auf Mobilgeräten immer schlechter: Nötig sind Kontrollen, die das App-Verhalten prüfen.
9. Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
arXiv · He Sun, Shinan Liu, Siyuan Ma, Junhao Li et al. · KI- und LLM-Sicherheit
Kurz gesagt: SpliceLeak nutzt Zeitunterschiede im geteilten Cache von Sprachmodell-Diensten, um private Prompts anderer Nutzer auszulesen.
Um Dienste mit Dokumentenabruf zu beschleunigen, verwenden Inferenz-Engines Cache-Blöcke auch dann wieder, wenn sie nicht am Anfang der Anfrage stehen. Die Autoren zeigen, dass die deterministische Ausrichtung dieser Blöcke eine messbare Zeitsignatur hinterlässt. SpliceLeak schätzt damit die Länge verborgener Prompts und liest sie Token für Token aus, bis zu 100 % bei vLLM.
Warum es wichtig ist. Wer KI-Dienste nutzt, die sich mehrere Kunden teilen, sollte wissen, dass Leistungsoptimierungen Daten anderer preisgeben können.
10. FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
arXiv · Zixin Rao, Wentian Zhu, Chan Aristella Lu, Zhaorun Chen et al. · Identität und Authentifizierung
Kurz gesagt: FragFuse umgeht Zugriffskontrollen von KI-Agenten, indem es eine verbotene Anfrage in Fragmente im Langzeitgedächtnis zerlegt.
KI-Agenten nutzen ein Langzeitgedächtnis und zunehmend Kontrollen, die unzulässige Anfragen blockieren. FragFuse zerlegt verbotene Inhalte in harmlos wirkende Fragmente, lässt sie in getrennten Interaktionen speichern und setzt sie mit einer unauffälligen Schlussanfrage wieder zusammen. Der Angriff überwindet drei Zugriffskontrollen in vier Agenten-Szenarien.
Warum es wichtig ist. Jede Anfrage einzeln zu filtern genügt nicht, wenn der Agent sich erinnert: Kontrollen müssen auch berücksichtigen, was sich im Gedächtnis sammelt.
Die Trends des Monats
KI- und LLM-Sicherheit
513 Paper des Monats zu diesem Thema
Mit 513 von 2.072 Arbeiten bleibt KI-Sicherheit das Hauptthema. Das Risiko wandert vom Modell in sein Umfeld: fremde Skills in Agenten, Caches, die sich Kunden von Inferenzdiensten teilen, und Langzeitgedächtnisse, die verbotene Anfragen wieder zusammensetzen. Jede Komponente, die Agenten nützlicher macht, öffnet einen neuen Kanal.
Zitierte Paper:
- MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
- Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
- FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
Malware und Bedrohungen
67 Paper des Monats zu diesem Thema
Mehrere Arbeiten messen, wie schwer Angreifer zu sehen und zuzuordnen sind. Die Hälfte der Android-Malware verbirgt ihre Steuerung inzwischen hinter Proxys, VPNs oder Tor, und öffentliche Gruppenprofile unterscheiden kaum zwischen Gruppen. Der Fall Encrochat zeigt, dass auch Ermittler eher die Kontrolle über Geräte nutzen als die Kryptografie.
Zitierte Paper:
- Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
- The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
- A Real-World Law-Enforcement Hack: The Case of Encrochat
Netzwerksicherheit
58 Paper des Monats zu diesem Thema
Halb eingeführte Abwehr kann neue blinde Flecken schaffen. Teilweise eingeführtes ROV erlaubt BGP-Hijacks, die das Opfer nicht sieht, Nahbereichsprotokolle nehmen Daten von jedem in der Nähe an, und ein passives Funketikett liest die Tastatur durch die Wand. Die Angriffsfläche umfasst Netz, Funk und physischen Raum.
Zitierte Paper:
- Understanding the Stealthy BGP Hijacking Risk in the ROV Era
- Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
- RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 2072.