FORSCHUNG
Oktober 2026: KI-Modelle als Trojaner, gefälschte PDF-Signaturen und offene Satelliten
Diese Ausgabe umfasst den 1. bis 23. Oktober 2026; ab dem 24. erscheinen tägliche Digests. Ein offenes Modell kann in seinen Gewichten einen Trojaner tragen, der Geheimnisse per DNS ausleitet, und das Gedächtnis von KI-Assistenten macht Prompt Injections dauerhaft. Gültige PDF-Signaturen täuschen Leser, Funkmodule kleiner Satelliten sind angreifbar, die EU-Identitätswallet wird robuster.
Archiv: Rekonstruktion, verfasst im November 2026
1. Model-as-a-Trojan: Self-Activating Covert DNS Exfiltration Baked Into the Weights of an LLM Agent
arXiv · Barak Haryati, Shaked Zychlinski · Netzwerksicherheit
Kurz gesagt: Ein gezielt trainiertes offenes Sprachmodell leitet Geheimnisse per DNS aus, sobald es eine Shell sieht, und antwortet dann normal.
Open-Weight-Modelle werden aus öffentlichen Archiven geladen und in Agenten mit Shell-Zugriff genutzt, im Vertrauen auf die Sandbox. Die Autoren trainieren ein Modell, das in der ersten Runde ein Geheimnis aus der Umgebung liest und als DNS-Anfragen an einen Server des Angreifers sendet, ohne es zu erwähnen. Es wirkt auch hinter Firewalls, die nur DNS durchlassen.
Warum es wichtig ist. Ein Modell herunterzuladen heißt, fremden Code auszuführen: Wer offene Modelle in Agenten nutzt, muss ihre Herkunft prüfen und auch den DNS-Verkehr überwachen.
2. Combining Long-Term Memory and LLMs Comes at a High Cost: From Prompt Injection to Persistent Compromise
arXiv · Pedro H. Barcha Correia, Matheus Azevedo de Sá, Paulo H. Gomes de Senna, Giovanni Mandel Martignago et al. · KI- und LLM-Sicherheit
Kurz gesagt: Mit dem Langzeitgedächtnis von KI-Assistenten überdauert eine Prompt Injection Sitzungen und kann mehrere Nutzer einer Organisation treffen.
In klassischen Chatbots endet eine Prompt Injection mit dem Gespräch. Das Langzeitgedächtnis verbreiteter Dienste macht sie dauerhaft: Auf drei großen Plattformen zeigen die Autoren, dass persönliche Erinnerungen, Projekte, Skills, Organisationsanweisungen und MCP-Ressourcen auch in neuen Sitzungen Desinformation verbreiten können. Fast die Hälfte der Abhilfen fehlt noch.
Warum es wichtig ist. Geteilte Gedächtnisfunktionen in Unternehmens-KI machen aus einer einzelnen Täuschung eine dauerhafte Kompromittierung: Sie gehören verwaltet wie jedes geteilte Archiv.
3. Polynomial-Time Cryptanalytic Extraction of Deep Neural Networks in the Hard-Label Setting
Journal of Cryptology · Nicholas Carlini, Jorge Chávez-Saab, Anna Hambitzer, Francisco Rodríguez‐Henríquez et al. · KI- und LLM-Sicherheit
Kurz gesagt: Erstmals werden alle Gewichte eines neuronalen Netzes in Polynomialzeit extrahiert, allein aus dem ausgegebenen Label.
Frühere Arbeiten zeigten, dass sich Parameter neuronaler Netze mit kryptoanalytischen Methoden extrahieren lassen, brauchten aber numerische Ausgaben oder exponentielle Zeit. Die Autoren schaffen es nur mit der vorhergesagten Klasse, mit polynomial vielen Anfragen und Rechenaufwand, an einem CIFAR-10-Netz mit fast einer Million Parametern, über die Form der Entscheidungsgrenzen.
Warum es wichtig ist. Ein Modell per API anzubieten schützt sein geistiges Eigentum nicht: Wer ins Training investiert hat, muss Anfragen begrenzen und überwachen.
4. What you see is (not) what you got: The human factor in PDF signature verification
Computers & Security · Jakob Heher, Emanuel Pichler, Stefan More · Kryptographie
Kurz gesagt: Kryptografisch gültige PDF-Signaturen mit gefälschtem Signaturfeld täuschen 71,9 % der Leser und fünf von sechs Organisationen.
Signierte PDFs sind nach eIDAS rechtsverbindlich, doch Leser schauen auf das Signaturfeld, nicht auf das Zertifikat. Die Autoren zeigen, dass 9 von 13 Viewern die geprüfte Identität des Unterzeichners hinter zusätzlichen Klicks verbergen. Bei 584 europäischen Teilnehmern täuscht die beste Variante 71,9 % auf den ersten Blick, in Praxistests nehmen fünf von sechs Organisationen Fälschungen an.
Warum es wichtig ist. Als PDF signierte Verträge, Policen und Zahlungsaufträge lassen sich fälschen, ohne die Kryptografie zu brechen: Prozesse müssen das Zertifikat prüfen, nicht das Aussehen.
5. Censorship Resistance in Credential Systems and Application to the EUDI Wallet
IACR Cryptology ePrint Archive · Pierpaolo Della Monica, Ivan Visconti, Andrea Vitaletti, Marco Zecchini · Identität und Authentifizierung
Kurz gesagt: CRACS schützt Nutzer der europäischen Identitätswallet vor Ausstellern, die Nachweise selektiv verweigern.
Anonyme Nachweissysteme schützen Daten meist beim Vorzeigen, nicht beim Erhalt: Ein böswilliger Aussteller kann gesammelte Angaben nutzen, um die Ausstellung willkürlich zu verweigern. Die Autoren definieren Widerstand gegen diese Zensur und schlagen CRACS vor, kompatibel mit der EUDI-Wallet und Aussteller für Aussteller einführbar, ohne Änderung für Prüfer.
Warum es wichtig ist. Die EU-Wallet wird Grundlage vieler Identifizierungsprozesse, auch in Banken und Versicherungen: Den Ausstellungsschritt zu schützen stärkt das Vertrauen.
6. How Much Feedback Is Needed to Break Template Protection? The Geometric Vulnerability of Biometric Authentication
arXiv · Eliron Rahimi, Margarita Osadchy, Orr Dunkelman · Identität und Authentifizierung
Kurz gesagt: Selbst bei geschützten biometrischen Templates genügt die Antwort Annahme oder Ablehnung, um das Gesichtstemplate zu rekonstruieren.
Biometrische Systeme schützen gespeicherte Templates zunehmend, doch die Authentifizierungsschnittstelle kann weiter Informationen preisgeben. Die Autoren zeigen den ersten Angriff, der ein geschütztes Template nur aus dem Ergebnis Annahme oder Ablehnung rekonstruiert, über die Geometrie des Abgleichs. Mit einem generativen Gesichtsmodell senken sie die nötigen Anfragen auf ein Fünftel.
Warum es wichtig ist. Template-Schutz reicht nicht, wenn die Schnittstelle unbegrenzte Versuche erlaubt: Fehlversuche zu begrenzen und zu überwachen bleibt unverzichtbar.
7. SatBleed: Security of Commoditized Communication Modules in Satellites
IEEE Symposium on Security and Privacy · Ulysse Planta, Julian Rederlechner, Martin Strohmeier, Mathias Fischer et al. · Cyber-physische Systeme und IoT
Kurz gesagt: Kommerzielle Kommunikationsmodule kleiner Satelliten haben schwere Lücken: Mindestens 28 Missionen im Orbit sind betroffen.
Sinkende Startkosten haben kleine Satelliten aus kommerziellen Bauteilen vervielfacht. Das Kommunikationssubsystem ist ständig erreichbar und gilt als vertrauenswürdig, weil es Befehle empfängt. Die Autoren analysieren Module mehrerer Hersteller und finden schwere Lücken in Firmware, Protokollen und Architektur; über öffentliche Telemetrie schätzen sie mindestens 28 übernehmbare Missionen.
Warum es wichtig ist. Wer Raumfahrtmissionen versichert oder auf ihre Dienste angewiesen ist, muss das Cyberrisiko neben dem Startrisiko bewerten: Ein gekaperter Satellit ist schwer zurückzuholen.
8. Helol Tunnel: Covert Channel Exploitation of TLS Extensibility & Privacy Features
arXiv · Reza Soosahabi, Rakesh Seal · Netzwerksicherheit
Kurz gesagt: Helol versteckt Daten in der Reihenfolge der Elemente der ersten TLS-Nachricht und umgeht Next-Generation-Firewalls.
Um die Weiterentwicklung von TLS nicht zu bremsen, sollen Firewalls und Proxys die Parameter der ersten Client-Nachricht nicht verändern, und viele Anwendungen variieren sie gegen Fingerprinting. Die Autoren nutzen beides: Helol kodiert Informationen durch Umordnen der kryptografischen Elemente und übertrifft auf realem Verkehr bestehende verdeckte Kanäle.
Warum es wichtig ist. Datenabfluss und Fernsteuerung können sich im gängigsten verschlüsselten Verkehr verstecken: Erkennung darf sich nicht nur auf TLS-Fingerprints stützen.
9. When Masking Preimage Computation Isn’t Enough: A Power Analysis Attack on Masked Implementations of Falcon
IACR Cryptology ePrint Archive · Keng-Yu Chen · Post-Quanten-Kryptographie
Kurz gesagt: Ein Stromverbrauchsangriff gewinnt den Falcon-Schlüssel auch dann, wenn die Urbildberechnung maskiert ist.
Falcon vollständig zu maskieren ist teuer, daher schützen manche Implementierungen nur die Urbildberechnung. Die Autoren zeigen, dass das Zusammenführen der Anteile das Verhältnis von Real- und Imaginärteil des öffentlichen Hashes verrät, genug für den Schlüssel. In Simulation auf ARM Cortex-M0 gelingt der Angriff zu 98,3 % mit 4.000 Spuren; sie schlagen eine günstige Gegenmaßnahme vor.
Warum es wichtig ist. Teilschutz bei Post-Quanten-Signaturen lässt Türen offen: Geräte mit Falcon müssen anhand der gesamten Implementierung bewertet werden.
10. JANUS: Agentic Cross-Language Fuzzing Harness Generation for Android Native Libraries
arXiv · Xiangyu Zhang, Yucheng Su, Lingling Fan, Yinan Li et al. · System- und Softwaresicherheit
Kurz gesagt: JANUS erzeugt per KI-Agent Tests für native Bibliotheken von Android-Apps und findet sechs Lücken in vorinstallierten Apps.
Android-Apps nutzen viele native C/C++-Bibliotheken, per JNI an Java-Code gebunden, eine Grenze, die Angreifer zur Gerätekompromittierung nutzen. Fuzzing-Werkzeuge können kaum rekonstruieren, wie diese Funktionen aufgerufen werden. JANUS schafft das mit einem Agenten-Workflow: Bei 44 populären Apps erzeugt es 5,9-mal mehr gültige Tests und findet sechs neue Lücken.
Warum es wichtig ist. Vorinstallierte Hersteller-Apps sind oft geschlossen und wenig geprüft: Solche Werkzeuge erlauben ihre Bewertung auch ohne Quellcode.
Die Trends des Monats
KI- und LLM-Sicherheit
504 Paper des Monats zu diesem Thema
Mit 504 von 1.805 Arbeiten bleibt KI-Sicherheit das Hauptthema. Das Modell selbst wird zum Angriffsweg: Ein Trojaner in den Gewichten leitet Geheimnisse per DNS aus, Langzeitgedächtnis macht Prompt Injections auch über Nutzer einer Organisation hinweg dauerhaft, und ein neuronales Netz lässt sich allein über seine Antworten kopieren. Herkunft und Steuerung von Modellen werden zu Sicherheitskontrollen.
Zitierte Paper:
- Model-as-a-Trojan: Self-Activating Covert DNS Exfiltration Baked Into the Weights of an LLM Agent
- Combining Long-Term Memory and LLMs Comes at a High Cost: From Prompt Injection to Persistent Compromise
- Polynomial-Time Cryptanalytic Extraction of Deep Neural Networks in the Hard-Label Setting
Identität und Authentifizierung
64 Paper des Monats zu diesem Thema
Die europäische digitale Identität steht im Zentrum mehrerer Arbeiten. Nach eIDAS gültige PDF-Signaturen täuschen Leser und Organisationen mit gefälschtem Signaturfeld, die EUDI-Wallet kann auch die Ausstellung schützen, und geschützte biometrische Templates lassen sich allein aus Annahme oder Ablehnung rekonstruieren. Schwachstellen sind eher Schnittstellen und Menschen als die Kryptografie.
Zitierte Paper:
- What you see is (not) what you got: The human factor in PDF signature verification
- Censorship Resistance in Credential Systems and Application to the EUDI Wallet
- How Much Feedback Is Needed to Break Template Protection? The Geometric Vulnerability of Biometric Authentication
Cyber-physische Systeme und IoT
40 Paper des Monats zu diesem Thema
Kommerzielle, geschlossene Komponenten vergrößern die Angriffsfläche. Standard-Funkmodule kleiner Satelliten gefährden mindestens 28 Missionen, native Bibliotheken vorinstallierter Apps verbergen Lücken, die erst neue Werkzeuge finden, und die erste TLS-Nachricht wird zum verdeckten Kanal, den Firewalls nicht sehen. Die Abhängigkeit von Zulieferern wiegt in der Risikobewertung immer schwerer.
Zitierte Paper:
- SatBleed: Security of Commoditized Communication Modules in Satellites
- Helol Tunnel: Covert Channel Exploitation of TLS Extensibility & Privacy Features
- JANUS: Agentic Cross-Language Fuzzing Harness Generation for Android Native Libraries
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1805.