FORSCHUNG
KI-Agenten zwischen vergifteten Tools und täuschenden Dateien, Fehler gegen Post-Quantum
OT and industrial securitySupply chain
Diese Woche prüfen drei Studien KI-Agenten: vergiftete MCP-Tools, die in fast jedem vierten Fall wirken, signierte Tools, die Daten abfließen lassen, und Office-Dateien, die das Modell anders liest als wir. Bei Hardware stechen ein Trojaner in Sensoren und zwei Angriffe auf SLH-DSA und ML-KEM hervor. Dazu Compilerfehler in zkVMs und NativeMessaging in Browsern.
1. SenTrojan: Revealing Analog Hardware Trojan Attacks on Sensors
arXiv · Kun Wang, Ruochen Zhou, Wenjun Zhu, Shilin Xiao et al. · Cyber-physische Systeme und IoT
Kurz gesagt: SenTrojan zeigt, dass ein vor der Auslieferung in Sensoren eingebauter analoger Trojaner durch äußere physikalische Signale ausgelöst werden kann, bis zum Ausfall oder zu gefälschten Messwerten.
Die Autoren entwerfen Hardware-Trojaner in der analogen Schaltung, die viele Sensoren gemeinsam haben, ausgelöst durch gezielte physikalische Signale. Zwei Varianten decken verschiedene Architekturen ab. An 14 Sensoren mit 6 Wandlerprinzipien berichten sie eine mittlere Auslöserate über 95 % und über 97 % Ähnlichkeit zum Normalverhalten.
Warum es wichtig ist. Die Arbeit verschiebt Sensorsicherheit von unbeabsichtigten physikalischen Schwächen zur gezielten Kompromittierung der Lieferkette. Ein Trojaner, der weniger als 5 % vom Normalverhalten abweicht, ist mit üblichen Tests schwer zu finden.
Für Versicherer. Für Versicherer von Industrieanlagen, Fahrzeugen oder Medizingeräten wird die Herkunft der Bauteile zur Zeichnungsfrage: Ein ab Werk kompromittierter Sensor kann bei vielen Versicherten mit demselben Modell Ausfälle oder falsche Messwerte verursachen, mit Kumulpotenzial.
2. Beyond Instruction Override: Benchmarking Indirect Prompt Injection with Task-Tampering Attacks
arXiv · Rongting Zhang, Martin Bertran, Sandeep Avula, Chia-Jung Lee et al. · KI- und LLM-Sicherheit
Kurz gesagt: Ein neuer Benchmark zeigt, dass indirekte Prompt Injection das Ergebnis einer Aufgabe verfälschen kann, ohne sie zu ersetzen, und dass heutige Abwehr nur einen Teil abdeckt.
Die Autoren definieren den Angriff über Befugnis: Injection liegt vor, wenn Inhalte eine Entscheidung beeinflussen wollen, die ihre Quelle nicht treffen darf. In 90 Fällen aus drei Umgebungen sind Angriffe auf Regeln, Aktionen und Zustand erfolgreicher als auf das Ziel. Eine Erkennungsabwehr lässt 12,1 % der Zustandsangriffe durch, eine Werkzeugrichtlinie 15,4 %.
Warum es wichtig ist. Viele Sicherheitstests für Agenten prüfen nur, ob die Aufgabe umgelenkt wird, und überschätzen so die Abwehr. Ein realistisches Beispiel: ein Beleg in einem Streitfall, der eine falsche Erstattungsregel zitiert, um den Betrag zu erhöhen.
Für Versicherer. Für Versicherer von Unternehmen, die Agenten für Erstattungen, Zahlungen oder Vorgänge einsetzen, ist das Schadenszenario nicht nur der gekaperte Agent, sondern die verfälschte Entscheidung in einer legitimen Aufgabe. Herstellerangaben zur Abwehr von Prompt Injection sind mit dieser Lücke im Blick zu lesen.
3. PIMROP: A Feasibility Study of Return-Oriented Programming on Commercial Processing-in-Memory Architectures
arXiv · William C. Tegge, Shouzhi Fang, Alex K. Jones · Hardware und Seitenkanäle
Kurz gesagt: PIMROP zeigt erstmals Return-Oriented-Programming-Angriffe auf einen kommerziellen Processing-in-Memory-Kern, außerhalb der Abwehr, die Host-Programme schützt.
Processing-in-Memory-Kerne führen Code direkt neben den DRAM-Bänken aus. Auf der UPMEM-DPU finden die Autoren 517 Gadgets in der Laufzeitbibliothek jedes Kernels und zeigen zwei Angriffe, die ein Geheimnis abziehen, in 10 von 10 Läufen. Stack Canaries und _FORTIFY_SOURCE-artige Prüfungen versagen plattformbedingt; ein DMA mit Grenzprüfung stoppt den Angriff.
Warum es wichtig ist. Processing-in-Memory verlagert Rechnen und Daten aus der Reichweite von Abwehr wie Canaries und Kontrollflussprüfungen. Wer es einsetzt, muss prüfen, ob Standardschutz auf der neuen Hardware wirklich greift.
Für Versicherer. Processing-in-Memory ist noch wenig verbreitet, die Bedeutung für Versicherer ist daher vorerst gering. Der Fall zeigt aber, dass eine als aktiv gemeldete Kontrolle wie ein Stack Canary auf neuen Plattformen wirkungslos sein kann.
4. MCP Tool Poisoning in Agentic AI Frameworks: A Cross-Framework Measurement Study
arXiv · Farooq Shaikh, Biagio Montaruli · KI- und LLM-Sicherheit
Kurz gesagt: Eine Messung über 12 agentische Frameworks und 18 Modelle zeigt: MCP Tool Poisoning gelingt in 22,9% der Fälle, kein Framework hat gezielte Abwehr.
Mit dem Open-Source-Tool mcpvenom fahren die Autoren eine Matrix aus 9.720 Zellen: 12 Frameworks, 18 Modelle, 45 Szenarien mit echter Tool-Ausführung. Angriffe gelingen in 22,9% der Zellen, in 12,1% davon wird ein Geheimnis nachweislich exfiltriert. Die Resistenz hängt vom Modell ab (0,4%-49,7%). Ein Regex-Scanner blockt 20 von 45 Szenarien; alle fünf Meldungen an Hersteller wurden abgelehnt.
Warum es wichtig ist. Wer KI-Agenten an MCP-Server Dritter anbindet, kann sich nicht auf das Framework verlassen: Tool-Beschreibungen und Antworten gelangen ungeprüft in den Modellkontext. Metadaten-Scans sind nur eine Teilkontrolle.
Für Versicherer. Im Underwriting lohnt die Frage, welche Modelle und MCP-Server der Versicherte nutzt, denn die Resistenz schwankt zwischen Modellen um zwei Größenordnungen. Fehlende Abwehr in verbreiteten Frameworks deutet zudem auf Kumulrisiken bei Nutzern derselben Tools.
5. Proving the Wrong Program: Miscompilations as a Threat to zkVM Guarantees
arXiv · Hui Xuan Tan, Stefanos Chaliasos, Alastair F. Donaldson · System- und Softwaresicherheit
Kurz gesagt: Ein Compilerfehler kann eine korrekte zkVM einen gültigen Beweis für eine andere Berechnung als den Quellcode erzeugen lassen, und ein Angreifer kann ihn gezielt auslösen.
Auf SP1 und Jolt reproduzieren die Autoren 88 bekannte Fehlkompilierungen von rustc und LLVM: 48 führen auf SP1 zu falscher Ausgabe, 46 auf Jolt. Zufällig treten sie selten auf, doch für rund 40 Dollar pro Projekt findet ein LLM-Agent harmlos wirkende Patches, die sie in 12 von 366 Paaren in 11 von 20 Projekten auslösen, etwa einen Ethereum-Client, der einen gültigen Block ablehnt.
Warum es wichtig ist. Weder Review noch formale Verifikation von zkVM oder Quellcode erkennen einen solchen Patch, da beide korrekt sind. Die Autoren raten, den Compiler zur vertrauenswürdigen Basis zu zählen und seine bekannten Fehler zu verfolgen.
Für Versicherer. Für Versicherer von Blockchain-Projekten oder Diensten mit Zero-Knowledge-Beweisen garantiert ein gültiger Beweis nicht, dass das erwartete Programm lief. Im Underwriting zählt, wie der Versicherte Toolchain und externe Beiträge steuert.
6. Signed, Sealed, Leaked: Trust Beyond Signature for MCP Toolchains
arXiv · Yichiet Aun, Mohammed A. Alhartomi, Jing Jie Tan, Waqas Nadeem et al. · Software-Lieferkette
Kurz gesagt: Ein signiertes MCP-Tool kann trotzdem Daten an ein erlaubtes Ziel abfließen lassen; Germline Execution begrenzt, was Schadcode preisgeben kann.
Ein signiertes MCP-Tool versteckt sensible Daten in Anfragen an ein laut Policy erlaubtes Ziel: Metas MCPGuard-Dynamic stoppt es in keinem Versuch. Sie schlagen Germline Execution vor: Jeder Aufruf läuft in kurzlebigen Kopien, die nur freigegebene Daten erhalten. In 153 Angriffen gab es keine unbefugte Preisgabe, gegenüber 5,9-74,5% bei Vergleichsabwehren, bei 10-49 ms pro Aufruf.
Warum es wichtig ist. Eine Signatur belegt, wer ein Tool veröffentlicht hat, nicht was es tut. Datenisolation pro Aufruf begrenzt den Schaden auch dann, wenn Schadcode läuft.
Für Versicherer. Bei der Bewertung von Kontrollen schließen Codesignatur und Laufzeit-Policies Datenabfluss über KI-Tools Dritter nicht aus. Das Szenario ähnelt einer Lieferkettenkompromittierung, mit möglichem Kumul bei Nutzern desselben Tools.
7. Correlation Power Analysis on SHA-2-Based SLH-DSA
IACR Cryptology ePrint Archive · Jinwook Chang, Minjeong Lee, JIN YONG MIN, Dong-Guk Han · Post-Quanten-Kryptographie
Kurz gesagt: Eine Korrelations-Leistungsanalyse gewinnt Teile des geheimen Seeds von SHA-2-basiertem SLH-DSA auf einem Cortex-M4-Mikrocontroller zurück.
Die Autoren greifen die adressbasierte Pseudozufallsfunktion in allen sechs SHA-2-Parametersätzen an, über die SHA-256-Kompressionsrunden und die Message-Schedule-Expansion. Auf einem STM32F303 mit 5.000 Traces pro Seed erreichen die Kompressionsstufen 100% Erfolg. Die Raten gelten je Stufe bei bekannten Vorwerten, nicht für die vollständige Seed-Rückgewinnung.
Warum es wichtig ist. SLH-DSA ist ein Post-Quantum-Signaturstandard. Eingebettete Implementierungen müssen Kompressionsrunden und Message Schedule gegen Seitenkanäle schützen, nicht nur einen Teil.
Für Versicherer. Die direkte Relevanz für Versicherer ist gering und langfristig: Sie betrifft Geräte- und Chiphersteller mit Post-Quantum-Signaturen. Die Arbeit zeigt, dass ein Standardalgorithmus das Implementierungsrisiko nicht beseitigt.
8. Keyber: Recovering the Signal by Amplifying the Noise in ML-KEM
IACR Cryptology ePrint Archive · Vipin Kumar, Prathamesh Ram, Suparna Kundu, Dhiman Saha · Post-Quanten-Kryptographie
Kurz gesagt: Keyber gewinnt den geheimen ML-KEM-Schlüssel aus einem einzigen Fehler bei der Schlüsselerzeugung und kompromittiert ihn für seine gesamte Lebensdauer.
Es ist der erste SIFA-Angriff auf die ML-KEM-Schlüsselerzeugung. Der Fehler addiert einen bekannten Wert zum Fehlervektor; der Angreifer kapselt lokal, behält nur brauchbare Ciphertexte (0,2-27%) und macht jeden Entkapselungsfehler zu einer Ungleichung über den Schlüssel. Bis zu 30.000 genügen. Die Autoren zeigen es durchgängig für ML-KEM-512 auf einem Cortex-M4 per Übertaktungsfehler.
Warum es wichtig ist. Fehlerangriffe auf ML-KEM zielten bisher auf die Entkapselung. Die Arbeit zeigt, dass auch die einmalige Schlüsselerzeugung gehärtet werden muss.
Für Versicherer. Die direkte Bedeutung für Versicherer ist gering, da physischer Zugriff nötig ist. Relevant ist sie für Versicherer von Herstellern sicherer Hardware, Smartcards oder IoT-Geräte, die ML-KEM einführen.
9. Breaking \mathsf{TraintoDefend} via Adaptive Neuron Clustering in Cryptanalytic Model Extraction
arXiv · Haojie Wu, Haolin Liu, Tianshuo Cong, Guoyan Zhang · KI- und LLM-Sicherheit
Kurz gesagt: SimBreak bricht TraintoDefend, die einzige als wirksam geltende Abwehr gegen kryptanalytische Modellextraktion, und hebt die Signatur-Rückgewinnung von 0% auf 100%.
TraintoDefend bringt Neuronen dazu, ähnliche Gewichte zu lernen, damit ihre Beiträge kaum unterscheidbar sind. Die Autoren stellen fest, dass ähnliche Gewichte nicht gemeinsam schalten müssen, und schlagen eine adaptive Clustering-Regel mit gemeinsamer relativer Skala für Gewichtsrichtung und Bias vor. Auf sechs geschützten MNIST-Netzen steigt die Rückgewinnung von 0% auf 100%.
Warum es wichtig ist. Gewichtsähnlichkeit schützt ein Modell nicht vor Parameterextraktion. Abwehrmaßnahmen gegen kryptanalytische Extraktion brauchen adaptive Bewertung.
Für Versicherer. Die Relevanz für Versicherer ist gering, da nur kleine MNIST-Netze betroffen sind. Für den Schutz geistigen Eigentums an KI-Modellen zeigt sie, dass eine veröffentlichte Abwehr schnell fallen kann.
10. The Native Menace: Host-to-Browser Cross-Boundary Attacks via Native Messaging
arXiv · Jyotirmay Chauhan, Rownak Islam, Jason Polakis · Web und Mobile
Kurz gesagt: Eine nicht privilegierte native App kann die NativeMessaging API von Browsern missbrauchen, um sensible Daten abzufangen oder Dokumente im Namen des Nutzers zu signieren.
Die Autoren liefern die erste empirische Sicherheitsanalyse der NativeMessaging API, des Kanals zwischen Browser-Erweiterungen und nativen Apps. Eine bösartige App ohne Privilegien kann Verkehr abfangen oder andere Apps als Confused Deputy nutzen. Betroffen sind 1Password, die EU-eID und Google Drive mit über 532 Millionen Downloads, bis zum Abfluss des ganzen Tresors und beliebigen Signaturen.
Warum es wichtig ist. Der Kanal hat weder Vertrauensanker noch Client-Attestierung. Die Autoren schlagen Nachrichtenverschlüsselung mit einem außerhalb ausgetauschten Geheimnis vor; die Arbeit erscheint auf der IEEE S&P 2027.
Für Versicherer. Passwortmanager und digitale Signaturen sind zentrale Kontrollen in Underwriting-Fragebögen. Hier umgeht lokale Malware sie, und die Verbreitung der Erweiterungen deutet auf Kumulpotenzial, mit Dokumentenbetrug und Zugangsdatendiebstahl.
11. Shoot on (Core)Sight: Re-enabling Secure Debug on the RP2350 with Photon-Emission Microscopy and Laser Fault Injection
arXiv · Antoine Plin · Hardware und Seitenkanäle
Kurz gesagt: Mit Photonenemissionsmikroskopie und Laser-Fehlerinjektion reaktiviert der Autor das Secure Debug von Core 1 auf dem RP2350 und liest ein 128-Bit-Testgeheimnis aus.
Die Arbeit zeigt: Fehlerresistent gespeicherte Policies garantieren keine fehlerresistente Durchsetzung. Die Mikroskopie grenzt den Laser-Scan ein, der zwei Stellen findet, an denen ein Puls die DEBUGEN-Bits setzt. Eine nur per SWD-Rückmeldung gesteuerte Sequenz stellt dauerhaften Zugriff her und gewinnt nach dem Rescue Reset ein 128-Bit-Testgeheimnis.
Warum es wichtig ist. Der RP2350 ist ein verbreiteter Mikrocontroller mit Sicherheitsfunktionen. Der Angriff braucht Laborausrüstung und physischen Zugriff, zeigt aber, wo Debug-Schutz versagen kann.
Für Versicherer. Die Relevanz für Versicherer ist gering: Nötig sind Besitz des Chips und teure Geräte. Wichtig ist sie für Versicherer von Herstellern, die Geheimnisse oder geschützte Firmware auf diesen Chips ablegen, wegen Klon- oder IP-Diebstahlrisiko.
12. When File Ingestion Misleads Language Models: Measuring and Mitigating Divergences in Office Documents
arXiv · Penghui Li · KI- und LLM-Sicherheit
Kurz gesagt: Textextraktoren für Office-Dateien zeigen dem Sprachmodell andere Inhalte, als ein Mensch sieht, und diese Lücke lässt sich ausnutzen.
Bei verbreiteten Extraktoren findet der Autor 19 OOXML-Kanäle, in denen sie für Menschen unsichtbare Inhalte lesen, und 12, in denen sie sichtbare verwerfen. Darauf bauen fünf Angriffe auf, die das Modell ohne eingeschleuste Anweisung ein Dokument anders lesen lassen als einen menschlichen Prüfer. Vier verbreitete Chat-Assistenten und vier Coding Agents fallen auf mindestens einen herein.
Warum es wichtig ist. Wer Verträge, Angebote oder Berichte in Sprachmodelle lädt, kann nicht annehmen, dass das Modell liest, was der Nutzer sieht. Die vorgeschlagene Abwehr Prism rekonstruiert die menschliche Sicht aus der OOXML-Spezifikation.
Für Versicherer. Betroffen sind Abläufe, in denen Sprachmodelle Dokumente prüfen, etwa Schäden, Verträge oder Due Diligence: Eine manipulierte Datei kann ohne sichtbare Spur zu einer falschen Bewertung führen. Relevant für Kontrollen zur KI-Nutzung des Versicherten.
Wie dieser Digest entsteht
Neue Paper werden täglich gesammelt und wöchentlich ausgewählt, aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften (IEEE S&P, USENIX Security, ACM CCS, NDSS, CRYPTO, PoPETs, IEEE TIFS und weitere). Eine Bewertung nach Quelle, Thema und ersten Signalen bestimmt die Kandidaten; ein KI-Modell bewertet sie und verfasst die Zusammenfassungen. Die Zusammenfassungen beruhen auf den Abstracts: Für Details gilt das Original-Paper.
In dieser Ausgabe bewertete neue Paper: 262.