FORSCHUNG
LLM-Sicherheit im Fokus, Geheimnisse über NVLink gestohlen und XSS durch DoH
Eine Woche im Zeichen der LLM-Sicherheit: Abwehr für Agenten, für Fine-Tuning und für Android-Apps, die sie integrieren, plus Watermarking generierten Texts. Bei Hardware Seitenkanäle auf der NVLink-Verbindung zwischen GPUs und ein Spectre-v2-Angriff in JIT-Engines. Dazu eine neue XSS-Klasse über DoH, Mängel beim mobilen Single Sign-On und die Verifikation von Signals Post-Quantum-Ratchet.
1. NVBleed: Covert and Side-Channel Attacks on NVIDIA Multi-GPU Interconnect
ACM Conference on Computer and Communications Security · Yicheng Zhang, Ravan Nazaraliyev, Sankha Baran Dutta, Andrés Márquez et al. · Hardware und Seitenkanäle
Kurz gesagt: NVBleed zeigt, dass NVLink-Verbindungen zwischen GPUs Informationen preisgeben und verdeckte Kanäle sowie Side-Channel-Angriffe ermöglichen, sogar zwischen VMs in Google Cloud.
Die Autoren analysieren NVLink V1-V3 und finden zwei Leckquellen: Zeitunterschiede durch Konkurrenz und Leistungszähler, beide von einer entfernten GPU sichtbar. Sie bauen einen Covert Channel mit über 70 kbps und Side-Channel-Angriffe, die Anwendungen mit F1 bis 96,77% erkennen. Das Leck besteht auch zwischen VMs auf GCP, mit F1 über 88% bei Blender.
Warum es wichtig ist. Geteilte Multi-GPU-Server in der Cloud tragen oft sensible Machine-Learning-Lasten. Die GPU-Verbindung gehört in die Angriffsfläche von Isolationsmodellen.
Für Versicherer. Für Versicherer von Cloud-Anbietern oder Firmen, die Modelle auf geteilten GPUs trainieren, ist die Mandantentrennung schwächer als angenommen. Ein Fehler in weit verbreiteter Hardware kann Kumulrisiken erzeugen.
2. Safeguarding LLM Agents against Long-Horizon Threats via Shadow Memory
ACM Conference on Computer and Communications Security · Yuhui Wang, Tanqiu Jiang, Jiacheng Liang, Charles Fleming et al. · KI- und LLM-Sicherheit
Kurz gesagt: ShadowMem schützt LLM-Agenten vor Angriffen, die sich über viele Schritte entfalten, mit einem sicherheitsbezogenen Gedächtnis nach dem Vorbild des Shadow Stack.
Long-Horizon-Angriffe nutzen lange Interaktionen zwischen Nutzer, Agent und Umgebung für Ziele, die in einem Schritt kaum erreichbar wären. ShadowMem hält sicherheitskritischen Kontext über die ganze Ausführung in einem eigenen Speicher und bewertet jede anstehende Aktion vor der Ausführung. Die Autoren berichten bessere Erkennung als bestehende Abwehr, frühe Erkennung und kaum Overhead.
Warum es wichtig ist. Abwehr, die nur eine Nachricht betrachtet, übersieht einen Angriff über viele Schritte. Ein separates Sicherheitsgedächtnis ist ein einfaches Muster für Agentenentwickler.
Für Versicherer. Für Firmen, die Agenten echte Aufgaben übertragen, können Kontrollen auf Einzel-Prompts falsche Sicherheit geben. Eine nützliche Frage bei der Bewertung von KI-Kontrollen.
3. Branch Target Reuse: Practical Spectre-v2 Attacks in JIT Engines via Stale Branch Prediction Entries
ACM Conference on Computer and Communications Security · Sander Wiebing, Yuhui Zhu, Alessandro Biondi, Cristiano Giuffrida · Hardware und Seitenkanäle
Kurz gesagt: Branch Target Reuse ist der erste praktische Spectre-v2-Angriff in JIT-Engines und verwendet nach Code-Neuerzeugung veraltete Sprungvorhersage-Einträge wieder.
Prozessoren stellen nach Selbstmodifikation die Code-Kohärenz wieder her, invalidieren aber nicht immer indirekte Sprungvorhersage-Einträge. In JIT-Engines überdauern diese veralteten Einträge und werden wiederverwendet. Die Autoren prüfen es an SpiderMonkey, GraalVM und dem cBPF-JIT des Linux-Kernels und gewinnen den Root-Passwort-Hash in Minuten.
Warum es wichtig ist. Bestehende Spectre-Mitigationen decken diese Wiederverwendung veralteter Einträge in JIT-Engines nicht ab. Es erinnert daran, dass transiente Ausführung auf verbreiteter Hardware ein offenes Problem bleibt.
Für Versicherer. Für Versicherer untergräbt ein Angriff, der Geheimnisse trotz bekannter Mitigationen gewinnt, als wirksam geltende Kontrollen. Angesichts der Verbreitung von JIT-Engines ist es auch ein Kumulszenario.
4. An Empirical Study of Observability Limits in Advanced Software Supply Chain Attacks
ACM Conference on Computer and Communications Security · Zhuoran Tan, Wenbo Guo, Jiewen Luo, Taylor Brierley et al. · Software-Lieferkette
Kurz gesagt: SynthChain ist ein Multi-Quellen-Datensatz mit Ground Truth für fortgeschrittene Software-Lieferkettenangriffe und zeigt die Grenzen der Laufzeit-Beobachtbarkeit.
Fortgeschrittene Lieferkettenangriffe hinterlassen fragmentierte Spuren. Die Autoren veröffentlichen SynthChain, sieben Szenarien über PyPI, npm und C++, mit 2.919 verifizierten Kompromittierungsindikatoren über 22 Logs. Keine einzelne Quelle rekonstruiert über 40% der Schritte; zwei zu verbinden verbessert es um etwa das 1,6-Fache, doch welche Quellen zählen.
Warum es wichtig ist. Eine Angriffskette zu rekonstruieren braucht mehrere Telemetriequellen, nicht nur mehr Daten. Die Arbeit bietet Telemetrie-Planungsleitlinien, die Verteidigern nützen.
Für Versicherer. Für Schäden und Forensik rund um die Lieferkette reicht eine einzelne Logquelle oft nicht, um den Hergang zu rekonstruieren. Versicherer können die Telemetrieabdeckung unter die geforderten Kontrollen nehmen.
5. PiMRef: Deducing Ever-evolving Spear-phishing Emails with Knowledge Base Invariants
ACM Conference on Computer and Communications Security · Ruofan Liu, Yun Lin, Yuxin Wang, Xiwen Teoh et al. · KI für die Sicherheit
Kurz gesagt: PiMRef erkennt LLM-erzeugte Spear-Phishing-E-Mails, indem es die angegebene Absenderidentität gegen eine Faktenwissensbasis prüft.
Die Autoren zeigen, dass LLMs überzeugendes Spear-Phishing erzeugen, das Detektoren täuscht. PiMRef ermittelt die angegebene Absenderidentität, prüft deren Domain gegen eine erweiterbare Wissensbasis und leitet Handlungsaufforderungen ab. Es senkt Falsch-Positive auf 0,81% bei 90,7-93,1% Recall und erreicht 86,4% auf SpearMail (14.672 LLM-E-Mails).
Warum es wichtig ist. LLM-erzeugtes Spear-Phishing überwindet regel- und merkmalsbasierte Detektoren. Überprüfbare Fakten zum Absender zu prüfen hält der Weiterentwicklung der Angriffe besser stand.
Für Versicherer. Phishing ist ein häufiger Auslöser von Cyber-Schäden, von Ransomware bis Betrug. Eine Erkennung, die gegen LLM-Spear-Phishing hält, betrifft die E-Mail-Kontrollen, auf die Versicherer bauen.
6. XSS-over-DoH: On the Adverse Side Effects of DoH on Web Security
ACM Conference on Computer and Communications Security · Matthias Gierlings, Lukas Knittel, Jörg Schwenk, Christian Mainka · Web und Mobile
Kurz gesagt: XSS-over-DoH ist eine neue Klasse von Web-Angriffen, die DNS-over-HTTPS missbraucht, um XSS zu erreichen und die Content Security Policy zu umgehen.
DoH führt HTTP als zusätzliches Protokoll ein und nutzt Port 443 erneut, ohne essenzielle Header zu verlangen. Die Autoren zeigen Direct-XSS-over-DoH, das XSS auch ohne Markup-Injection erreicht, und CSP-Bypass-over-DoH, das selbst eine starke CSP umgeht. Über 3 Mio. Domains finden sie 1.297 DoH-Server, 72% mit unsicheren Headern, und 2.265 verwundbare CSPs, darunter ein Fall bei Proton Mail.
Warum es wichtig ist. Eine zur Verbesserung der DNS-Privatsphäre eingeführte Funktion kann etablierte Web-Abwehr wie CSP aushebeln. Neue Web-Komponenten brauchen vor der Einführung gründliche Prüfung.
Für Versicherer. CSP ist eine Kontrolle, auf die viele zur Eindämmung von XSS setzen. Umgeht DoH sie, sollten Versicherer die Konfiguration von DoH-Servern und Headern zu den Web-Risikofaktoren zählen.
7. Automated Side-Channel Analysis of Cryptographic Protocol Implementations
ACM Conference on Computer and Communications Security · Faezeh Nasrabadi, Robert Künnemann, Hamed Nemati · Formale Methoden
Kurz gesagt: Eine Toolchain extrahiert Protokollmodelle aus echten Binärdateien und analysiert sie auf Seitenkanäle, mit einem Cache-Leck in WhatsApp Desktop.
Die Autoren schließen die Lücke zwischen verifizierten Spezifikationen und Executables: Sie heben Maschinencode an, instrumentieren ihn mit Leakage-Verträgen für Constant-Time und Spectre-PHT-artige Spekulation und übersetzen die Traces für Tamarin, ProVerif und DeepSec. In WhatsApp-Desktop-Komponenten finden sie einen Instruktions-Cache-Seitenkanal, der Social-Graph-Inferenz erlaubt.
Warum es wichtig ist. Formale Verifikation ignoriert meist kompilierten Code und mikroarchitektonische Kanäle. Der Start bei echten Binärdateien findet Lecks, die symbolische Modelle übersehen.
Für Versicherer. Die direkte Relevanz für Versicherer ist gering. Die Arbeit zeigt aber, dass eine verbreitete Messaging-App Beziehungs-Metadaten über Seitenkanäle preisgeben kann, nützlich für die Bewertung von Datenschutzrisiken.
8. Understanding and Preserving Safety in Fine-Tuned LLMs
ACM Conference on Computer and Communications Security · Jiawen Zhang, Yangfan Hu, Kejia Chen, Lipeng He et al. · KI- und LLM-Sicherheit
Kurz gesagt: SPF bewahrt die Sicherheitsausrichtung von LLMs beim Fine-Tuning, indem es Gradientenkomponenten entfernt, die mit einem niedrigrangigen Sicherheitsunterraum kollidieren.
Fine-Tuning kann die Sicherheit selbst bei harmlosen Daten mindern. Die Autoren finden, dass Sicherheitsgradienten in einem niedrigrangigen Unterraum liegen, oft im Konflikt mit Nutzgradienten, und aus einer einzigen Probe schätzbar. SPF entfernt konfliktäre Komponenten, sichert Nutzkonvergenz und begrenzt die Sicherheitsdrift, auch bei adversarialem Fine-Tuning.
Warum es wichtig ist. Das Sicherheits-Nutzen-Dilemma machte Fine-Tuning bisher fragil. Eine leichte Methode, die beides hält, hilft Teams, die LLMs auf bestimmte Aufgaben anwenden.
Für Versicherer. Für Versicherer von LLM-Fine-Tuning-Diensten senkt eine Kontrolle, die die Ausrichtung bewahrt, das Risiko, dass ein Modell seine Schutzmechanismen verliert. Sie zeigt eine konkrete technische Maßnahme.
9. One Click to Leak: Characterizing the Real-World Usage and Threat Impact of MNO-based Single Sign-On Websites
ACM Conference on Computer and Communications Security · Jiasheng Huang, Mingxuan Liu, Pei Chen, Baojun Liu et al. · Identität und Authentifizierung
Kurz gesagt: Eine Studie zu Mobilfunk-basiertem Single Sign-On (MSSO) im Web findet Vertrauensmängel, die mit einem einzigen Besuch Telefonnummern abfließen lassen.
Die Autoren finden drei Vertrauensmängel im MSSO-Ablauf und zeigen One-Click-to-Leak, bei dem ein einziger Besuch die Telefonnummer preisgibt. In einer Einjahresstudie über 116.852 URLs auf 729 Domains zeigen 73,6% mindestens einen Mangel: 69,4% legen Entwickler-Credentials offen, 27,1% geben privilegierte Tokens vor der Zustimmung aus.
Warum es wichtig ist. Passwortfreier Login über Mobilfunkanbieter verbreitet sich im Web, doch seine Implementierungen geben Identitätsdaten preis. Die Zustimmung kommt oft nach der Token-Ausgabe.
Für Versicherer. Abgeflossene Telefonnummern nähren Betrug und SIM-Swap, Auslöser von Cyber-Schäden. Für Versicherer sind MSSO-Implementierungen eine zu prüfende Authentifizierungskontrolle, nichts Gegebenes.
10. A Formal Analysis of Signal's Sparse Post-Quantum Ratchet Protocol and its Implementation
ACM Conference on Computer and Communications Security · Karthikeyan Bhargavan, Maxime Buyse, Graeme Connell, Franziskus Kiefer et al. · Formale Methoden
Kurz gesagt: Erste formale Spezifikation und Analyse von SPQR, dem ML-KEM-basierten Post-Quantum-Ratchet, den Signal 2025 in Produktion brachte.
SPQR ergänzt den Double Ratchet für hybride Forward Secrecy und Post-Compromise Security: Sie halten, solange nicht elliptische Kurve und Post-Quantum-KEM zugleich brechen. Die Autoren verifizieren den Entwurf mit ProVerif und integrieren die hax-Toolchain in Signals CI, um die Laufzeitsicherheit der Produktionsimplementierung zu beweisen, die Millionen nutzen.
Warum es wichtig ist. Es ist ein seltener Fall formaler Verifikation, die das Projekt selbst auf ein millionenfach verteiltes Protokoll anwendet. Es zeigt, wie Entwurfsgarantien an die reale Implementierung gebunden werden.
Für Versicherer. Die direkte Relevanz für Versicherer ist gering. Die Arbeit ist aber eine Referenz dafür, wie formale Verifikation das Fehlerrisiko in kritischer Messaging-Software senken kann.
11. Janus: Characterizing Bidirectional Privacy and Security Risks in LLM-Integrated Android Apps
ACM Conference on Computer and Communications Security · Junhua Guo, Zongze Li, Haipeng Cai · Web und Mobile
Kurz gesagt: Janus ist eine statische Analyse, die Datenschutz- und Sicherheitsrisiken in LLM-integrierten Android-Apps misst und sie als verbreitet findet.
LLM-Integrationen sind bidirektional: Sensible Daten fließen in Prompts, generierter Text in App-Logik, UI und APIs. Janus rekonstruiert End-to-End-Pipelines und klassifiziert Risiken. Es findet wiederkehrende Probleme: clientseitig offengelegte API-Schlüssel und System-Prompts, Senden sensibler Daten an Dritt-LLM-Dienste ohne Hinweis und für Prompt Injection anfällige Verarbeitung.
Warum es wichtig ist. LLM-integrierte Apps schaffen eine eigene Risikoklasse gegenüber klassischen Integrationen. Clientseitig offengelegte Schlüssel und Prompts sind ein konkretes, häufiges Problem.
Für Versicherer. Für Versicherer von Mobil-App-Entwicklern erweitert LLM-Integration die Datenabfluss-Fläche. Kontrollen können fragen, wie der Versicherte Schlüssel, gesendete Daten und Modellausgaben handhabt.
12. PURA: Provably Unbiased and Robust Multi-Bit Watermarking for AI-Generated Text Attribution
ACM Conference on Computer and Communications Security · Yaofei Wang, Jinyang Guo, Shuchao Du, Chao Wang et al. · KI- und LLM-Sicherheit
Kurz gesagt: PURA ist Multi-Bit-Watermarking für KI-generierten Text, das die Modellverteilung bewahrt und nach Änderungen wiederherstellbar bleibt.
Feinkörnige Zuordnung von KI-Text braucht robuste Watermarks hoher Kapazität. PURA bettet die Nutzlast in den latenten Sampling-Raum ein und gewinnt sie zurück, indem Tokens als Intervall-Evidenz dienen. Der Fehler pro Bit fällt exponentiell mit der Länge. Mit 36 Bit in 200 Tokens erreicht es 91,7% Übereinstimmung, über das Dreifache der besten Baseline.
Warum es wichtig ist. KI-Text zuzuordnen unterstützt Rechenschaft und Audit. Ein Watermark, das Änderungen übersteht, ohne die Qualität zu mindern, macht die Zuordnung zuverlässiger.
Für Versicherer. Die direkte Relevanz für Versicherer ist gering. Das Thema berührt aber KI-Content-Governance und Rückverfolgbarkeit, nützlich, wo Desinformation oder inhaltsbasierter Betrug ein Risiko sind.
Wie dieser Digest entsteht
Neue Paper werden täglich gesammelt und wöchentlich ausgewählt, aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften (IEEE S&P, USENIX Security, ACM CCS, NDSS, CRYPTO, PoPETs, IEEE TIFS und weitere). Eine Bewertung nach Quelle, Thema und ersten Signalen bestimmt die Kandidaten; ein KI-Modell bewertet sie und verfasst die Zusammenfassungen. Die Zusammenfassungen beruhen auf den Abstracts: Für Details gilt das Original-Paper.
In dieser Ausgabe bewertete neue Paper: 799.