Ein Angriff im KI-Zeitalter – eine Analyse

Für CISOs, die bereits mit der klassischen Informationssicherheit zu kämpfen haben, bringt KI völlig neue Herausforderungen mit sich. Überall dort, wo KI eingeführt oder bestehende Technologie über KI zugänglich gemacht wird – ob in einer Fabrik, einem Labor oder einer Büroumgebung –, entsteht nun eine brandneue Angriffsfläche, die gerade einmal null Tage alt ist.

Wir haben bereits Schwachstellen in allen führenden KI-Modellen entdeckt, darunter ChatGPT, Gemini, Llama und DeepSeek-R1. Während Unternehmen zunehmend KI-Agenten mit ihren umfassenderen Systemen verbinden, ziehen Bedrohungsakteure zweifellos nach und testen KI als potenzielles Einfallstor. Wenn sie Erfolg haben, kann das Ausmaß eines Angriffs exponentiell wachsen.

Zu verstehen, wie Angreifer vorgehen, ist entscheidend für den Aufbau einer starken Sicherheitsstrategie im KI-Zeitalter. Die Analyse der einzelnen Phasen eines Angriffs hilft dabei, Schwachstellen zu erkennen, und schafft die Grundlage dafür, Abwehrmaßnahmen proaktiv zu stärken und potenzielle Schäden zu verhindern.

Die alten „Regeln“ gelten

Ein organisierter Angreifer verfolgt ein klares Ziel, das er mit seinem Angriff erreichen möchte. Anschließend richtet sich sein Fokus auf den Bereich; besteht das Ziel beispielsweise darin, einem Nationalstaat zu schaden, können die Bereiche das Gesundheitswesen, das Bankensystem oder die Flugsicherung umfassen.

Die Wahl des Bereichs ist für Bedrohungsakteure wichtig, da für jeden Bereich unterschiedliche Sicherheitsvorschriften, gesetzliche Vorgaben und Schutzmaßnahmen gelten. Finanzdienstleistungen gehören weltweit zu den am besten geschützten Bereichen, während das Gesundheitswesen in puncto Informationssicherheit traditionell schlecht aufgestellt ist. Doch selbst in gut geschützten Systemen eröffnet KI Angreifern neue Zugangswege.

Nach der Auswahl des Bereichs folgt die Auswahl eines konkreten Ziels. Wenn das Ziel darin besteht, Versicherungsunternehmen zu betrügen, stehen zahlreiche potenzielle Ziele zur Auswahl, die sich unter anderem nach Größe, Standort und Sicherheitsstandards unterscheiden. Unternehmen, die den Einsatz von KI öffentlichkeitswirksam verkünden, ohne über angemessene KI-Sicherheitskontrollen zu verfügen, könnten ins Visier geraten; auch der Vorteil, Vorreiter zu sein, hat seine Nachteile.

Das Ziel untersuchen

Sobald das Ziel identifiziert ist, geht der Bedrohungsakteur zur Aufklärung über: Welche erreichbaren Ressourcen können angegriffen werden? Das entscheidende Wort ist „erreichbar“. Erreichbare Ressourcen sind in der Regel Dinge, mit denen Menschen interagieren, etwa Websites, mobile Apps, Geldautomaten und öffentlich zugängliche Server.

Bedrohungsakteure nehmen jedoch auch weniger offensichtliche Ziele ins Visier. Ein Unternehmen verfügt möglicherweise über zahlreiche Netzwerkzugangspunkte, die nur selten genutzt werden. Bleibt einer davon versehentlich aktiv, könnte er ausgenutzt werden, um auf kritische Systeme zuzugreifen. Agentische KI muss nun ebenfalls berücksichtigt werden: Da KI zunehmend sowohl mit virtuellen als auch mit physischen Entitäten verbunden ist, stellt sich die Frage, ob zuvor unerreichbare Ressourcen nun zugänglich sind.

Für einen Angreifer ist das Aufspüren von Schwachstellen der einfachste und effizienteste Weg, sich Zugang zu Ihren Systemen zu verschaffen. Dafür gibt es viele Möglichkeiten, und KI hat neue Wege eröffnet – unter anderem auf der Inferenzebene, wo ein KI-Modell auf einen alltäglichen Anwendungsfall trifft.

Die Anatomie der KI offengelegt

Ab hier wird es technisch. Um eine KI-Anwendung zu untersuchen, verwenden Angreifer statt der Webchat-Oberfläche die Funktion „Quelltext anzeigen“ auf der betreffenden Website. Wenn sie auf die Registerkarte „Netzwerk“ klicken, können sie sehen, an welchen Endpunkt eine im Chat einer KI-Anwendung eingegebene Nachricht gesendet wird.

Der Angreifer kann diesen Endpunkt über sein Kommandozeilenterminal statt über die Website isoliert aufrufen und die unverarbeitete Antwort abrufen. So kann er nach Informationen suchen, die über die Website nicht angezeigt werden, etwa zusätzliche Metadaten, die Hinweise darauf geben, wie er seinen Angriff fortsetzen kann.

An diesem Punkt kommt ein Hacker voran. Wenn er zunächst sechs Assets identifiziert hat und zwei davon nützliche Metadaten lieferten, verfügt er nun über erste potenzielle Angriffswege. Die weniger anfälligen Assets können vorerst zurückgestellt werden. Sollte der Angreifer mit seinen ersten Optionen keinen Erfolg haben, wird er sie möglicherweise später genauer untersuchen.

Ein Arsenal an Möglichkeiten

Ein ernst zu nehmender Bedrohungsakteur verfügt über ein ganzes Arsenal an Werkzeugen, mit denen er seine Angriffe schrittweise steigern kann. Einfach ausgedrückt beginnt er mit den kostengünstigsten und schnellsten Angriffen und vermeidet es, seine stärkste Angriffsmethode offenzulegen; kein Großmeister wird seinen raffiniertesten Schachzug zeigen, wenn auch ein Bauer zum Ziel führt.

Hochentwickelte Angriffswerkzeuge sind wertvoll, doch sobald sie erkannt wurden, werden künftig wahrscheinlich Schutzmaßnahmen gegen sie ergriffen, wodurch sie unbrauchbar werden. Daher wird ein Angreifer vermutlich nacheinander mehrere Ressourcen mit einfachen bis mittelschweren Angriffsmethoden ins Visier nehmen, anstatt den Einsatz seines wertvollsten Werkzeugs zu riskieren.

Natürlich gibt es Ausnahmen: Wenn das Ziel wertvoll genug ist, kann sich der Angreifer dafür entscheiden, seine ausgefeiltesten Waffen einzusetzen.

Angriffsergebnisse

Ein erfolgreicher Angriff kann eines von zwei möglichen Ergebnissen haben: Datenabfluss oder Einschleusung. Datenabfluss ist die unkompliziertere der beiden Varianten und umfasst das Entwenden wertvoller Ressourcen vom Ziel, etwa Geld, Finanzdaten oder vertrauliche Kundeninformationen.

Mit agentischer KI steigen die Risiken. Agentische KI-Systeme nutzen zunehmend das Model Context Protocol (MCP) – das von Anthropic und anderen vorangetrieben wird – als offenen Standard für die Anbindung an Anwendungen wie Browser und Geschäftstools.

Browser sind natürlich das Fenster, über das sich auf alles zugreifen lässt – von E-Mail-Systemen über Bankkonten bis hin zu Buchungsplattformen. Geschäftsanwendungen haben Zugriff auf geschützte Unternehmensinformationen. In diesem Umfeld muss alles, was über MCP mit agentischer KI verbunden ist, als erhebliche neue Angriffsfläche betrachtet werden.

Insertionsangriffe sind schwieriger durchzuführen und können größeren Schaden anrichten. Stellen Sie sich als Vergleich vor, dass bei Ihnen zu Hause eingebrochen wurde: Zunächst machen Sie sich Gedanken darüber, was gestohlen wurde. Doch was wäre, wenn der Eindringling eine Kamera zurückgelassen hätte und jeden Ihrer Schritte beobachten könnte?

Im digitalen Bereich eröffnet agentische KI, die über MCP Zugriff auf Browser und Anwendungen hat, neue Wege für ausgeklügelte Insert-Angriffe. Denkbar wäre etwa, einen Protokollierungsendpunkt so zu verändern, dass Protokolle an einen externen Collector gesendet werden, oder den Zeitplan eines physischen Sicherheitssystems so anzupassen, dass es an Wochenenden deaktiviert wird.

Ein Bedrohungsakteur wird bei einem Angriff auch an laterale Bewegungen denken. Ein erster Einbruch könnte Zugriff auf den Laptop einer Führungskraft der mittleren Ebene ermöglichen und damit die Chance eröffnen, sich innerhalb des Systems weiterzubewegen und einen Weg zu finden, die Berechtigungen auf eine höhere Ebene auszuweiten.

Das Open-Source-Handbuch

Wie bei allem im Bereich KI entwickelt sich auch die Bedrohungslandschaft rasant weiter. Die Entwickler der ersten Modelle hielten deren Funktionsweise geheim, doch mit seinem Open-Source-Ansatz hat DeepSeek praktisch ein Handbuch für sein R1-Modell öffentlich zugänglich gemacht – ein Wendepunkt für Entwickler und Bedrohungsakteure gleichermaßen.

Seit der Einführung von R1 Ende Januar wurden bereits über 7.000 Ableitungen davon erstellt, wobei die Herkunft vieler dieser Modelle praktisch unbekannt ist. Die gemeinsame Nutzung von Code ist zwar im Sinne der Innovation zu begrüßen, doch Bedrohungsakteure untersuchen zweifellos die Funktionsweise von R1, um Möglichkeiten für Angriffe auf bestehende und künftige KI-Modelle zu finden.
So denken Bedrohungsakteure – und wir in der Sicherheitsbranche müssen mit ihnen Schritt halten.

Es ist klar, dass robuste defensive und offensive Sicherheitsmaßnahmen – einschließlich proaktiver und kontinuierlicher Red-Team-Tests von KI-Modellen und -Anwendungen – unerlässlich sind, um potenzielle Risiken zu mindern. Wie in der Medizin gilt auch hier: Vorsorge ist besser als eine nachträgliche Ursachenanalyse.