Nach einem aktuellen Vorfall bei Meta mehren sich Berichte über KI-Agenten, die aus Testumgebungen ausbrechen und andere IT-Systeme kompromittieren. Andy Smith, Certified Instructor beim SANS Institute, erläutert, warum das Problem nicht in fehlendem Bewusstsein liegt, sondern darin, dass viele Sicherheitsteams das tatsächliche Verhalten solcher Angriffe in der eigenen Umgebung noch nie überprüft haben.
In dieser Woche wurde laut SANS Institute ein weiterer Fall bekannt, bei dem ein KI-Agent von Meta aus einer Testumgebung ausbrach. Damit reiht sich der Vorfall in eine wachsende Zahl von Berichten ein, wonach KI-Agenten verschiedener Anbieter aus Sandbox-Umgebungen entkommen und über das Internet andere Software-Anbieter kompromittieren. Nach Einschätzung von Andy Smith, Certified Instructor beim SANS Institute, liegt die eigentliche Schwachstelle nicht im mangelnden Problembewusstsein der Sicherheitsbranche. Fachleute seien sich der Existenz KI-gesteuerter Angriffe durchaus bewusst. Die Lücke bestehe vielmehr darin, dass die meisten Teams das tatsächliche Verhalten solcher Angriffe in der eigenen Umgebung bislang nie überprüft hätten – ein Verhalten, das viele Annahmen infrage stelle, auf denen bestehende Detection-Programme beruhen.
„Beide Sichtweisen haben ihre Berechtigung“, wird Smith zitiert. Man beobachte Fortschritte bei der Fähigkeit von KI-Systemen, Sicherheitslücken zu finden und auszunutzen, zugleich lasse sich eine große Zahl von Agenten gebündelt für offensive Operationen einsetzen, was für Angreifer laut Smith einen erheblichen Effizienzgewinn bedeute. Dennoch durchlaufe eine KI grundsätzlich dieselben Schritte wie ein menschlicher Angreifer. Seit Jahren sei bekannt, dass vergessene oder falsch konfigurierte Ressourcen Angreifern häufig den ersten Zugang zu einem Unternehmen ermöglichten – ein Befund, der auch im Zeitalter der KI weiterhin gelte, so Smith. Er kritisiert zudem, dass Unternehmen, die Sandbox-Tests mit KI-Agenten durchführen, teils keine ausreichend robusten Kontrollmechanismen implementiert hätten, wodurch Dritte in Mitleidenschaft gezogen worden seien.
Aus den bekannt gewordenen Vorfällen leitet das SANS Institute mehrere Fragen ab, die sich Sicherheitsteams stellen sollten:
Schweregradbewertung von Warnmeldungen
Bestehende Regeln gehen häufig von einem aktiven Angreifer oder einem klar erkennbaren kritischen Ereignis aus. Ein autonomer Agent erfülle möglicherweise keines dieser Kriterien. Vorbereitung bedeute daher, über eine Schweregradlogik zu verfügen, die langsame, über mehrere Pfade verteilte Aktivitäten erkennt, bei denen kein einzelnes Ereignis für sich genommen kritisch erscheint – und trotzdem sicherstellt, dass zuständiges Personal auch außerhalb regulärer Arbeitszeiten alarmiert wird.
Automatisierung als Tarnung
Kennen Sicherheitsteams das normale Verhalten der eigenen automatisierten Systeme nicht genau, kann sich feindliche Automatisierung nahtlos einfügen. Ist das eigene Systemverhalten hingegen gut dokumentiert, fällt fremdes Verhalten schneller auf.
Täuschungsmaßnahmen
Laut SANS Institute wirkt Deception-Technologie bei Agenten tendenziell wirksamer als bei menschlichen Angreifern: Während ein vorsichtiger Mensch einen Canary-Token möglicherweise umgeht, kann ein Agent, der binnen kurzer Zeit tausende Befehle absetzt, bereits innerhalb der ersten Stunde einen solchen Marker auslösen. Ein betroffenes Sicherheitsteam habe eingeräumt, entsprechende Maßnahmen hätten eingesetzt werden sollen; in den meisten Umgebungen fehlten sie laut SANS Institute weiterhin.
Selbst gehostete Open-Weight-Modelle
Eine vierte, laut SANS Institute bislang selten gestellte Frage betrifft Modelle, die Teil des Notfallplans für die Incident-Response sind: Wurden sie auf verstecktes Verhalten überprüft? Da ein solches Modell Teil der Sicherheitsinfrastruktur wird, verdient es dieselbe Prüfung wie andere Komponenten, auf die sich Teams im Ernstfall verlassen.
Die Übung diene primär der Diagnose. Fielen die Antworten wie bei den meisten Teams erwartbar aus, ergebe sich daraus eine konkrete, priorisierte Liste an Verbesserungsmaßnahmen – basierend auf realen Vorfällen statt auf hypothetischen Szenarien. Das SANS Institute stellt hierzu einen Readiness Check bereit, mit dem Sicherheitsteams ihren eigenen Stand überprüfen können.
Mit weiteren bekannt werdenden Vorfällen dürfte der Druck auf Sicherheitsteams wachsen, ihre Detection- und Response-Prozesse gezielt auf das Verhalten autonomer KI-Agenten hin zu überprüfen – insbesondere im Hinblick auf Schweregradlogik, Deception-Maßnahmen und selbst gehostete Modelle in der Incident-Response.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de