{"id":51447,"date":"2026-09-07T07:10:23","date_gmt":"2026-09-07T05:10:23","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51447"},"modified":"2026-09-07T07:10:23","modified_gmt":"2026-09-07T05:10:23","slug":"ki-harness-angriffsflaeche-ki-agenten-51447","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/ki-harness-angriffsflaeche-ki-agenten-51447\/","title":{"rendered":"KI-Harness er\u00f6ffnet neue Angriffsfl\u00e4che f\u00fcr KI-Agenten"},"content":{"rendered":"

KI-Agenten<\/a> dringen immer tiefer in Gesch\u00e4ftsprozesse ein \u2013 doch das Sicherheitsbewusstsein hinkt hinterher. Eine neue Angriffsfl\u00e4che r\u00fcckt dabei ins Zentrum: das KI-Harness. Anders als das zugrunde liegende Sprachmodell selbst ist diese Middleware das Verbindungsst\u00fcck zwischen Modell, Tools und externen Datenquellen, und damit ein lohnendes Ziel f\u00fcr Angreifer. Drei Angriffsvektoren zeichnen sich ab, die Sicherheitsverantwortliche dringend kennen sollten.<\/p>\n

Die drei zentralen Angriffsvektoren<\/h2>\n

1. Architektonische Vertrauensgrenzen<\/h3>\n

Der Novee-Forscher Meged pr\u00e4sentierte auf der Black Hat USA<\/a> seine Erkenntnisse: Ihm gelang es, sich allein \u00fcber GitHub-Issues Zugang zu den offiziellen Repositories von Anthropic<\/a>, Google und OpenAI<\/a> zu verschaffen. Die Schwachstellen waren bei den einzelnen Anbietern unterschiedlicher Natur \u2013 von Code-Execution-M\u00f6glichkeiten \u00fcber offengelegte Anmeldedaten bis hin zu schadhaften Anweisungen. Der zugrundeliegende architektonische Fehler war jedoch bemerkenswert konsistent: Eine Komponente traf eine Security-Entscheidung, der eine nachgelagerte, leistungsf\u00e4higere Komponente vertraute, ohne diese erneut zu validieren. Meged res\u00fcmiert: \u201eDas ist kein Modellversagen, sondern eines der Vertrauensgrenze.\u201c<\/p>\n

2. Implementierungsentscheidungen<\/h3>\n

Die Forscher von Lasso Security deckten ein AI-Harness-Problem auf, das sich auch ganz ohne Programmierfehler ausnutzen l\u00e4sst. Dabei r\u00fcckt das Design des Harness in den Fokus. \u201eDasselbe LLM mit denselben Tools kann am Ende ein v\u00f6llig anderes Security-Ergebnis zutage f\u00f6rdern \u2013 je nachdem f\u00fcr welches Harness man sich entscheidet\u201c, erl\u00e4utert Sromin. Diesem Fakt seien sich viele Organisationen gar nicht bewusst: \u201eEinige behandeln das AI Harness immer noch als eine Art Durchlaufschleife \u2013 als austauschbare Verbindung zwischen dem Modell und seinen Tools.\u201c Die Untersuchungen von Lasso Security verdeutlichen, was passieren kann, wenn man ein AI Harness austauscht: Nachdem die Forscher das Harness bei einem Open-Weight-Modell substituierten, stieg die Angriffs-Erfolgsquote von einem auf 24 Prozent<\/strong>. \u201eEin KI-Harness sollte nicht willk\u00fcrlich gew\u00e4hlt werden. Eine Default-Option zu w\u00e4hlen, ohne sie zu testen, bedeutet, eine folgenschwere Sicherheitsentscheidung zu treffen, ohne zu wissen, dass man eine getroffen hat\u201c, unterstreicht Sromin. Seine Empfehlung lautet daher, Harness und Modell in Kombination zu benchmarken<\/strong>.<\/p>\n

3. Lieferketten-Kompromittierungen<\/h3>\n

Die am AI Harness h\u00e4ngende Supply Chain w\u00e4chst rasant \u2013 und wird bereits ausgenutzt, wie die Erkenntnisse von Zenity belegen, die ebenfalls auf der Black Hat USA pr\u00e4sentiert wurden. \u201eEs ist das altbekannte Supply-Chain-Problem, das nun in einer neuen Variante im Zusammenhang mit KI-Skills wieder auftaucht\u201c, so Bargury auf der Konferenz. Das alte Problem weist jedoch neue Wirkm\u00e4chtigkeit auf, denn Skills k\u00f6nnen die Umgebung ver\u00e4ndern, der KI-Agenten (wiederholt) vertrauen. So k\u00f6nnte ein Agent bei jedem Neustart wieder eine Datei in den Speicher laden, die Anweisungen dazu enth\u00e4lt, wie er sich verhalten soll. Laut den Zenity-Forschern ist es m\u00f6glich, dass sich ein schadhafter Skill selbst in den Speicher schreibt \u2013 was daf\u00fcr sorgt, dass die Malware auch nach einem Neustart wieder aktiv wird. Ein anderer malizi\u00f6ser Skill war als legitimes Anthropic-Tool getarnt. Nachdem dieser ausgef\u00fchrt wurde, l\u00f6schte er das legitime Tool und ersetzte es durch eine Version des Angreifers. Die Folge: Der KI-Agent f\u00fchrte Schadcode aus, ohne dass dies f\u00fcr den Benutzer offensichtlich wurde. Dar\u00fcber hinaus entdeckten die Sicherheitsforscher auch eine umfassende Malware-Kampagne, bei der geklonte Versionen popul\u00e4rer Open-Source-Tools heimlich modifiziert wurden, um Anmeldedaten abzugreifen. Die schadhaften Packages konnten die legitimen Versionen sogar bei den Download-Zahlen \u00fcbertreffen: Sie wurden rund 1,7 Millionen Mal heruntergeladen, bevor die Kampagne unterbunden wurde.<\/p>\n

Wie CISOs das KI-Harness absichern<\/h2>\n

Aus diesen Erkenntnissen k\u00f6nnen CISOs und Sicherheitsentscheider im Wesentlichen drei Handlungsempfehlungen ableiten. Sie sollten identifizieren,<\/p>\n