Gefälschte Agent-zu-Agent-Nachrichten

Was ist Gefälschte Agent-zu-Agent-Nachrichten?

Multiagentensysteme koordinieren Arbeit über Nachrichtenbusse. In vielen Deployments sind die Nachrichten weder signiert noch authentifiziert. Wer den Bus erreichen kann, kann Nachrichten mitlesen und Anweisungen unter der Identität des Orchestrator senden, die nachgelagerte Agenten ausführen. Das ist ASI07 der OWASP Top 10 für agentenbasierte KI-Anwendungen. Sie testen einen Bus mit Klartextverkehr, fälschen eine Anweisung zum Umleiten von Kundendatensätzen an einen externen Server, erkennen die Fälschung im Nachrichtenstrom und aktivieren die Nachrichtenauthentifizierung.

Was Sie lernen in Gefälschte Agent-zu-Agent-Nachrichten

• Sicherheitsrisiken in Multiagentensystemen ohne Nachrichtenauthentifizierung und Absenderprüfung erkennen
• Nachrichtenströme zwischen Agenten analysieren und echte Nachrichten von gefälschten oder manipulierten unterscheiden
• Nachvollziehen, wie ein Man-in-the-Middle-Angreifer ungesicherte Kommunikationskanäle zwischen Agenten nutzt, um gefälschte Anweisungen einzuspeisen
• Die Wirksamkeit von kryptografischen Nachrichtensignaturen, gegenseitiger Authentifizierung und gesicherten Kanälen in Multiagentensystemen beurteilen
• Vertrauensgrenzen in Multiagentensystemen gestalten, um die Folgen eines kompromittierten oder vorgetäuschten Agenten zu begrenzen

Gefälschte Agent-zu-Agent-Nachrichten — Trainingsschritte

1. Zugriff auf das interne Netzwerk

   Bob nutzt seit drei Tagen gestohlene VPN-Zugangsdaten eines externen Mitarbeiters für den Zugriff auf CypherPeaks internes Netzwerk. Bei der Erkundung entdeckt er eine kritische Schwachstelle: Die KI-Agenten kommunizieren über einen internen Nachrichtenbus per unverschlüsseltem HTTP auf Port 8443 – ohne Verschlüsselung und ohne Authentifizierung. Wer Netzwerkzugriff hat, kann alle Nachrichten lesen.

2. Den Nachrichtenbus testen

   Bob öffnet ein API-Testtool und sendet eine Testnachricht direkt an den Nachrichtenbus. Endpunkt und Format kennt er aus dem mitgelesenen Verkehr. Wenn der Bus eine Nachricht mit erfundenem Absender und ohne Zugangsdaten akzeptiert, kann Bob die Schwachstelle ausnutzen.

3. Keine Authentifizierung

   Der Bus hat HTTP 200 ohne Authentifizierungsaufforderung zurückgegeben. Die Testnachricht wurde akzeptiert und zugestellt, obwohl keine Zugangsdaten, kein Zertifikat und keine Signatur vorhanden waren. Jedes Sicherheitsfeld in der Antwort bestätigt, dass der Bus überhaupt keine Überprüfung durchführt.

4. Die Angriffsnachricht vorbereiten

   Nachdem Bob die Schwachstelle bestätigt hat, bereitet er eine gefälschte Nachricht vor. Er gibt sich als Orchestrator aus und weist Data Exporter an, alle verarbeiteten Kundendatensätze zusätzlich an einen von ihm kontrollierten FTP-Endpunkt zu senden.

5. Gefälschte Nachricht senden

   Bob wechselt zurück zum API Tester. Endpunkt und POST-Methode sind noch vom Test eingestellt. Er fügt die gefälschte JSON-Nachricht in den Anfragetext ein und sendet sie.

6. Die gefälschte Anweisung

   Der Bus akzeptiert die gefälschte Nachricht ohne Authentifizierung – wie schon die Testnachricht. Die Antwort bestätigt, dass die Anweisung unter der vorgetäuschten Identität des Orchestrator an Data Exporter zugestellt wurde.

7. Routinemäßige Verarbeitung

   Alice überwacht die Batch-Verarbeitung am Nachmittag. Eine E-Mail der Leiterin der Datenplattform bestätigt, dass die Kundendatenpipeline den geplanten Batch verarbeitet.

8. Die Datenpipeline

   Alice öffnet das Agent-Pipeline-Dashboard. Die Pipeline besteht aus fünf KI-Agenten in einer Kette: Orchestrator koordiniert den Ablauf, Data Ingestion ruft Kundendatensätze ab, Data Processor normalisiert sie, Compliance Scanner prüft Datenschutzvorgaben, und Data Exporter liefert die verarbeiteten Daten an nachgelagerte Analysesysteme.

9. Normaler Nachrichtenfluss

   Während der Batch verarbeitet wird, fließen Nachrichten durch die Pipeline. Jeder Agent meldet seinen Status an den nächsten. Grüne Anzeigen an den Nachrichten zeigen, dass jede Nachricht eine gültige Signatur des Agenten trägt, der sie gesendet hat.

10. Die gefälschte Anweisung

    Wenn der Batch die Export-Phase erreicht, übernimmt Data Exporter eine Anweisung, die in seiner Warteschlange gewartet hat – und etwas ist anders. Sie behauptet, vom Orchestrator zu stammen, und weist Data Exporter an, alle verarbeiteten Datensätze vor dem regulären Export zusätzlich an einen externen Backup-Endpunkt zu senden. Data Exporter akzeptiert die Anweisung und beginnt, Kundendaten an den Server des Angreifers zu übertragen.