Lieferkettenangriff auf agentenbasierte KI

Was ist Lieferkettenangriff auf agentenbasierte KI?

Ein KI-Agent lädt einen großen Teil seines Verhaltens zur Laufzeit: Plugins, MCP-Server, Tool-Definitionen und Prompt-Vorlagen aus Registern, deren Inhalte deutlich schwächer geprüft werden als Pakete in Paketmanagern. Schädliche Änderungen benötigen nicht einmal kompilierten Code. Schon eine manipulierte Tool-Beschreibung oder ein manipuliertes Parameterschema genügt für einen Angriff. Das ist ASI04 in den OWASP Top 10 für agentenbasierte Anwendungen. In der Übung veröffentlichen Sie einen Datenbankconnector mit Hintertür, installieren ihn als Ingenieurin auf Empfehlung eines Kollegen, entdecken den Datenabfluss im ausgehenden Netzwerkverkehr und dämmen ihn ein.

Was Sie lernen in Lieferkettenangriff auf agentenbasierte KI

• Die besondere Angriffsfläche durch dynamisch geladene Komponenten von KI-Agenten erkennen, darunter Plugins, MCP-Server und externe Tool-Definitionen
• Analysieren, wie ein Plugin mit Hintertür Daten in der Tool-Pipeline eines KI-Agenten abfangen, verändern und nach außen übertragen kann
• KI-Komponenten anderer Anbieter auf Anzeichen einer Kompromittierung prüfen, etwa unerwartete Netzwerkaufrufe, veränderte Parameter und abweichendes Verhalten
• Legitime Plugin-Funktionen von verborgenem schädlichem Verhalten in Erweiterungen von KI-Agenten unterscheiden
• Verfahren zur Absicherung der Lieferkette auf agentenbasierte KI-Systeme anwenden, darunter Isolation von Komponenten, Integritätsprüfung und Überwachung des Verhaltens

Lieferkettenangriff auf agentenbasierte KI — Trainingsschritte

1. Der Angriffsweg über die Lieferkette

   Auf Bobs Rechner liegt ein Fork eines beliebten quelloffenen Datenbankconnectors. Er hat die KI-Agenten-Pipeline von CypherPeak als Ziel gewählt: Die Agenten nutzen MCP-Tool-Server, um auf externe Datenbanken zuzugreifen. Er hat den legitimen Server kopiert und bereitet ein verborgenes Modul zum Datenabfluss vor.

2. Das geforkte Repository

   Bobs Toolkit zeigt das ursprüngliche Open-Source-Repository neben seinem veränderten Fork. Nur wenige Dateien wurden angepasst – gerade genug, um das Modul zum Datenabfluss einzubauen, während der übrige Code mit der legitimen Version übereinstimmt.

3. Die Hintertür einbauen

   Bob öffnet die zentrale Handler-Datei des Servers. Ihr Code verarbeitet jede Datenbankabfrage, die über den MCP-Server läuft. Hier fängt das zusätzliche Modul alle Abfrageergebnisse ab und erstellt Kopien.

4. Der Exfiltrationsmechanismus

   Der Handler sieht wie gewöhnlicher MCP-Server-Code aus. Eine Funktion namens _process_result ist jedoch hinzugekommen: Sie kopiert jede Abfrage samt Ergebnis unbemerkt an einen externen Endpunkt. Telemetrieschlüssel und Endpunkt verweisen auf grimwyre.net, eine Domain ohne Bezug zum angeblichen Herausgeber des Servers.

5. Im Register veröffentlichen

   Bob bereitet den Marktplatzeintrag vor: gefälschte Bewertungen von frisch angelegten Konten, einen künstlich erhöhten Download-Zähler und Dokumentation, die er aus der legitimen Version kopiert hat. Der manipulierte Server kann nun im MCP-Marktplatz erscheinen.

6. Empfehlung eines Kollegen

   Es ist Montagmorgen. Alice plant die Aufrüstung der Datenpipeline für das dritte Quartal, als Marcus ihr eine E-Mail schickt: Er hat einen MCP-Server gefunden, der dem Team wochenlange Entwicklungsarbeit ersparen könnte.

7. Der MCP-Marktplatz

   Alice öffnet den MCP-Marktplatz, um den von Marcus empfohlenen Server zu finden. Der Marktplatz listet verfügbare Toolserver, Datenbankkonnektoren und Agentenintegrationen verschiedener Herausgeber auf.

8. Suche nach DataBridge Pro

   Marcus hat DataBridge Pro ausdrücklich empfohlen. Alice muss den Server in der Liste finden und die Details prüfen, bevor sie ihn installiert.

9. Bewertung des Eintrags

   Neben den verdächtigen Bewertungen fallen zwei weitere Warnsignale auf: Der Herausgeber „NexData Solutions“ hat kein Verifizierungsabzeichen und bietet keine weiteren Tools an – seine Identität lässt sich nicht unabhängig bestätigen Der Server verlangt ausgehenden Netzwerkzugriff und Dateisystemzugriff – ungewöhnlich für einen Datenbankconnector, der nur lesend auf Datenbanken zugreifen sollte

10. Wissenscheck