Sicherheitsforscher stoppen KI-Hacker mit Tabuthemen
Die Londoner Sicherheitsfirma Tracebit nutzt die eingebauten Sperren von Künstlicher Intelligenz zur Abwehr von Cyberangriffen. Sogenannte Kontextbomben bringen angreifende KI-Systeme gezielt zum Abbruch.
Forschende haben eine ungewöhnliche Methode entwickelt, um KI-Hacker gezielt zu stoppen. Dabei machen sie sich die eingebauten Sicherheitsbarrieren der Systeme zunutze, die eigentlich sensible Themen blockieren sollen. Durch das gezielte Platzieren dieser Tabuthemen brechen die angreifenden KI-Modelle ihre Aktionen selbstständig ab.
Die neuartige Methode greift auf Mechanismen zurück, die standardmäßig in großen KI-Systemen integriert sind, wie Euronews berichtet. So blockiert das Modell Claude beispielsweise Anfragen zur Entwicklung biologischer Waffen, während in China entwickelte Modelle sensible politische Themen wie den Tiananmen-Platz verweigern. Diese Sperren lassen sich gezielt einsetzen, um Angriffe auf die Cybersicherheit abzuwehren.
Ein Wettlauf gegen die Maschine
Die Technik wurde von der Londoner Sicherheitsfirma Tracebit entwickelt und baut auf einer Studie auf, die das Unternehmen im Mai veröffentlicht hat. Damals testete Tracebit zehn führende KI-Modelle in einem fingierten Firmennetzwerk mit echten Sicherheitslücken, in dem sich die Modelle als autonome Angreifer bewegen durften. In das Netzwerk waren sogenannte „Canaries“ integriert – Täuschungen, die wie echte Passwörter und Zugangsdaten wirkten und bei Berührung Alarm auslösten.
Bei 951 Angriffsversuchen schlugen die Canaries in 95,9 Prozent der Fälle Alarm, bevor die KI Administratorrechte erlangen konnte. Im Median vergingen zwischen der Warnung und dem möglichen Durchbruch acht Minuten. Da die KI-Modelle im Schnitt 14 Minuten für einen vollständigen Einbruch benötigten, verbleibt einem Sicherheitsteam nach der Warnung ein Zeitfenster von etwa sechs Minuten zur Reaktion. Gegen Angreifer, die mit Maschinentempo agieren, ist dies jedoch kaum ausreichend.
Hier setzt die neue Methode an. Während Entwicklerinnen und Entwickler Modelle nachtrainieren können, um Sicherheitsfragen weniger zögerlich zu beantworten, lassen sich regulatorisch oder politisch verankerte Sperren deutlich schwerer entfernen. Diese Themen sind bewusste Designentscheidungen der Anbieter.
Den Spieß umdrehen mit Kontextbomben
Bislang galt die sogenannte Prompt-Injection vor allem als Werkzeug der Angreifer, um KI-Systeme durch versteckte Anweisungen in E-Mails, Webseiten oder Kalendereinladungen zu manuell manipulieren. Tracebit drehte diese Idee nun um. Statt bloßer Köder platzierten die Forschenden kurze Textstücke in den fingierten Geheimnissen, die den KI-Angreifer gezielt in Bereiche lenken, die seine eigenen Sicherheitsregeln untersagen. Liest die KI diesen Text, greifen die Schutzmechanismen und sie stoppt. Tracebit bezeichnet diese Methode als „Kontextbombe“.
Der Ansatz musste für jedes Modell individuell angepasst werden. Während westliche Modelle zuverlässig auf Inhalte zu gefährlichen biologischen Waffen reagierten, wurden für andere Modelle entsprechende länderspezifische Tabuthemen gewählt.
Ergebnisse im Praxistest
Tracebit testete das Verfahren mit den fünf führenden KI-Modellen Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro und Kimi K2.6 über 152 Angriffsversuche hinweg. Der Anteil der Durchläufe mit Administratorzugriff sank dabei von 57 Prozent auf fünf Prozent. Eine vollständige Kompromittierung des Systems ging von 36 Prozent auf ein Prozent zurück, während Teilangriffe von 91 Prozent auf 15 Prozent fielen. Jeder Versuch mit einer Kontextbombe löste zudem weiterhin zuerst einen Canary-Alarm aus.
Besonders deutlich war der Effekt beim Modell Opus 4.8. Ohne Kontextbombe erreichte der stärkste Angreifer der Testgruppe in 93 Prozent der Fälle Administratorrechte. Mit der eingebauten Kontextbombe scheiterte das Modell bei jedem Versuch.
Die Methode löst das Problem der Prompt-Injection laut Tracebit jedoch nicht endgültig, da weiterhin kein verlässliches Mittel existiert, das die Verwechslung von versteckten Anweisungen mit normalen Daten verhindert. Die Kontextbombe soll vielmehr im Zusammenspiel mit Canaries agieren, um Verteidigern zusätzliche Zeit zu verschaffen, bevor das Angriffsfenster schließt.