Die Einführung von KI-Agenten in Millionen von Organisationen schafft neue Möglichkeiten für Angreifer, sie zu böswilligen Aktionen zu veranlassen, wie dem Exfiltrieren von Datenbankinhalten und sensiblen Geschäfts- und persönlichen Informationen. In den letzten fünf Monaten haben Google und vier andere Organisationen Schwachstellen eingeräumt, die einen Agenten innerhalb eines Zielnetzwerks ausnutzen, um schädliche Anweisungen an andere interne Agenten zu verbreiten. Die Technik ist eine spezielle Form der Prompt-Injection, die nicht das LLM, sondern einen bestimmten Agenten angreift.
Der unabhängige Forscher Syed Anas Mohiuddin testete Agenten von Organisationen wie Google, JP Morgan Chase, Weviate, Rapid7, der interministeriellen Digitaldirektion der französischen Regierung und der US-Bundesregierung. Seine Proof-of-Concept-Angriffe nutzen Vertrauenslücken in MCP, kurz für Model Context Protocol. Viele spezialisierte Agenten entbehren Schutzmaßnahmen, und da MCP-Server Anmeldeinformationen für jeden Agenten speichern, gelingt eine Ausnutzung, die vom LLM abgelehnt worden wäre.
„KI-Agenten geben Angreifern eine neue Reihe von Verbindungen, die sie durchqueren können“, sagte Douglas Mc Kee, Director of Vulnerability Intelligence bei Rapid7, gegenüber Ars. CVE-2026-97228, die von Mohiuddin im Netzwerk von Rapid7 gefundene Schwachstelle, hatte eine Schweregradbewertung von nur 2,7 von 10. Die Google betreffende Schwachstelle war schwerwiegender, mit einer Bewertung von 8, herrührend von einer MCP-Toolbox, die ihren HTTP-Client ohne eine Check-Redirect-Richtlinie initialisierte.
Mohiuddin nennt diese Angriffsklasse „Protocol Pivoting“, da die Ausnutzungen funktionieren, wenn eine App MCP verwendet, um einem Agenten eine Aufgabe zuzuweisen, der dann bösartige Anweisungen unter Verwendung einer anderen Kommunikationsmethode an einen anderen Agenten weiterleitet. Vertrauen geht bei der Übersetzung verloren.
Quelle: Ars Technica · Zusammengefasst von HeadlinesBriefing