Der Schlüssel, einen KI‑Cyberangriff zu stoppen, könnte simpel sein: Man spricht ein Thema an, über das die KI nicht reden darf.
Forschende haben eine ungewöhnliche, aber wirkungsvolle Methode gefunden, um einen KI-Hack-Agenten sofort zu stoppen: Sie nutzen genau denselben Trick, mit dem Hacker bereits heute KI-Systeme austricksen.
WERBUNG
WERBUNG
Entscheidend ist dabei: Die Methode greift auf eingebaute Sicherheitsmechanismen zurück – Themen, über die große KI-Systeme grundsätzlich nicht sprechen. Claude blockiert zum Beispiel Anfragen zur Entwicklung biologischer Waffen. Viele in China entwickelte Modelle verweigern Antworten zu sensiblen politischen Themen wie dem Tiananmen-Platz. Genau diese Sperren lassen sich nutzen, um einen KI-Angriff auf die Cybersicherheit abzustellen.
Wettlauf mit der Maschine
Die Technik stammt von Tracebit, einer Sicherheitsfirma aus London, und knüpft an eine Studie an, die das Unternehmen im Mai veröffentlicht hat.
Damals setzte Tracebit zehn führende KI-Modelle auf ein fingiertes Firmennetzwerk an. Die Umgebung enthielt echte Sicherheitslücken, und die Modelle durften sich dort als autonome Angreifer austoben.
In das Netz waren Täuschungen eingebaut, sogenannte Canaries. Sie sahen aus wie echte Passwörter und Zugangsdaten. Sobald eines davon berührt wurde, schlug das Verteidigungssystem Alarm.
Die Ergebnisse fielen ermutigend aus. Bei 951 Angriffsversuchen lösten die Canaries in 95,9 Prozent der Fälle einen Alarm aus, bevor die KI Administratorrechte erreichte. Im Median lagen zwischen Warnung und möglichem Durchbruch acht Minuten.
Acht Minuten sind jedoch wenig Zeit, um zu reagieren und einen Angriff zu stoppen. Die KI-Modelle brauchten im Schnitt 14 Minuten für einen vollständigen Einbruch. Eine Warnung nach acht Minuten verschafft einem Sicherheitsteam also nur etwa sechs Minuten, um den Alarm zu sehen, die Lage zu verstehen und gegenzusteuern.
Gegen Angreifer, die mit Maschinentempo agieren, ist das kaum ausreichend.
Wenn KI-Systeme jedoch so programmiert sind, dass sie bei bestimmten politisch sensiblen Eingaben sofort stoppen, kann genau dieser Trick wirken.
Entwicklerinnen und Entwickler können ein Modell zwar nachtrainieren, damit es Sicherheitsfragen weniger zögerlich beantwortet. Politische Sperren, die aus regulatorischen oder politischen Gründen fest verankert sind, lassen sich jedoch deutlich schwerer entfernen.
Diese politisch heiklen oder sicherheitsnahen Themen sind kein Fehler, den man behebt. Sie sind eine bewusste Designentscheidung, die die Anbieter beibehalten müssen.
Hackern ihren eigenen Trick zurückspielen
Prompt-Injection galt bislang vor allem als Waffe der Angreifer.
Versteckt jemand eine Anweisung in einer E‑Mail, einer Webseite oder einer Kalendereinladung, kann ein KI-Agent diese versteckte Vorgabe ausführen – statt seine eigentliche Aufgabe.
Angreifer setzen das bereits direkt gegen KI-Schutzsysteme ein. Schadsoftware enthält dabei Text, der speziell formuliert ist, um Prüfwerkzeuge zu verwirren, sodass die KI sie fälschlich als harmlos einstuft.
Tracebit drehte die Idee nun um. Statt bloßer Köder, die nur einen Alarm auslösen, platzierte das Team kurze Textstücke in den fingierten Geheimnissen. Sie sollten jeden KI-Angreifer gezielt in Bereiche lenken, die seine eigenen Sicherheitsregeln untersagen.
Liest die KI diesen Text beim Durchsuchen des Systems, greifen ihre eingebauten Schutzmechanismen – und sie stoppt. Tracebit nennt das eine Kontextbombe.
Der Trick musste für jedes Modell angepasst werden. Inhalte, die auf gefährliche biologische Waffen verweisen, stoppten westliche Modelle zuverlässig.
Kontextbomben im Test: funktioniert das?
Tracebit testete den Ansatz mit fünf führenden KI-Modellen: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro und Kimi K2.6. Über 152 Angriffsversuche hinweg waren die Ergebnisse deutlich.
Der Anteil der Durchläufe mit Administratorzugriff sank von 57 Prozent auf fünf Prozent. Eine vollständige Kompromittierung – also Administratorrechte plus dauerhafter Zugang zum System – ging von 36 Prozent auf ein Prozent zurück.
Durchläufe, bei denen überhaupt ein Teilangriff gelang, fielen von 91 Prozent auf 15 Prozent. Entscheidender Punkt: Jeder einzelne Versuch mit Kontextbombe löste weiterhin zuerst einen Canary-Alarm aus – selbst jene, bei denen der Einbruch scheiterte.
Am deutlichsten zeigte sich der Effekt bei Opus 4.8. Das Modell war zugleich der stärkste Angreifer in der Gruppe und erreichte ohne Kontextbombe in 93 Prozent der Durchläufe Administratorrechte. Sobald eine Kontextbombe eingebaut war, scheiterte es jedes Mal.
Was der Ansatz nicht leistet
Bei Tracebit behauptet niemand, Prompt-Injection sei damit endgültig gelöst.
Es gibt weiterhin kein verlässliches Mittel, das verhindert, dass KI-Modelle gelegentlich eine versteckte Anweisung mit normalen Daten verwechseln. Genau auf dieser Schwäche baut die Methode auf.
Sie ersetzt zudem nicht die frühere Forschung zu Canaries.
Beide Ansätze sollen zusammenspielen: Die Untersuchung aus dem Mai verschafft Verteidigern eine Warnzeit von acht Minuten. Die Kontextbombe soll ihnen zusätzlich Zeit erkaufen, indem sie den Angriff stoppt, bevor dieses Fenster wieder zugeht.