Im Bereich der Cybersicherheit ist ein Ereignis eingetreten, das die Ansätze zum Schutz von Unternehmenssystemen grundlegend verändern könnte. Experten der Firma Pillar Security entdeckten einen völlig neuen Typ von Cyberangriff, der als „Agent-to-Agent' (Agent gegen Agent) bezeichnet wird. Die Schwachstelle wurde im Google ADK-Repository (Application Development Kit) gefunden und ermöglicht es Angreifern, einen KI-Bot mit geringen Rechten zu nutzen, um einen Bot mit hohen Zugriffsrechten zu manipulieren.
Neuer Bedrohungsvektor: Von der Theorie zur Praxis
Die Entdeckung wurde vom Sicherheitsexperten Dan Lisichkin gemacht. Laut ihm deutet das Auftreten solcher Angriffe auf eine erhebliche Ausweitung der Angriffsflächen hin. Im „prä-agentischen' Zeitalter existierten solche Angriffsvektoren schlichtweg nicht, was die Leiter der Informationssicherheit (CISO) zwingt, ihre Modelle zur Bedrohungsprävention dringend zu überarbeiten.
Das Kernproblem liegt in der fehlerhaften Isolierung zweier Klassen automatisierter KI-Agenten. Trotz unterschiedlicher Zugriffsebenen nutzten sie ein gemeinsames Vertrauenslimit. Dies schuf eine Lücke, durch die ein Hacker von einem niedrigen auf ein hohes Privilegenniveau springen konnte.
Mechanik des Hacks: Wie es funktioniert
Der Angriff wird mittels der Technologie „Prompt Injection' durchgeführt – dem Einschleusen bösartiger Anweisungen in einen Textanfrage. Der Angreifer zwingt einen öffentlichen Bot dazu, ein spezielles Tag für einen Dienstbefehl zu generieren, beispielsweise @gemini-cli.
Der entscheidende Punkt der Schwachstelle liegt in der Art und Weise, wie das System diese Anfrage interpretiert. Da der öffentliche Bot vom System als ein Konto mit Collaborator-Rechten (Mitarbeiter) eingestuft wurde, wurde das von ihm generierte Tag als legitime Anfrage eines Entwicklers interpretiert.
Als Folge wurde ein hochprivilegierter Bot aktiviert, der Aktionen in der CI/CD-Umgebung auszuführen begann. Insbesondere konnte er Zugriffstoken auslesen und Kommentare im Code ändern, was den Weg zur Kompromittierung kritischer Infrastrukturen ebnet.
Position von Google und Reaktion der Experten
Der US-amerikanische Tech-Gigant hat die aufgedeckte Schwachstelle in seinem Repository оперативно behoben. Das Unternehmen lehnte jedoch die Auszahlung einer Belohnung an den Forscher im Rahmen des Bug-Bounty-Programms ab. Google begründete seine Entscheidung damit, dass für die erfolgreiche Durchführung des Angriffs dem Angreifer dennoch Elemente der Social Engineering und eine finale Bestätigung durch einen Menschen (Maintainer) erforderlich waren.
Trotzdem sind sich die Experten von Pillar Security nicht einig, dass dies den Angriff sicher macht. Sie betonen, dass eine einfache Isolierung der Ausführungsumgebungen von Assistenten keine ausreichende Schutzmaßnahme mehr ist.
Die Zukunft der KI-Sicherheit
Experten bestehen auf einem Wechsel zu einer neuen Sicherheitsparadigma. Jeder KI-Agent muss über eine eigene, streng begrenzte digitale Identität (Agent Identity) und klar abgegrenzte Zugriffsrechte auf Ressourcen verfügen. Nur ein solcher Ansatz wird es unmöglich machen, einen Bot zur Umgehung der Autorisierung eines anderen Bots zu nutzen.
