SkillCloak: Bösartige Skills bleiben für Scanner unsichtbar
KI-generiert mit ChatGPT
Forscher der Hong Kong University of Science and Technology haben schädliche Skills für KI-Agenten so getarnt, dass sie alle acht getesteten Sicherheitsscanner umgehen. Als Grundlage dienten 1.613 schädliche Skills aus dem Marktplatz ClawHub. Die Autoren tarnten sie neu, ließen ihre Schadfunktion aber unverändert. Die Ergebnisse stammen aus einem Preprint und wurden noch nicht unabhängig begutachtet.
Zwei Techniken, zwei Wege am Scanner vorbei
Ein Skill erweitert einen KI-Agenten um eine Fähigkeit, ähnlich wie eine App ein Smartphone ergänzt. Solche Skills stammen oft von anonymen Autoren und laufen mit den vollen Rechten des Agenten. Ein bösartiger Skill kann damit Zugangsdaten stehlen, Quellcode erbeuten oder einen Remotezugang einrichten. Warum gerade der weitreichende Zugriff eines KI-Agenten zum Risiko wird, haben wir grundsätzlich eingeordnet.
Bisher prüfen Scanner einen Skill vor der Installation und blockieren, was gefährlich aussieht. Genau diese Prüfung stellt die Studie infrage. Das vorgestellte Werkzeug SkillCloak nutzt zwei Ansätze. Die erste Technik schreibt verdächtige Bestandteile wie Befehle oder Adressen in gleichbedeutende, harmlos wirkende Formen um. Die zweite Technik versteckt den Schadcode in einem ungeprüften Bereich und baut ihn erst zur Laufzeit des Agenten wieder zusammen.
Die zweite Technik entgeht nach Angaben der Autoren jedem der acht Scanner in über 90 % der Fälle. Bei den meisten Scannern liegt die Erfolgsquote sogar über 99 %. Die erste Technik übersteht mehr als 80 % der Prüfungen und erreicht bei einem kombinierten Scanner 96 %.
AnzeigeDer Schadcode bleibt funktionsfähig
Die Autoren testeten die getarnten Skills an den produktiven Agenten Claude Code und OpenAI Codex. Dabei arbeiteten die Skills nach ihren Angaben genauso zuverlässig wie die Originale. Der Schadcode blieb also voll funktionsfähig. Damit greift die Kritik an rein statischer Prüfung, die eine Datei nur nach ihren sichtbaren Merkmalen bewertet. Als Gegenentwurf schlagen die Forscher SkillDetonate vor, eine Prüfung nach Verhalten. Diese führt einen Skill in einer abgeschotteten Testumgebung aus. Dabei wird beobachtet, was der Skill tatsächlich macht, welche Dateien dieser lädt und wohin die Daten gesendet werden. Nach den eigenen Messungen der Autoren erkennt dieser Ansatz 97 % der Angriffe bei einer Fehlalarmquote von 2 %. Bei echten schadhaften Skills liegt die Erkennungsrate bei 87 %.
Wie stark der Marktplatz ClawHub bereits zur Angriffsfläche geworden ist, zeigte zuletzt der Streit um 13.000 gespiegelte Skills durch Tencent. Ein Scan auf Grundlage des Verhaltens ist keine Garantie gegen jeden Angriff. Er reiht sich aber in die wachsende Debatte um die Supply Chain der KI-Ära ein.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
