Thought Leadership
Sicherheitsforscher von Tenet Security zeigten auf der DEF CON, wie sich Anweisungen in Sicherheits-Logs einschleusen lassen, die KI-Agenten dann ausführen.
Ghostjacking baut auf einer bereits zuvor von Tenet Security demonstrierten Technik namens Agentjacking auf, bei der Angreifer die von KI-Agenten verarbeiteten Daten gezielt manipulieren. Bei Ghostjacking nutzen die Forscher aus, dass drei weitverbreitete Plattformen blockierte, bösartige Anfragen wortwörtlich in ihren eigenen Protokollen speichern: Cloudflare, über das nach Unternehmensangaben rund 20 Prozent des weltweiten Web-Traffics läuft, Datadog sowie Sentry. Cloudflare und Datadog werden jeweils von knapp der Hälfte der Fortune-500-Unternehmen genutzt, Sentry von rund vier Millionen Entwicklern.
Bei der Cloudflare-Variante des Angriffs blockiert die Firewall eine bösartige Anfrage zwar zuverlässig, protokolliert dabei jedoch den vollständigen Wortlaut der Anfrage, einschließlich der vom Angreifer eingebetteten Anweisungen. Bittet ein Sicherheitsanalyst anschließend einen KI-Agenten, die blockierten Ereignisse zu überprüfen, liest und befolgt dieser die im Log versteckten Anweisungen und ändert die DNS-Einstellungen der Organisation so, dass die Domain auf eine vom Angreifer kontrollierte Adresse zeigt, bevor er den Vorfall selbst als erledigt meldet. Tenet Security erklärte dazu:
„Es funktionierte neun von zehn Mal gegen Claude Code. Jede Anfrage war bereits blockiert worden. Die Domain wurde trotzdem übernommen. Es ist Cloudflares eigene verwaltete Sicherheitsregel, die die Anfrage blockiert, und genau dieser Block trägt den Angriff in das System hinein.“
Tenet Security
Auch Datadog und Sentry als Einfallstor
Bei Datadog nutzt der Angriff nach Angaben von Tenet Security häufig offen im Internet auffindbare, eigentlich für die Frontend-Anbindung gedachte API-Schlüssel, von denen die Forscher selbst mehr als 2.700 im Netz aufgespürt haben wollen. Mit einem solchen Schlüssel platziert ein Angreifer einen gefälschten, als dringend markierten Diagnosehinweis. Bittet ein Entwickler daraufhin seinen KI-Agenten, nach Fehlern zu suchen, liest dieser den Hinweis und führt den darin enthaltenen Befehl des Angreifers aus, wodurch sich in Tests von Tenet Security unter anderem Umgebungsvariablen und Cloud-Zugangsdaten abgreifen ließen.
Bei Sentry wiederum nutzt der Angriff einen präparierten Fehlerbericht, den der dort integrierte KI-Agent Seer verarbeitet und dessen darin enthaltenen, vom Angreifer vorgeschlagenen Fix er als eigenen Lösungsvorschlag übernimmt. Wird dieser Fix anschließend an einen Programmier-Agenten weitergereicht, der Seer vertraut, führt dieser den Code des Angreifers aus. Zusätzlich entdeckte Tenet Security nach eigenen Angaben eine Schwachstelle in Claude Desktop, über die sich Daten an einen externen Server abgreifen ließen. Anthropic habe diese Lücke inzwischen ohne eigene CVE-Kennung behoben.
Ein wiederkehrendes Grundmuster
Nach Einschätzung von Tenet Security handelt es sich bei den drei untersuchten Plattformen nicht um drei separate Einzelschwachstellen, sondern um dasselbe zugrunde liegende Muster: Ein KI-Agent liest externe Daten, denen er vertraut, und derselbe Agent kann zugleich auf Grundlage dieser Daten handeln. Überall dort, wo beides zusammentrifft, entstehe eine Angriffsfläche, ein Muster, das den Forschern zufolge weit über die drei untersuchten Dienste hinausreicht, etwa auch bei der Kombination aus Splunk und einem Build-System oder aus Datadog und Kubernetes.
(red)
