Thought Leadership
Dokumentationsdateien auf Websites referenzieren auf potenziell gefährlichen Code, der automatisch installiert wird, sobald ihn Claude, Codex oder Hermes aufrufen.
Betroffen sind sogenannte llms.txt- und llms-full.txt-Dateien, eine sich derzeit etablierende Konvention, mit der Websites KI-Agenten maschinenlesbare Zusammenfassungen der eigenen Inhalte und Struktur bereitstellen, vergleichbar mit der seit Langem für Suchmaschinen genutzten robots.txt-Datei. Um zu untersuchen, was tatsächlich geschieht, wenn ein KI-Agent eine solche Datei verarbeitet, registrierten die israelischen Forscher laut Ars Technica selbst mehrere darin referenzierte, bislang nicht beanspruchte Paketnamen und hinterlegten dort eigene Pakete, die bei tatsächlicher Ausführung eine Verbindung zu einem eigenen Server aufbauten.
Bereits innerhalb einer Stunde erhielten die Forscher eine entsprechende Rückmeldung von einem Fortune-500-Unternehmen, im weiteren Verlauf kamen mehrere weitere Fortune-500-Unternehmen sowie einzelne Start-ups hinzu. Über die dabei protokollierte Kette übergeordneter Prozesse ließ sich zudem nachvollziehen, dass die jeweilige Installation von KI-Programmierassistenten ausgelöst worden war, konkret von Claude, OpenAIs Codex sowie Nous Researchs Hermes. Mindestens eine der untersuchten, fehlerhaft konfigurierten Websites verwies Besucher, unabhängig davon ob Mensch oder KI-Agent, sogar direkt auf aktive, tatsächlich schädliche Software. Weder Anthropic noch OpenAI oder Nous Research reagierten den Berichten zufolge bis zur Veröffentlichung auf entsprechende Presseanfragen.
Forscher sprechen von grundlegend gebrochenem Vertrauensmodell
Alon Hertz, einer der beteiligten Forscher, erklärte dazu:
„Das Vertrauensmodell ist kaputt.“
Alon Hertz, einer der beteiligten Forscher
Agenten behandelten Herstellerdokumentation als gesicherte Grundwahrheit und hinterfragten diese grundsätzlich nicht, ebenso wenig wie die Menschen, die diese Agenten eigentlich beaufsichtigen sollten. Da die Nutzung agentischer KI branchenübergreifend rasant zunehme und sich Agenten zunehmend über sämtliche Ebenen hinweg verbreiteten, von SaaS-Anwendungen über die Cloud bis zum Endgerät, wachse mit jedem zusätzlichen Agenten auch die Angriffsfläche der Software-Lieferkette, während bestehende Schutzmechanismen diese neue Fläche bislang nicht abdeckten.
In einer begleitenden Veröffentlichung hielten die Forscher zudem fest, ein Agent unterscheide grundsätzlich nicht zwischen einer gewöhnlichen Textseite und einem tatsächlichen Befehl: Alles, was er lese, gelte ihm als Eingabe, und jede Eingabe stelle eine potenzielle Anweisung dar. Der gesamte Bestand veröffentlichter Daten, den Agenten inzwischen routinemäßig verarbeiten, sei dadurch stillschweigend zu einer eigenen Ausführungsfläche geworden, für die praktisch keine der Integritätsprüfungen gelten, die für tatsächlichen Programmcode selbstverständlich sind.
(red)
