Cisco macht Erkennungssprache Quarry quelloffen

Cisco hat mit Project Quarry eine Regelsprache und Auswertungs-Engine zur Erkennung von Angriffen durch KI-Agenten als Open Source veröffentlicht. Quarry soll schädliches oder unerlaubtes Verhalten erkennen, das sich nur über eine Abfolge einzelner, für sich genommen harmloser Aktionen zeigt. Herkömmliche Sicherheitskontrollen bewerten Aktionen meist einzeln und erkennen solche Muster daher nicht.

„Das Verhalten von Agenten erfordert inzwischen eine eigene Sprache.”
Cisco

Regeln für ganze Sitzungen

Quarry wertet vollständige Sitzungen von KI-Agenten aus, einschließlich Nachrichten, Werkzeugaufrufen, Ergebnissen und Sitzungskontext. Cisco bezeichnet Quarry als neurosymbolische Regelsprache, da sie Klassifikatoren auf Basis von maschinellem Lernen und KI-Modelle als Prüfinstanz mit exakten regelbasierten Prüfungen kombiniert, etwa auf bestimmte Zeichenfolgen oder die Reihenfolge von Aufrufen. Eine Regel kann etwa erkennen, dass ein Agent eine Datei mit Zugangsdaten liest und innerhalb von vier Schritten eine Anfrage nach außen sendet. Anders als bei einer Regel für das Netzwerk-Erkennungssystem Snort, die ein Geheimnis in lesbarer Form im Datenverkehr finden muss, verhindert eine Kodierung der Daten damit keine Erkennung. Zudem hält Quarry fest, welche Schritte eine Erkennung ausgelöst haben.

Aufbau und Syntax der Regeln orientieren sich an Snort und dem Werkzeug YARA zur Erkennung von Schadsoftware. Cisco will Quarry zu einem gemeinsamen, offenen Standard für das Beschreiben und Teilen von Erkennungsregeln für Angriffe durch KI-Agenten machen, ähnlich wie Snort, YARA und Sigma in anderen Bereichen der Cybersicherheit. Auch KI-Agenten sollen Quarry-Regeln schreiben können.

Anlass Hugging Face

Als Beispiel für die Notwendigkeit verweist Cisco auf den Angriff von KI-Agenten von OpenAI auf die Plattform Hugging Face im Juli. Diebstahl von Zugangsdaten und Datenabfluss erfolgten dabei über eine Kette einzeln unauffälliger Aktionen. Hugging Face rekonstruierte im Nachhinein rund 17.600 Aktionen von Agenten. Mit den tatsächlichen Daten des Vorfalls hat Cisco Quarry allerdings nicht getestet.

Der Quellcode steht auf GitHub zur Verfügung, zusammen mit Dokumentation, Beispielregeln, einem Scanner für die Kommandozeile, einem Python-SDK und Plugins für Claude Code, Codex und andere MCP-fähige Agenten. Cisco setzt Quarry bereits in seiner Plattform AI Defense ein und plant eine Integration in DefenseClaw, seine quelloffene Steuerungsebene für Laufzeitumgebungen von Agenten.

(red)