Die versteckte Nachricht, die den Scan stoppte
Beim Crawlen beliebter Websites nach Browser-Fingerprinting-Skripten entdeckte ein Forscher ein ungewöhnliches Skript mit verdächtigen Namen und unsichtbaren Zeichen. Dieses Skript, das auf einer der 10.000 meistbesuchten Websites des Internets gefunden wurde, enthielt neben scheinbar harmlosen Elementen auch verstörende versteckte Inhalte.
Die Entschlüsselung der unsichtbaren Zeichen enthüllte eine gefälschte Anweisung, die mit sicherheitskritischen Themen gespickt war. Dieser versteckte Text enthielt Begriffe im Zusammenhang mit Giftstoffen wie Rizin und Fentanyl sowie politisch sensible Begriffe wie den Platz des Himmlischen Friedens, die gezielt auf chinesische KI-Modelle abzielten.
Der eigentliche Zweck des Skripts war gewöhnliches Anti-Bot-Fingerprinting, bei dem Daten wie User-Agents und GPU-Anbieter gesammelt wurden. Der hinzugefügte Text erfüllte jedoch eine eindeutige, gegnerische Funktion: die KI-Analyse durch das Auslösen von Sicherheitsfiltern zum Scheitern zu bringen.
Bei Tests blockierten kommerzielle Spitzenmodelle wie OpenAI's GPT-6 Astra und Claude Opus 5.5 die Analyse aufgrund dieser eingebetteten Schlüsselwörter sofort. Selbst das Daybreak Blue-Programm von OpenAI für genehmigte Sicherheitsarbeiten konnte die Verweigerungen von Astra nicht umgehen.
Umgekehrt verarbeiteten Open-Source- und chinesische Modelle – darunter DeepSeek, GLM und Kimi – das Skript problemlos. GLM 5.3 identifizierte die Giftnamen erfolgreich als mathematisch harmlose Variablen-Lookups und deobfuskierte den Code vollständig, was eine kritische Divergenz im KI-Verhalten aufzeigt.
Wenn Sicherheitsleitplanken zur Augenbinde werden
Forscher testeten das Skript anschließend an verschiedenen Large Language Models (LLMs). Die Ergebnisse zeigten eine starke Divergenz: Kommerzielle Spitzenmodelle wie OpenAI’s GPT-6 Astra sowie Anthropic’s Claude Opus 5.5 und Fable 5.1 weigerten sich entweder vollständig, den Code zu verarbeiten, oder brachen die Analyse mittendrin ab, unter Berufung auf Sicherheitsverletzungen. Astra beispielsweise markierte den Code als "mögliches biologisches Risiko" und weigerte sich fortzufahren.
Diese Ergebnisse unterstreichen eine kritische Einschränkung. Selbst mit spezialisierten Zugriffsebenen wie OpenAI’s Daybreak Blue – konzipiert für genehmigte Sicherheitsarbeiten – hielten die Modelle an ihrer Verweigerung fest, was für eine potenzielle Übersteuerung die höhere Ebene Daybreak Red erforderte. Open-Source- und chinesische Ökosystem-Modelle – insbesondere DeepSeek, GLM und Kimi – analysierten den Code jedoch ohne Zwischenfälle und deobfuskierten das Skript trotz der eingebetteten Fallen-Wörter erfolgreich.
Dieser Verweigerungsmechanismus erzeugt eine Analyse-Verweigerung (Denial of Analysis), die automatisierte Sicherheitsscanner effektiv blind macht. Wenn ein KI-gestütztes System auf ein solches Skript stößt, können seine Sicherheitsleitplanken verhindern, dass es den Rest einer verdächtigen Datei untersucht, wodurch potenziell bösartiger Code ungeprüft bleibt. Während Modellversionen, spezifische Prompts und Zugriffsebenen das Verhalten beeinflussen können, zeigen die beobachteten Ergebnisse eine Schwachstelle auf, bei der Sicherheitsfilter zu einer ausnutzbaren Augenbinde werden.
Ein Trick, den sowohl Angreifer als auch Verteidiger nutzen können
Angreifer können verweigerungsauslösende Zeichenfolgen instrumentalisieren, um KI-basierte Sicherheits-Triage zu stören. Durch das Einbetten von Kommentaren oder Variablennamen, die auf biologische Risiken oder sensible politische Themen verweisen, in Malware können sie kommerzielle Large Language Models (LLMs) dazu bringen, die Verarbeitung zu verweigern oder abzubrechen, bevor der schädliche Code erreicht wird. Dies erzeugt einen Denial-of-Service-Effekt gegen KI-gesteuerte statische Analysen und macht automatisierte Sicherheitspipelines effektiv blind.
Umgekehrt wenden Verteidiger eine ähnliche Taktik mit context bombs in canary tokens an. Diese kurzen, versteckten Zeichenfolgen sind darauf ausgelegt, einen KI-Agenten dazu zu bringen, einen Eindringversuch zu stoppen, nachdem er auf einen platzierten Köder gestoßen ist. Zum Beispiel berichtete Tracebit, ein US-Sicherheitsunternehmen, von signifikanten Erfolgen beim Einsatz von context bombs in simulierten Angriffen.
Die Tests von Tracebit umfassten fünf führende Modelle in einem gefälschten Cloud-Konto eines Unternehmens über 152 Angriffsläufe hinweg. Claude Opus 4.8, das in 93 % der normalen Läufe vollen Administratorzugriff erreichte, schaffte dies kein einziges Mal, wenn eine einzelne context bomb platziert war. Über alle Modelle hinweg sank der Administratorzugriff von 57 % der Läufe auf 5 %.
Diese Technik nutzt das Modellverhalten aus, anstatt einen Angreifer zuverlässig zu identifizieren. Obwohl sie in den berichteten Tests von Tracebit effektiv war, nutzen context bombs die inhärenten Sicherheitsleitplanken der KI, um die eigenen Schutzmechanismen eines Angreifers in einen defensiven Kill-Switch zu verwandeln. Für weiterführende Informationen zur zugrunde liegenden Entdeckung siehe Why Is This Fingerprinting Script Creating Bioweapons?.
Gefällt Ihnen der Artikel? Erhalten Sie jeden Morgen einen wie diesen per E-Mail.
eine E-Mail pro Tag · Abmeldung mit zwei Klicks · kein Tracking durch Dritte
Die echte Lösung ist eine zuverlässige Analyse, kein Schlupfloch
Diese Herausforderung geht über einfache Verschleierung hinaus; sie offenbart ein kritisches Spannungsfeld in der KI-Sicherheit. Umfassende Verweigerungsrichtlinien, die dazu dienen, Missbrauch zu verhindern, können für Verteidiger unbeabsichtigt zu einer Augenbinde werden. Hugging Face beispielsweise wechselte für die Vorfallreaktion zu einem selbst gehosteten GLM 5.2-Modell, nachdem kommerzielle KI-Sicherheitsfilter die Analyse von über 17.000 Angreiferaktionen blockierten, mit der Begründung, sie könnten nicht zwischen böswilligen Aktivitäten und forensischen Untersuchungen unterscheiden.
Der Kompromiss ist deutlich: Strenge Sicherheitsvorkehrungen können legitime Sicherheitsarbeit behindern, aber ihre Lockerung birgt das Risiko, Modelle für Angreifer nützlicher zu machen. Während Modelle wie GPT-6 Astra und Claude Opus die Analyse verdächtiger Skripte verweigerten, verarbeiteten offene Modelle wie DeepSeek, GLM und Kimi diese, identifizierten die eingebetteten Verweigerungsauslöser und fuhren mit der Deobfuskierung fort.
Sicherheitsteams müssen dies proaktiv angehen. Testen Sie KI-Modelle auf Verweigerungsverhalten gegenüber bekannten gegnerischen Beispielen und potenziellen Exploits. Implementieren Sie layered scanning approaches, die KI mit traditionellen Tools und, was entscheidend ist, menschlicher Überprüfung kombinieren. Entwerfen Sie forensische Arbeitsabläufe, die davon ausgehen, dass kein einzelnes Modell immer konform sein wird, und stellen Sie sicher, dass manual override und alternative Analysepfade praktikabel bleiben. Diese Verschiebung priorisiert eine zuverlässige Analyse gegenüber pauschalen Verboten und macht die KI zu einem robusteren Partner in der Verteidigung.
Häufig gestellte Fragen
Wie kann ein Skript eine KI dazu bringen, die Analyse zu verweigern?
Es kann versteckten oder Ködertext enthalten, der Themen anspricht, die die Sicherheitsfilter eines Modells auslösen, was dazu führt, dass das System die Analyse verweigert oder abbricht, bevor der Code erklärt wird.
War das Fingerprinting-Skript selbst bösartig?
Die im Video beschriebene Untersuchung ergab ein weitgehend standardmäßiges Anti-Bot- und Browser-Fingerprinting-Skript. Sein versteckter Text schien darauf ausgelegt zu sein, die KI-Analyse zu behindern.
Kann diese Technik von Angreifern verwendet werden?
Ja. Angreifer können verweigerungsauslösenden Text in Malware oder verdächtigen Dateien platzieren, um KI-gestützte Sicherheitsscans und Triage zu stören.
Wie können Sicherheitsteams das Risiko reduzieren?
Verwenden Sie mehrere Analysemethoden, bewahren Sie die menschliche Überprüfung, testen Sie Tools gegen verweigerungsauslösende Inhalte und vermeiden Sie es, sich auf ein einzelnes Modell oder einen einzelnen Anbieter zu verlassen.