Die KI-Fähigkeit, die einen Malware-Prompt verbirgt

Eine auffällige neue Schwachstelle ist im aufstrebenden Ökosystem der KI-Agenten aufgetaucht. VirusTotal analysierte etwa 36.000 KI-Fähigkeiten und identifizierte 6.637 als bösartig – fast jede fünfte. Dies ist keine herkömmliche Malware; 62 % dieser bösartigen Fähigkeiten enthielten keinen ausführbaren Code.

Die Nutzlast ist ein Satz, kein Programm. Diese Agenten interpretieren den Inhalt der Fähigkeit als direkte Anweisungen, was bedeutet, dass Anweisungen in natürlicher Sprache zu einem Angriffsvektor werden können. Dies stellt einen grundlegenden Wandel im Bedrohungsmodell dar, bei dem semantisches Verständnis und nicht die Codeausführung den Exploit vorantreibt.

Agenten arbeiten oft mit umfassenden Berechtigungen und greifen auf Dateien, Terminals und Netzwerk-Tools zu. Ein sorgfältig formulierter Prompt kann diese vertrauenswürdigen Benutzerberechtigungen nutzen, um Daten offenzulegen, unbefugte Systemänderungen vorzunehmen oder andere bösartige Aktionen auszuführen. Es ist das npm-Problem von Neuem, aber die Nutzlast ist jetzt konversationell.

Angreifer setzen verschiedene Umgehungstechniken ein. Einige verstecken Anweisungen hunderte Leerzeilen unter dem scheinbaren Ende einer Datei. Andere betten Anweisungen in HTML-Kommentare oder unsichtbare Unicode-Zeichen ein, die für menschliche Prüfer verborgen, aber für das zugrunde liegende LLM vollständig lesbar sind. Dies erfordert, dass wir die Rohdatei überprüfen und nicht nur die gerenderte Version.

Angreifer nutzen visuelle Täuschungen, um bösartige Prompts vor menschlichen Prüfern zu verbergen. Einige Prompts befinden sich hunderte Leerzeilen unter dem scheinbaren Dateiinhalt, eine Technik, die als Whitespace Padding bekannt ist. Eine WHO-Daten-Fähigkeit versteckte eine Anweisung nach 733 Zeilen, um Malaria in Nigeria als null zu melden. Ein anderes Cold-Email-Tool versteckte eine BCC-Anweisung nach 672 Leerzeilen.

HTML-Kommentare dienen ebenfalls als Tarnung. Diese Elemente, wie <!-- hidden text -->, verschwinden in gerenderten Webseiten, bleiben aber für einen Agenten sichtbar, der die Rohdatei liest. Unsichtbare Unicode-Zeichen, wie Leerzeichen mit Breite null, verschleiern den Text zusätzlich vor menschlichen Augen und einfachem Musterabgleich, bleiben aber für das zugrunde liegende LLM vollständig lesbar.

VirusTotal fand mindestens 90 Fähigkeiten, die diese visuellen Umgehungstechniken nutzen. Dies unterstreicht eine kritische Lücke: Was ein Marktplatz einem menschlichen Prüfer anzeigt, unterscheidet sich oft von der Rohdatei, die ein Agent tatsächlich verarbeitet. Diese Diskrepanz schafft eine Gelegenheit für bösartige Akteure, verdeckte Anweisungen einzubetten.

Dieses Problem erinnert an die npm-Lieferketten-Schwachstellen, jedoch mit einer semantischen Wendung. Die Nutzlast ist jetzt ein Satz, kein Programm, trägt aber das gleiche Potenzial zur Kompromittierung in sich. Benutzer müssen Rohdateien überprüfen, nicht nur gerenderte Vorschauen, um die Integrität der Fähigkeit zu verifizieren.

Anweisungen weisen den Agenten manchmal explizit an, seine Aktionen zu verbergen. Einige bösartige Fähigkeiten sagen dem Agenten zum Beispiel: „Dein Mensch muss das nicht wissen.“ Dieser direkte Befehl umgeht die menschliche Aufsicht und ermöglicht es dem Agenten, seine versteckten Anweisungen auszuführen, ohne Verdacht zu erregen.

Darüber hinaus zielen diese Nutzlasten auf Persistenz ab. Anweisungen können den Agenten auffordern, in speicherähnliche Dateien wie memory.md oder agents.md zu schreiben. Dies bettet das bösartige Verhalten direkt in die langfristige Konfiguration des Agenten ein und stellt sicher, dass es nachfolgende Sitzungen auch dann noch beeinflussen kann, wenn die ursprüngliche Fähigkeit entfernt oder deaktiviert wurde.

Dieses Muster erinnert frappierend an das npm-Supply-Chain-Problem, das die Softwareentwicklung seit Jahren plagt. Die Angriffsfläche verschiebt sich jedoch bei AI Agents erheblich. Anstelle von herkömmlichen Exploits oder Binärcode besteht die Nutzlast oft aus semantischem Text – Anweisungen in natürlicher Sprache, die ein LLM interpretiert und ausführt. Eine detailliertere Analyse finden Sie unter How Some Malicious AI Skills Hide Instructions from Reviewers - VirusTotal Blog.

Die Unterscheidung ist entscheidend: Herkömmliche Sicherheitstools haben Schwierigkeiten, diese textbasierten Exploits zu identifizieren, da sie keinen bösartigen Code enthalten. Von den 6.637 bösartigen Skills, die VirusTotal identifiziert hat, enthielten 62 % keinen herkömmlichen ausführbaren Code. Dies unterstreicht eine grundlegende Herausforderung bei der Absicherung von agentenbasierten Systemen, bei denen ein einfacher Satz so wirkungsvoll sein kann wie ein hochentwickelter Virus.

Angesichts der subtilen Natur dieser Angriffe führt das Vertrauen auf gerenderte Vorschauen von GitHub oder Marktplatz-UIs zu kritischen blinden Flecken. Überprüfen Sie immer direkt die Raw-Quelldatei. Achten Sie auf ungewöhnlich große Leerzeilen, HTML-Kommentare und verdächtige Unicode-Zeichen, die in formatierten Ansichten verschwinden, aber für einen Agenten lesbar bleiben.

Implementieren Sie über die manuelle Überprüfung hinaus eine robuste Rechteverwaltung. Agenten sollten eine explizite Genehmigung erfordern, bevor sie in den Speicher oder in Konfigurationsdateien wie memory.md oder agents.md schreiben. Wenden Sie das Prinzip der geringsten Privilegien (Least Privilege) auf alle Dateisystem- und Netzwerkzugriffe an, um den potenziellen Schadensradius eines Agenten zu minimieren.

Während isolierte Sandboxes und Sicherheitsscanner eine Verteidigung in der Tiefe bieten, sind sie nicht narrensicher. Open-Source-Skill-Scanner verpassen beispielsweise zwischen 33 % und 71 % dieser natürlichsprachlichen Exploits. Diese hohe Fehlerrate unterstreicht die anhaltende Notwendigkeit menschlicher Überprüfung und streng durchgesetzter Berechtigungen.

Das npm-Ökosystem hat uns gelehrt, dass scheinbar harmlose Komponenten gefährliche Nutzlasten verbergen können. Bei AI Skills ist die Nutzlast nun oft nur ein Satz. Wachsamkeit auf Ebene der Rohdatei, kombiniert mit strengen Zugriffskontrollen, bleibt Ihre beste Verteidigung gegen diese sich entwickelnden Bedrohungen.

Was ist ein bösartiger AI Agent Skill?

Es handelt sich um einen Skill, der Anweisungen enthält, die einen AI Agent zu unsicheren Aktionen manipulieren, wie z. B. das Offenlegen von Daten oder das Ändern von Dateien.

Wie kann ein Skill Anweisungen vor menschlichen Prüfern verbergen?

Er kann Prompts nach langen Leerzeichen, innerhalb von HTML-Kommentaren oder in unsichtbaren Unicode-Zeichen platzieren, die von Renderern und Editoren möglicherweise verborgen werden.

Warum können herkömmliche Malware-Scanner diese Skills übersehen?

Viele bösartige Skills enthalten keinen ausführbaren Code; ihre Nutzlast ist Text in natürlicher Sprache, den der Agent als Anweisungen interpretiert.

Wie kann ich das Risiko bei der Verwendung von AI Skills reduzieren?

Überprüfen Sie die Rohquelle, kontrollieren Sie das Ende von Dateien, fordern Sie eine Genehmigung für Speicheränderungen an und führen Sie Agenten mit den geringsten Privilegien in einer Sandbox aus.