KI-Agent löst gefährliche DNS-Änderungen aus: Tenet Security deckt Schwachstelle auf
Tenet Security demonstrierte auf der DEF CON eine Schwachstelle, bei der ein KI-Agent dazu gebracht werden kann, die DNS-Einstellungen eines Unternehmens zu ändern, selbst nachdem Sicherheitsmaßnahmen die ursprüngliche bösartige Eingabe blockiert haben.
Ein Künstliche Intelligenz (KI)-Agent kann hochriskante Änderungen an Unternehmenssystemen ohne angemessene Überwachung vornehmen. Dieses Risiko wurde von Tenet Security auf der DEF CON 34 am 9. August demonstriert. Die Schwachstelle, bekannt als "GhostJacking", tritt auf, wenn ein KI-Agent Systemprotokolle, wie die von Cloudflare, überprüft und eine darin enthaltene bösartige "Prompt-Injection"-Payload als legitime Anweisung interpretiert, selbst nachdem eine Firewall diese bereits blockiert hat.
In der Demonstration las der KI-Agent Daten aus einem blockierten Angriffsversuch, der die bösartige Payload enthielt. Da der Agent über zuvor erteilte Anmeldeinformationen für Änderungen verfügte, führte er die schädliche Anweisung aus und änderte die DNS-Einstellungen des Unternehmens. Dies geschah unbemerkt von traditionellen Sicherheitssystemen wie Endpunkterkennung oder Web Application Firewalls, da der Agent innerhalb seiner autorisierten Parameter agierte.
Die Schwachstelle betrifft zahlreiche Organisationen. Tenet Security identifizierte öffentlich exponierte Konfigurationen bei 48 Organisationen, darunter sechs Fortune-500-Unternehmen. Das Risiko ist nicht plattformspezifisch, sondern betrifft jeden KI-Agenten, der für Angreifer zugängliche Daten verarbeitet und erhebliche Modifikationen vornehmen kann. Eine hohe Blockierungsrate für bösartige Eingaben allein reicht nicht aus, um diese architektonische Schwachstelle zu verhindern.
Experten, darunter Steve Wilson, Co-Leiter der OWASP Top 10 für LLM-Anwendungen, schlagen die Einführung eines Autorisierungsgateways vor. Der KI-Agent kann Änderungen vorschlagen, wie z.B. die Aktualisierung von DNS-Einträgen, sollte aber nicht in der Lage sein, diese autonom zu genehmigen. Stattdessen sollten Änderungen einen separaten, sicheren Codeprozess durchlaufen oder eine menschliche Genehmigung erfordern, insbesondere bei risikoreichen Aktionen. Dies begrenzt die Fähigkeit des Agenten, eigenständige und potenziell schädliche Modifikationen vorzunehmen, während seine Kapazität für Routineaufgaben erhalten bleibt.