Fake AI Agent Skill passiert alle Security-Scanner und erreicht 26.000 Agents
Die Sicherheitsfirma AIR hat einen gefälschten KI-Agenten-Skill entwickelt, der alle gängigen Sicherheitsscanner täuschte und über einen populären Skill-Marketplace sowie Instagram-Werbung auf rund 26.000 Agents verteilt wurde. Der Skill sammelte E-Mail-Adressen der Nutzer, aber der Proof-of-Concept zeigt, wie leicht bösartige Skills in KI-Agenten-Ökosysteme eingeschleust werden können.
Die Sicherheitsfirma AIR hat einen gefälschten KI-Agenten-Skill entwickelt, der alle gängigen Sicherheitsscanner täuschte und über einen populären Skill-Marketplace sowie Instagram-Werbung auf rund 26.000 Agents verteilt wurde. Der Proof-of-Concept zeigt eine alarmierende Sicherheitslücke in den Ökosystemen moderner KI-Agenten-Plattformen auf.
Meldung und Einordnung
Die Sicherheitsfirma AIR (AI Incident Response) hat einen Experiment durchgeführt, der die Verwundbarkeit von KI-Agenten-Ökosystemen demonstriert. Die Forscher entwickelten einen gefälschten KI-Agenten-Skill, der sich als nützliches Tool tarnte, aber in Wirklichkeit dazu entwickelt wurde, Sicherheitskontrollen zu umgehen. Der Skill wurde über einen populären Skill-Marketplace veröffentlicht und zusätzlich über Instagram-Werbung beworben.
Das Ergebnis: Der Skill passierte alle Sicherheitsscanner, die AIR dagegen testete, und erreichte schätzungsweise 26.000 Agents, darunter auch solche auf Unternehmenskonten. Der Payload war bewusst harmlos gehalten: Er sammelte lediglich die E-Mail-Adresse des Nutzers und führte keine weiteren schädlichen Aktionen aus. Der Punkt des Experiments war zu zeigen, dass ein bösartiger Skill mit echtem Schadcode genauso leicht hätte verteilt werden können.
Technische Details für Admins
Der Fake-Skill nutzte mehrere Techniken, um Sicherheitsscanner zu umgehen. Die genaün Details wurden von AIR nicht vollständig offengelegt, um Nachahmer nicht zu ermutigen. Bekannt ist, dass der Skill dynamischen Code enthielt, der erst zur Laufzeit geladen wurde, und dass er sich als legitimes Tool tarnte, das in der Kategorie der Produktivitäts-Assistenten eingeordnet war.
| Eigenschaft | Wert |
|---|---|
| Erreichte Agents | Ca. 26.000 |
| Verteilungsweg | Skill-Marketplace + Instagram-Werbung |
| Gesammelte Daten | E-Mail-Adressen (Proof-of-Concept) |
| Betroffene Plattformen | Verschiedene KI-Agenten-Plattformen |
| Entdeckt von | AIR (AI Incident Response) |
| Status | Skill inzwischen entfernt |
Risiko für KMU und Betrieb
KI-Agenten werden zunehmend in Unternehmen eingesetzt, um Aufgaben zu automatisieren, Daten zu verarbeiten und Workflows zu steuern. Viele dieser Agenten können über Marktplätze mit zusätzlichen Skills oder Plugins erweitert werden. Das Modell erinnert stark an die App-Ökosysteme von Smartphones, die in der Vergangenheit immer wieder Ziel von Supply-Chain-Angriffen waren.
Für kleine und mittlere Unternehmen ist das Risiko besonders hoch, weil sie oft nicht über die Ressourcen verfügen, um jeden installierten Skill oder jedes Plugin auf dem KI-Agenten zu prüfen. Ein bösartiger Skill könnte Zugriff auf interne Dokumente, Kundendaten, E-Mails oder sogar Finanzsysteme erhalten, wenn der Agent entsprechende Berechtigungen hat.
Was Admins jetzt prüfen sollten
- Installierte Skills inventarisieren: Prüfen Sie alle aktüll installierten KI-Agenten-Skills und Plugins in Ihrem Unternehmen. Entfernen Sie nicht benötigte oder unbekannte Erweiterungen.
- Berechtigungen prüfen: Jeder Skill sollte nur die minimal notwendigen Berechtigungen haben. Ein Produktivitäts-Assistent braucht keinen Zugriff auf das Finanzsystem.
- Marketplace-Richtlinien prüfen: Welche Sicherheitskontrollen führt der von Ihnen genutzte Skill-Marketplace durch? Vertrauen Sie nicht blind auf automatisierte Scans.
- Agenten-Überwachung einrichten: Überwachen Sie, welche Aktionen Ihre KI-Agenten ausführen. Ungewöhnliche Datenzugriffe oder Kommunikationsmuster können auf kompromittierte Skills hindeuten.
- Test-Umgebung nutzen: Installieren Sie neue Skills zunächst in einer isolierten Testumgebung, bevor Sie sie im Produktivbetrieb freigeben.
- Richtlinien für Skill-Installationen: Definieren Sie klare Richtlinien, wer im Unternehmen neue KI-Agenten-Skills installieren darf. Nicht jeder Mitarbeiter sollte diese Berechtigung haben.
- Regelmäßige Audits: Führen Sie regelmäßige Sicherheitsaudits aller installierten KI-Agenten-Erweiterungen durch, ähnlich wie bei Browser-Erweiterungen oder WordPress-Plugins.
Betriebscheck nach der Meldung
- Welche KI-Agenten-Plattformen werden im Unternehmen eingesetzt?
- Sind alle installierten Skills und Plugins dokumentiert und autorisiert?
- Gibt es einen Prozess zur Freigabe neuer Skills vor der Installation?
- Werden die Berechtigungen der einzelnen Skills regelmäßig überprüft?
- Gibt es eine Möglichkeit, verdächtige Aktivitäten von KI-Agenten zu erkennen?
- Sind die Mitarbeiter über die Risiken von Drittanbieter-Skills informiert?
Admin-Einschätzung
Der AIR-Experiment ist ein wichtiger Weckruf für die gesamte KI-Agenten-Branche. Die Tatsache, dass ein gefälschter Skill alle Sicherheitsscanner passieren konnte, zeigt, dass die aktuellen Sicherheitsmechanismen in KI-Agenten-Ökosystemen nicht ausreichen. Das Problem erinnert an die frühen Tage der App-Stores, als Malware-Apps regelmäßig die Sicherheitskontrollen umgehen konnten.
Für Unternehmen bedeutet das: Vertrauen Sie nicht blind auf die Sicherheitsversprechen der Plattformbetreiber. Eigene Kontrollen, Berechtigungsmanagement und regelmäßige Audits sind derzeit der einzige Weg, um sich vor bösartigen Skills zu schützen. Die 26.000 erreichten Agents zeigen, dass das Problem keine theoretische Bedrohung ist, sondern bereits Realität.
Passende Anleitungen auf S-EDV
- Linux-Server absichern: UFW-Firewall und Fail2ban – Grundlegende Absicherung für Server, die KI-Agenten hosten.
- Docker und Docker Compose auf Linux installieren (Ubuntu/Debian): die Self-Hosting-Grundlage – Basis für das Betreiben eigener KI-Agenten in Containern.
