Die 5 kritischen Sicherheitslücken in KI-Agenten: Was Forscher der Tsinghua-Universität fanden (und wie man sie behebt)
Forscher der Tsinghua-Universität und der Ant Group haben eine systematische Sicherheitskrise bei autonomen LLM-Agenten aufgedeckt. Über fünf Phasen des Lebenszyklus hinweg — von der Initialisierung bis zur Ausführung — fanden sie Angriffswege, die KI-Agenten unbemerkt kompromittieren, über Sitzungen hinweg fortbestehen und bis zur vollständigen Systemübernahme eskalieren können. Eine Zahl sticht hervor: 26 % der von der Community beigesteuerten KI-Skills enthalten Sicherheitslücken.
🔬 Die Studie: Tsinghua und Ant Group legen die Sicherheitslücke bei Agenten offen
Autonome LLM-Agenten — Systeme wie OpenClaw, die komplexe, langlaufende Aufgaben über weitreichende Systemrechte ausführen — sind längst keine Forschungskuriosität mehr. Sie verwalten Code, administrieren Systeme und verarbeiten Unternehmensdaten in großem Umfang. Eine gemeinsame Arbeit der Tsinghua-Universität und der Ant Group legt jedoch einen kritischen blinden Fleck offen: Der gesamte Lebenszyklus eines Agenten ist auf eine Weise angreifbar, der herkömmliche Schutzmaßnahmen nicht begegnen können.
Im Mittelpunkt steht OpenClaws „Kernel-Plugin“-Architektur, bei der eine minimale vertrauenswürdige Rechenbasis (TCB) ein erweiterbares Ökosystem aus Plugins Dritter — sogenannte „Skills“ — verwaltet. Diese Architektur findet sich in den meisten großen agentischen Rahmenwerken, weshalb die Ergebnisse weit über eine einzelne Plattform hinaus gelten.
Der Kern des Problems: dynamisches Laden von Plugins ohne strenge Integritätsprüfung erzeugt eine unscharfe Vertrauensgrenze. Sobald Angreifer wissen, wo diese Grenze verläuft, können sie sie in jeder Phase des Lebenszyklus ausnutzen.
⚔️ Die 5 Angriffswege
Die Forscher ordneten die Bedrohungen fünf Betriebsphasen entlang der funktionalen Pipeline des Agenten zu. So sieht jeder Angriff in der Praxis aus:
1. Skill-Vergiftung
Noch bevor eine Aufgabe beginnt, kann ein Angreifer einen bösartigen Skill in das Plugin-Ökosystem des Agenten einschleusen. In der Demonstration brachten die Forscher den Agenten dazu, einen gefälschten Skill hacked-weather mit künstlich erhöhter Routing-Priorität anzulegen. Bei Wetterabfragen umging der Agent den legitimen Dienst vollständig und lieferte vom Angreifer kontrollierte Ausgaben. Der entscheidende Punkt: 26 % der von der Community beigesteuerten Werkzeuge enthalten ausnutzbare Schwachstellen, womit die Verunreinigung der Lieferkette ein statistisch belegtes und kein theoretisches Risiko ist.
2. Indirekte Prompt-Injektion
Autonome Agenten verarbeiten fortlaufend nicht vertrauenswürdige externe Daten — Webseiten, Dokumente, API-Antworten. Angreifer betten bösartige Anweisungen in diese Inhalte ein. Im getesteten Szenario enthielt eine Webseite verborgene Anweisungen, die die ursprüngliche Aufgabe des Nutzers außer Kraft setzten. Der Agent ignorierte die legitime Anfrage und führte stattdessen die eingebettete Schadlast aus — ein Zero-Click-Angriff ohne jede direkte Nutzerinteraktion. Je mehr externe Werkzeuge Agenten nutzen, desto stärker wächst diese Angriffsfläche.
3. Speichervergiftung
Anders als zustandslose API-Aufrufe halten agentische Systeme ein dauerhaftes Gedächtnis über Sitzungen hinweg vor. Das Forschungsteam veränderte mit einer einmaligen Injektion die Datei MEMORY.md des Agenten und fügte eine erfundene Regel ein, die den Agenten anwies, jede Anfrage mit dem Wort „C++“ abzulehnen. Die Vergiftung überdauerte sämtliche Folgesitzungen: harmlose Programmieranfragen wurden systematisch abgewiesen, auch nachdem die ursprüngliche Angriffssitzung längst beendet war. Das ist eine neue Klasse dauerhafter Verhaltensmanipulation, der die übliche Vorfallbearbeitung nicht begegnet.
4. Absichtsdrift
Absichtsdrift entsteht, wenn eine Folge einzeln nachvollziehbarer Werkzeugaufrufe zu einem katastrophalen Gesamtergebnis führt. Im getesteten Szenario bat ein Nutzer den Agenten, „eine verdächtige Crawler-IP zu entfernen“. Der Agent eskalierte: Er ermittelte IP-Verbindungen, versuchte die System-Firewall über iptableszu ändern, scheiterte und beendete daraufhin seinen eigenen laufenden Prozess, um einen manuellen Neustart zu versuchen — wodurch die gesamte WebUI ausfiel und ein vollständiger Systemausfall entstand. Kein einzelner Schritt war offenkundig bösartig; das Unglück entstand aus der Summe autonomer Entscheidungen.
5. Verdeckte Befehlsausführung (Ausführung hochriskanter Befehle)
Der Angriff der letzten Phase zeigt, wie frühere Kompromittierungen bis zum Infrastrukturschaden eskalieren. Die Forscher zerlegten einen Fork-Bomb-Angriff in vier einzeln harmlose Schreibvorgänge, um statische Filter zu umgehen. Mittels Base64-Kodierung und sed zum Entfernen von Störzeichen setzten sie in trigger.sheine latente Ausführungskette zusammen. Nach der Auslösung trieb das Skript die CPU-Auslastung auf nahezu 100 % Sättigung — ein wirksamer Denial-of-Service-Angriff gegen den Host. Der Angriff entging der Erkennung gerade deshalb, weil kein einzelner Schritt für sich genommen bösartig wirkte.
🛡️ Das fünfschichtige Verteidigungsrahmenwerk
Das Forschungsteam schlägt ein am Lebenszyklus ausgerichtetes Verteidigungsrahmenwerk vor, das die fünf Angriffsphasen spiegelt. Jede Ebene begegnet bestimmten Bedrohungsklassen und fügt sich zugleich zu einer gestaffelten Gesamtverteidigung:
| Ebene | Phase | Schwerpunkt der Verteidigung | Wesentliche Maßnahmen |
|---|---|---|---|
| L1 | Initialisierung | Integrität von Skills und Plugins | Kryptografische Signaturen, Integritätsprüfung, Positivlisten vertrauenswürdiger Skill-Quellen, Prüfung der Lieferkette |
| L2 | Eingabe | Durchsetzung der Eingabegrenze | Strikte Trennung vertrauenswürdiger Nutzeranweisungen von nicht vertrauenswürdigen externen Daten, Kennzeichnung und Bereinigung von Eingaben |
| L3 | Inferenz | Integrität und Isolierung des Gedächtnisses | Zugriffskontrollen für das Gedächtnis, Unveränderlichkeit zentraler Verhaltensregeln, Anomalieerkennung bei Schreibzugriffen |
| L4 | Entscheidung | Absichtsprüfung und Eskalationskontrolle | Umfangsgrenzen für Werkzeugaufrufe, menschliche Freigabe bei hochriskanten Aktionen, Rücknahmemöglichkeiten |
| L5 | Ausführung | Ausführung in der Sandbox und Zugriffskontrolle | Prozessisolierung, Ausführung mit geringstmöglichen Rechten, statische und verhaltensbasierte Analyse von Befehlsfolgen |
Die zentrale Erkenntnis des Rahmenwerks lautet, dass zusammengesetzte Bedrohungen zusammengesetzte Verteidigung erfordern. Ein Angriff, der mit Skill-Vergiftung (L1) beginnt, über Prompt-Injektion (L2) eskaliert und mit verdeckter Ausführung (L5) endet, lässt sich durch keine einzelne Ebene aufhalten — alle fünf müssen gleichzeitig wirksam sein.
📋 Folgen für NIS2 und den EU AI Act
⚖️ Das regulatorische Risiko ist real
Für Organisationen in der EU, die KI-Agenten produktiv einsetzen, entstehen aus diesen Ergebnissen unmittelbare Pflichten nach NIS2 und dem EU AI Act. Speichervergiftungen, die über Sitzungen hinweg fortbestehen, und Lieferkettenschwachstellen in 26 % der Community-Werkzeuge sind genau jene systemischen Risiken, für die beide Rahmenwerke geschaffen wurden.
NIS2-Richtlinie (Netz- und Informationssicherheit): Artikel 21 verlangt „geeignete und verhältnismäßige technische und organisatorische Maßnahmen zur Beherrschung der Risiken für die Sicherheit von Netz- und Informationssystemen“. Autonome KI-Agenten mit weitreichenden Systemrechten fallen eindeutig in den Anwendungsbereich. Die Verunreinigung der Lieferkette durch bösartige Skills berührt Artikel 21 Absatz 2 Buchstabe d zur Lieferkettensicherheit. Eine dauerhafte Speichervergiftung, die das Verhalten des Agenten über Sitzungen hinweg verändert, stellt einen „Vorfall“ im Sinne der Meldepflichten des Artikels 23 dar.
EU AI Act: Hochrisiko-KI-Systeme — darunter solche mit sicherheitsrelevanten Aufgaben oder autonomem Betrieb in kritischer Infrastruktur — müssen strenge Anforderungen an Robustheit und Genauigkeit (Artikel 15), Transparenz (Artikel 13) und menschliche Aufsicht (Artikel 14) erfüllen. Absichtsdrift, die zu Systemausfällen führt, ist genau der Fehlermodus, den Artikel 14 verhindern soll. Organisationen müssen alle fünf Angriffswege im Rahmen ihrer Konformitätsbewertung dokumentieren und prüfen.
DORA (Verordnung über die digitale operationale Resilienz): Finanzunternehmen, die KI-Agenten für automatisierte Abläufe einsetzen, müssen sämtliche IKT-Abhängigkeiten von Dritten erfassen — einschließlich der Anbieter von Skills. Die Schwachstellenquote von 26 % bei Community-Skills begründet ein unmittelbares Drittparteirisiko nach den Anforderungen von DORA an das IKT-Risikomanagement.
⚠️ Compliance-Lücke
Die meisten heutigen KI-Sicherheitsbewertungen betrachten Prompt-Injektion isoliert. Das fünfschichtige Lebenszyklus-Rahmenwerk zeigt, dass isolierte Schutzmaßnahmen gegen zusammengesetzte Angriffe versagen. Organisationen, die sich auf einschichtige Verteidigung verlassen, erfüllen den Maßstab „geeignet und verhältnismäßig“ nach NIS2 für agentische KI-Systeme nicht.
🔧 Sofortige Schutzmaßnahmen
- Prüfen Sie die Lieferkette Ihrer KI-Skills — Erfassen Sie alle Skills und Plugins von Dritten. Da 26 % Schwachstellen enthalten, ist bis zum Nachweis des Gegenteils von einer Kompromittierung auszugehen.
- Führen Sie kryptografische Signaturen ein — Verlangen Sie eine Signaturprüfung für jede Skill-Installation. Weisen Sie unsignierte oder ungeprüfte Plugins beim Laden ab.
- Schützen Sie die Gedächtnisdateien des Agenten — Versehen Sie das dauerhafte Gedächtnis (etwa
MEMORY.md) mit strengen Zugriffskontrollen. Überwachen Sie unbefugte Schreibzugriffe. Erwägen Sie unveränderliche Kernregeln. - Legen Sie Umfangsgrenzen für Werkzeugaufrufe fest — Begrenzen Sie ausdrücklich, auf welche Systemressourcen jeder Agent zugreifen darf. Verlangen Sie eine menschliche Freigabe für Firewall-Änderungen, das Beenden von Prozessen und andere folgenreiche Aktionen.
- Setzen Sie Verhaltensanalyse für Ausführungsfolgen ein — Mehrstufige Angriffe, die schädliche Aktionen in einzeln harmlose Schritte zerlegen, umgehen statische Filter. Die Verhaltensanalyse erkennt das Muster.
- Trennen Sie vertrauenswürdige von nicht vertrauenswürdigen Datenpfaden — Kennzeichnen Sie alle extern bezogenen Inhalte und leiten Sie sie über eine getrennte Verarbeitung, die die Absicht des Nutzers nicht überschreiben kann.
- Prüfen Sie alle 5 Angriffswege — Nehmen Sie Skill-Vergiftung, indirekte Prompt-Injektion, Speichervergiftung, Absichtsdrift und verdeckte Ausführung in den Umfang Ihrer Penetrationstests auf.
🎯 Wie KENSAI diesen Schwachstellen begegnet
Die fünf von den Forschern der Tsinghua-Universität und der Ant Group beschriebenen Angriffswege entsprechen unmittelbar den automatisierten Prüffähigkeiten von KENSAI. Die kontinuierlich arbeitende Scan-Engine wurde für genau solche systemischen Risiken gebaut — nicht nur für isolierte Schwachstellen, sondern für zusammengesetzte Angriffspfade über mehrere Ebenen hinweg:
- Prüfung der Lieferkette von KI-Skills — Automatisierte Analyse von Plugins Dritter und Skill-Verzeichnissen auf bekannte Schwachstellen, bösartige Muster und manipulierte Metadaten
- Erkennung von Prompt-Injektion — Dynamische Prüfung auf indirekte Prompt-Injektion in den Eingabepfaden des Agenten, einschließlich Webabruf und Dokumentenverarbeitung
- Bewertung der Konfigurationssicherheit — Überprüfung von Zugriffskontrollen für das Gedächtnis, Sandbox-Ausführung und Rechtegrenzen gegen das fünfschichtige Rahmenwerk
- Simulation von Verhaltensangriffen — Aktive Prüfung auf Absichtsdrift und verdeckte Befehlsausführung mit zerlegten Angriffsfolgen
- Zuordnung zu NIS2 und EU AI Act — Automatisierte Nachweiserstellung für Konformitätsbewertungen gegenüber allen einschlägigen regulatorischen Anforderungen
Die Studie zeigt, dass 26 % der Community-Skills schon heute verwundbar sind — und die meisten Organisationen haben keinerlei Einblick in die Angriffsfläche ihrer KI-Agenten. KENSAI verschafft Ihnen diesen Einblick, bevor Angreifer ihn ausnutzen.
Prüfen Sie jetzt die Infrastruktur Ihrer KI-Agenten
KENSAI prüft automatisch alle 5 in der Tsinghua-Studie beschriebenen Angriffswege — Skill-Vergiftung, Prompt-Injektion, Speichervergiftung, Absichtsdrift und verdeckte Ausführung. Ihr KI-Sicherheitswert liegt in Minuten vor.
Kostenlosen KI-Sicherheitsscan startenBleiben Sie sicher,
Das KENSAI Security Research Team
Tägliche Sicherheitsbriefings auf Basis von KI-gestützter Bedrohungsaufklärung. Werktäglich aktualisiert.