Sicherheitsrisiken tauchen auf, da KI-Agenten bösartige Befehle über das MCP-Protokoll weiterleiten können

Image: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Source

Forscher zeigen, wie kompromittierte KI-Agenten das MCP ausnutzen können, um schädliche Anweisungen in Unternehmensnetzwerken zu verbreiten, interne Dienste Angriffen auszusetzen und die Notwendigkeit von Zero-Trust-Sicherheitsmodellen zu betonen.

Die schnelle Einführung von KI-Agenten in Unternehmensumgebungen hat eine neue Cybersicherheitslücke im Zusammenhang mit den von diesen Systemen verwendeten Kommunikationsprotokollen geschaffen. Der unabhängige Sicherheitsexperte Syed Anas Mohiuddin hat demonstriert, dass ein einziger kompromittierter KI-Agent bösartige Befehle über das Multi-Channel Protocol (MCP) an andere Agenten weiterleiten kann. Das MCP ist ein Kommunikationsstandard, der es KI-Anwendungen ermöglicht, sich mit verschiedenen Tools zu verbinden und Daten auszutauschen. Dieses Vertrauen zwischen Agenten kann ausgenutzt werden, um Angriffe innerhalb von Organisationsnetzwerken zu eskalieren.

Mohiuddins Forschung zeigte diese Schwachstellen auf mehreren großen Plattformen im Zusammenhang mit Google, JPMorgan Chase, Weaviate, Rapid7, dem französischen interministeriellen digitalen Dienst und der US-Bundesregierung. Die Angriffsmethodik besteht darin, schädliche Anweisungen in den Inhalten oder Aufgaben zu verstecken, die einem Agenten gegeben werden. Anstatt solche Befehle abzulehnen, leitet der kompromittierte Agent sie als legitime Workflow-Aufgaben an andere Agenten weiter. Weil die empfangenden Agenten ihren internen Kollegen vertrauen, führen sie diese Anweisungen aus, die externe Systeme möglicherweise abgelehnt hätten.

Eine kritische Auswirkung dieser Ausnutzung ist die Ermöglichung von Server-Side Request Forgery (SSRF)-Angriffen. In SSRF-Szenarien kann ein kompromittierter Agent einen Server dazu verleiten, Anfragen an versteckte interne Netzwerkressourcen zu senden, die extern normalerweise nicht zugänglich sind. Diese Kettenreaktion kann zu unbefugtem Zugriff auf sensible Dienste und vertrauliche Daten führen.

Sicherheitsforscher beschreiben diese Ausnutzung als eine Form des "Protocol Pivoting", bei dem bösartige Anweisungen ein Kommunikationsprotokoll durchqueren, um die Vertrauensmechanismen eines anderen zu nutzen. Markus Vervier von X41 D-Sec hebt hervor, dass diese Angriffe grundsätzlich der Prompt Injection ähneln – dem Einfügen schädlicher Befehle in die Eingaben, die von KI-Systemen verarbeitet werden.

Kürzlich wurden zwei bemerkenswerte Schwachstellen identifiziert und behoben. Ein Problem im Rapid7-Tool erhielt eine Schwerebewertung von 2,7 von 10 und wurde im September gepatcht, während eine kritischere Schwachstelle in Googles MCP Toolbox für Datenbanken mit 8 von 10 bewertet wurde. Letztere ermöglichte es einem HTTP-Client, Redirects zu internen IP-Adressen ohne ausreichende Überprüfung zu folgen, was potenziell einen unbefugten Zugriff auf das interne Netzwerk erlaubte. Google hat dies durch die Implementierung von Whitelists für erlaubte IP-Bereiche und das Blockieren unsicherer Adressen behoben.

Diese Erkenntnisse unterstreichen die Bedeutung der Einhaltung von Zero-Trust-Sicherheitsprinzipien in KI-Infrastrukturen. Vertrauen sollte internen Agenten nicht automatisch ohne Überprüfung entgegengebracht werden. Alle zwischen KI-Agenten ausgetauschten Anweisungen müssen auf potenziell schädliche Inhalte überprüft werden, um kaskadierende Sicherheitsverletzungen innerhalb von Unternehmensökosystemen zu verhindern. Mit zunehmender Integration von KI werden robuste Schutzmaßnahmen gegen solche Multi-Agenten-Exploits für die Cybersicherheit von Organisationen unerlässlich.