Die kommende Welle von Multimodal-Angriffen: Wenn AI-Tools zur neuen Ausbeutungsfläche werden

Da große Sprachmodelle (LLMs) zu multimodalen Systemen evolvieren, die Text, Bilder, Sprache und Code bearbeiten können, werden sie auch zu mächtigen Orchestrierern externer Tools und Konnektoren. Mit dieser Evolution kommt eine erweiterte Angriffsfläche, der sich Organisationen bewusst sein müssen.

Ein Beispiel dafür ist die soziale Manipulation, derer sich Agenten ausgesetzt sehen, weil sie darauf trainiert wurden, wie Menschen zu handeln, und noch weniger Skepsis haben. Ein Agent ist beispielsweise unwahrscheinlich in der Lage, den Unterschied zwischen einer gefälschten E-Mail und einer von einem legitimen Händler zu erkennen.

Die Konvergenz von Multimodalität und Tool-Zugriff verwandelt die KI von einem Assistenten in ein Medium für Angriffe. Angreifer können nun einfache Textprompts verwenden, um Tool-Missbrauch auszulösen, unbefugte Aktionen auszuführen oder sensible Daten über legale Kanäle zu exfiltrieren. Da diese Fähigkeiten für die Zugänglichkeit und nicht für die Verteidigung konzipiert sind, können sogar Angreifer mit geringen Fähigkeiten KI-Systeme nutzen, um komplexe Operationen ohne eine einzige Codezeile auszuführen.

Wie multimodale KI zu einer Ausbeutungskette wird

LLMs werden zunehmend zu Orchestrierern externer Systeme, mit Integrationen, die heute alles von APIs bis hin zu E-Mail, Cloud-Speicher und Code-Execution-Tools umfassen. Diese Konnektoren sind oft für die Zugänglichkeit und nicht für die Verteidigung gebaut.

Dies führt zu einer Welle neuer Ausbeutungen.

Eines ist prompt-getriebener Tool-Missbrauch. Zum Beispiel könnte ein Angreifer ein Bild mit Prompt-Injektionsanweisungen in eine E-Mail einfügen. Ein Optical-Character-Recognition-(OCR)-Tool ist erforderlich, um den Text aus dem Bild zu extrahieren. Der Agent wird angewiesen, auf die E-Mail zu antworten und einen Google-Map-Link zur Heimatadresse des Zielobjekts anzuhängen, wodurch die Opfer-Position entanonymisiert wird.

Ein weiterer Mechanismus ist die cross-modale Umgehung von Sicherheitsvorkehrungen. Dies betrifft Sicherheitsvorkehrungen, die zwischen den Eingabe- und Ausgabepunkten von Tools sitzen. Beispielsweise könnte die Ausgabe eines OCR-Extractors nicht stark genug gegen Prompt-Injektionen gesichert sein, die aus seiner Ausgabe stammen.

Es gibt auch strukturelle Schwächen, die ausgenutzt werden können. Ein solches Problem sind die lockeren, übermäßig permissiven Bindungen zwischen dem Modell und den externen Tools, die es aufrufen kann – was bedeutet, dass ein einfacher natürlicher Sprachprompt reale Aktionen wie das Ausführen von Code, den Zugriff auf Dateien oder die Interaktion mit E-Mail auslösen kann. Darüber hinaus fehlt es vielen dieser Systeme an strengen Zugriffskontrollen, so dass die KI möglicherweise die Fähigkeit hat, Daten zu schreiben, zu löschen oder zu ändern, die weit über das hinausgehen, was ein Mensch jemals autorisieren würde. Das Problem wird noch ernster, wenn man sich die Konnektoren und MCP-Style-Erweiterungen ansieht, die oft fast keine Sicherheitsvorkehrungen haben; sobald sie angehängt sind, erweitern sie den Zugriff der KI auf persönlichen Speicher, Postfächer und Cloud-Plattformen mit sehr wenig Aufsicht. Zusammen erzeugen diese strukturellen Schwächen eine Umgebung, in der klassische Sicherheitsprobleme – Exfiltration, Sandbox-Flucht und sogar Speicher-Vergiftung – durch nichts weiter als einen clever konstruierten Prompt ausgelöst werden können.

Neue Bedrohungen: Was kommt als Nächstes?

In diesem neuen Normalzustand sind AI-gestützte E-Mail- und soziale Manipulationsangriffe unmittelbar bevorstehend. Phishing-Volumen wird aufgrund der Verwendung von LLMs durch den Angreifer zunehmen; der Engpass ist das Umgehen normaler Spam-Filter von E-Mail-Anbietern wie Google. Inbox-verbundene KI-Agenten erhöhen die Wahrscheinlichkeit, dass Phishing-Angriffe erfolgreich sind. Es wird wahrscheinlich zu einer Zunahme von E-Mail-basierten Bedrohungen kommen, wenn Benutzer Agenten mit Gmail oder Outlook verbinden.

Angreifer können die KI anweisen, ganze Spam- oder Spear-Phishing-Kampagnen auszuführen. In diesem Szenario

wird AI-zu-AI-Phishing plausibel.

Multimodale Systeme bieten zunehmend Code-Execution-Fähigkeiten. Fluchtwege ermöglichen es Angreifern, die zugrunde liegende Infrastruktur zu durchbrechen. Und Sandbox-Fluchten stellen das größte Rufschadens-Szenario für Anbieter dar.

Langzeit-Speicher-Vergiftung und verzögerte Auslöser stellen weitere Bedrohungen dar. Persistenter Speicher ermöglicht es, versteckte Nutzlasten zu aktivieren, wenn zukünftige Prompts gegeben werden. Cross-modale Auslöser (z. B. Bilder oder Textsnippets) könnten Zeitbomben-Verhaltensweisen auslösen.

Warum multimodale Angriffe so zugänglich und gefährlich sind

KI hat Angriffsfähigkeiten demokratisiert. Benutzer benötigen keine Codier- oder Malware-Entwicklungskenntnisse; die natürliche Sprache wird zur Schnittstelle für die Erstellung von Malware oder die Exfiltration von Daten. Dies bedeutet, dass sogar nicht-technische Personen Malware erstellen oder Kampagnen über Prompts starten können.

KI ermöglicht auch die Beschleunigung und Skalierung schädlicher Operationen. Multimodale Agenten können Arbeiten automatisieren, die früher Expertenbemühungen erforderten. Code, E-Mails, Forschung und Aufklärung können sofort produziert werden.

Benutzer-Übervertrauen und ungewollte Exposition tragen zum Schadenspotenzial der KI bei. Benutzer verstehen oft nicht, was die KI zugreifen kann, und Standard-Einstellungen aktivieren KI-Integrationen zunehmend automatisch. Viele Menschen sind sich nicht bewusst, dass sie der KI übermäßigen Zugriff auf E-Mail oder Dokumente gewährt haben.

Prinzipien und Kontrollen für multimodale Sicherheit

Organisationen müssen Sicherheitsmaßnahmen gegen multimodale Angriffe ergreifen. Sicherheitsteams müssen den Zugriff auf Tools standardmäßig einschränken. Opt-in-Kontrollen sollten auto-aktivierte Integrationen ersetzen. Sie sollten auch den least-privilege-Zugriff auf alle KI-verbundenen Systeme anwenden und Schreib-/Löschzugriff entfernen. Dies sollte cross-origin-Regeln und Domain-Whitelisting (Infrastruktur-Whitelisting und nicht LLM-Level-Whitelisting) umfassen.

Ein weiterer wichtiger Schritt ist der Aufbau expliziter Sicherheitsvorkehrungen für die Tool-Invocation. Natürliche Sprachauslöser durch strukturierte, typisierte Befehlsvalidierung ersetzen. Sicherheitsvorkehrungen sollten sowohl Eingabe- als auch Ausgabedrosseln sein.

Weitere wichtige Prinzipien und Kontrollen sind:

• Strenge Genehmigungsworkflows für sensible Operationen durchsetzen.
• Vermeiden Sie das Speichern von Benutzerdaten im persistenten Modell-Speicher. Automatisierte Speicher-Sanitisierung und Herkunfts-Checks anwenden.
• Code-Execution-Umgebungen härten und isolieren.
• Überwachen Sie verdächtiges Verhalten und Fluchtversuche.
• Benutzer-Aufklärung und Transparenz stärken.
• Fügen Sie weitere Benutzer-Bestätigungen hinzu, wenn der Agent risikoreiche Aufgaben ausführt.
• Machen Sie es deutlich, wenn KI-Tools auf E-Mails, Dateien oder Cloud-Ressourcen zugreifen.
• Warnen Sie Benutzer vor hochriskanten Konnektoren.

Erfolg gegen multimodale Angriffe

KI-Technologien haben sich schnell zu Agenten von Geschäftsoperationen entwickelt und haben eine Situation geschaffen, in der die natürliche Sprache selbst zu einer Form der Ausbeutung wird. Die Konvergenz von Multimodalität und Tool-Zugriff erweitert die Angriffsfläche und verwandelt die KI von einem Assistenten in ein Medium für Angriffe. Multimodale Angriffe nutzen die lockere Integration zwischen LLMs und den externen Systemen, die sie steuern, wie APIs, Dateispeicher und Automatisierungsplattformen.

Da Bedrohungen evolvieren, müssen Organisationen Strategien entwickeln, die explizit multimodale Angriffspfade berücksichtigen. Die Stärkung der Verteidigung mithilfe der oben genannten Best Practices ist unerlässlich, um zu verhindern, dass KI-Tools unbeabsichtigt als Verbindungen in einer Ausbeutungskette eines Angreifers dienen.