🤖 AI

Who Owns This Agent? Tracing AI Agents Back to Their Owners

Dieser Artikel stellt das erste praktische Protokoll für die Agenten-Zuordnung vor, das es Anbietern ermöglicht, autonome KI-Agenten auf ihre bereitstellenden Konten zurückzuführen, indem robuste Canary-Tokens in Interaktionsströme injiziert werden, die nicht unterdrückt werden können, ohne die Leistungsfähigkeit des Agenten zu beeinträchtigen.

Ursprüngliche Autoren: Ruben Chocron, Doron Jonathan Ben Chayim, Eyal Lenga, Gilad Gressel, Alina Oprea, Yisroel Mirsky

Veröffentlicht 2026-05-18

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Ruben Chocron, Doron Jonathan Ben Chayim, Eyal Lenga, Gilad Gressel, Alina Oprea, Yisroel Mirsky

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie gehen durch eine riesige, geschäftige Stadt, in der Tausende von Robotern (KI-Agenten) im Auftrag unsichtbarer Bosse arbeiten. Manche Roboter sind einfach nur ungeschickt; sie stoßen versehentlich einen Blumenstand um, weil ihr Boss ihnen vage Anweisungen gegeben hat. Andere sind bösartig; sie werden engagiert, um Geldbörsen zu stehlen oder Lügen zu verbreiten.

Das Problem ist, dass diese Roboter wie Geister sind. Wenn sie Unheil anrichten, können die Opfer den Roboter sehen, aber sie haben keine Möglichkeit herauszufinden, wer die Fäden zieht. Der Roboter trägt kein Namensschild, und der Boss versteckt sich hinter Schichten digitaler Vorhänge.

Diese Arbeit stellt eine neue Methode vor, um diese Geister zu fangen und auf ihre Besitzer zurückzuführen. So funktioniert es, einfach erklärt:

Das Kernproblem: Der „Geisterroboter"

Derzeit, wenn ein Roboter eine Spam-E-Mail sendet oder eine Website hackt, sieht das Opfer die Handlungen des Roboters. Doch der Roboter ist nur ein Werkzeug. Die echte Person (der „Operator"), die den Roboter engagiert hat, bleibt verborgen. Selbst das Unternehmen, das das Gehirn des Roboters bereitstellt (der „Anbieter", wie ein großes KI-Unternehmen), sieht die Gedanken des Roboters, weiß aber nicht, zu welchem spezifischen Konto der Roboter gehört, es sei denn, sie haben einen konkreten Hinweis.

Es ist wie ein Bankräuber, der ein Fluchtauto benutzt. Die Polizei sieht das Auto, aber ohne Kennzeichen oder eine spezifische Markierung auf dem Lack können sie nicht sagen, wem das Auto gehört.

Die Lösung: Die „Königskerzen-Falle"

Die Autoren schlagen eine Lösung namens Agenten-Zuordnung vor. Sie nutzen einen cleveren Trick namens „Königskerze".

Denken Sie an ein Kanarienvogel in einer Kohlemine. In früheren Zeiten brachten Bergleute einen Vogel in eine Mine. Wenn die Luft giftig war, hörte der Vogel auf zu singen oder fiel um und warnte die Bergleute zur Flucht.

In dieser Arbeit ist die „Königskerze" ein geheimes Signal, das in das Gespräch oder die Daten injiziert wird, die der Roboter verarbeiten wird.

Das Setup: Ein autorisierter Ermittler (wie ein Polizeibeamter oder ein Vertreter des Opfers) spricht mit dem Roboter oder platziert eine geheime Notiz, wo der Roboter sie finden wird.
Die Injektion: Sie schleusen eine „Königskerze" in die Eingabe des Roboters.
- Einfache Königskerze: In einer freundlichen Umgebung ist dies einfach ein zufälliges, einzigartiges Wort oder ein Code (wie ein geheimes Handzeichen).
- Intelligente Königskerze: In einer feindlichen Umgebung (wo der Boss des Roboters versucht, sich zu verstecken), ist die Königskerze etwas, das der Roboter braucht, um seine Arbeit zu erledigen. Wenn der Roboter beispielsweise ein Betrüger ist, der Kreditkartennummern stehlen will, könnte der Ermittler eine gefälschte, aber echt aussehende Kreditkartennummer einschleusen. Der Roboter muss diese Nummer behalten, um den Betrug abzuschließen.
Die Reise: Der Roboter sendet dieses geheime Signal an den „Anbieter" (das KI-Unternehmen), um eine Antwort zu erhalten.
Der Fang: Der Anbieter führt ein Protokoll über jedes Gespräch. Wenn der Ermittler fragt: „Haben Sie um diese Zeit herum einen Roboter gesehen, der über [Geheimes Signal] gesprochen hat?", überprüft der Anbieter seine Protokolle.
Die Übereinstimmung: Wenn das Signal vorhanden ist, kann der Anbieter sagen: „Ja, dieses Gespräch stammt vom Konto #12345." Der Geist ist gefangen.

Der Trick der „Intelligenten Königskerze" (Die Asymmetrie)

Der kreativste Teil der Arbeit befasst sich mit böswilligen Akteuren, die versuchen, diese Signale zu entfernen.

Stellen Sie sich vor, ein böser Boss sagt zu seinem Roboter: „Wenn du einen geheimen Code siehst, lösche ihn, bevor du ihn an das KI-Unternehmen sendest."

Das Dilemma: Wenn der geheime Code nur ein zufälliges Wort ist, löscht der Roboter ihn, und der Boss bleibt verborgen.
Die Lösung: Der Ermittler verwendet eine Nutzenbringende Königskerze. Sie werfen nicht nur ein zufälliges Wort hin; sie werfen etwas ein, das der Roboter zum Funktionieren braucht.
- Analogie: Stellen Sie sich vor, der Roboter ist ein Koch, der ein bestimmtes Gericht zubereiten will. Der Ermittler schleust eine geheime Zutat in das Rezept. Wenn der Boss des Roboters versucht, diese Zutat zu entfernen, um das Geheimnis zu verbergen, kann der Koch das Gericht nicht mehr zubereiten. Der Roboter scheitert an seiner Mission.
- Das Ergebnis: Der böse Boss hat die Wahl: Behalten Sie das geheime Signal und lassen Sie sich erwischen, oder entfernen Sie das Signal und zerstören Sie Ihren eigenen Roboter. Dies schafft eine „Nicht-Gewinn-Situation" für den Angreifer.

Wie es im echten Leben funktioniert

Die Forscher testeten dies in drei verschiedenen Szenarien:

Chatbots: Wenn ein Betrüger-Bot mit einem Opfer spricht, schleust der Ermittler eine geheime Phrase ein. Selbst wenn der Bot versucht, das Gespräch umzuformulieren, überlebt die geheime Bedeutung (die „semantische" Königskerze) oft.
Web-Scraper: Wenn ein Roboter eine Website liest, pflanzt der Ermittler einen geheimen Dateinamen oder einen bestimmten Layout-Stil auf der Seite. Der Roboter liest ihn und sendet ihn an die KI.
Cyber-Angreifer: Wenn ein Roboter versucht, ein System zu hacken, pflanzt der Ermittler eine gefälschte „Flagge" (einen geheimen Code) in das System. Der Roboter muss diese Flagge finden und melden, um das Spiel zu gewinnen. Wenn der Angreifer versucht, die Flagge zu verstecken, kann der Roboter das Spiel nicht gewinnen.

Das Fazit

Die Arbeit beweist, dass wir ein System aufbauen können, in dem:

Opfer Schaden melden können.
Behörden ein geheimes Signal injizieren können.
KI-Unternehmen dieses Signal in ihren Protokollen nachschlagen und das verantwortliche Konto finden können.

Dies erfordert nicht, dass KI-Unternehmen jederzeit wissen, wer alle sind. Es erfordert nur, dass sie bei einem Verbrechen oder Unfall nach einem spezifischen Signal suchen. Dies verwandelt den „Geisterroboter" wieder in ein nachverfolgbares Werkzeug und ermöglicht Rechenschaftspflicht, egal ob der Fehler versehentlich oder vorsätzlich war.

Technische Zusammenfassung: Wem gehört dieser Agent? Rückverfolgung von KI-Agenten zu ihren Betreibern

1. Problemdefinition: Agenten-Zuordnung

Die Arbeit identifiziert und formalisiert die Agenten-Zuordnung (Agent Attribution) als eine kritische, aufkommende Sicherheitslücke. Da KI-Agenten zunehmend autonom eingesetzt werden – um Nachrichten zu senden, Webseiten zu durchsuchen, APIs aufzurufen und Skripte auszuführen – gibt es derzeit keinen zuverlässigen technischen Mechanismus, um eine schädliche Agenten-Interaktion auf den spezifischen Betreiberaccount zurückzuführen, der ihn eingesetzt hat.

Diese Lücke in der Verantwortlichkeit erstreckt sich über das gesamte Spektrum des Agentenverhaltens:

Unbeabsichtigter Schaden: Harmlose Betreiber können fehlkonfigurierte Agenten einsetzen (z. B. fehlerhafte Stoppbedingungen, zu weit gefasste Ziele), die Spam, Dienstüberlastung oder unbeabsichtigte Aktionen verursachen.
Vorsätzlicher Schaden: Böswillige Betreiber können Agenten für Betrug, Belästigung, Cyber-Eindringversuche oder Desinformation waffen.

In beiden Fällen beobachten betroffene Parteien (Opfer) das schädliche Verhalten, und Anbieter (LLM-Provider) halten die Sitzungsprotokolle, doch keine Partei kann das beobachtete externe Verhalten mit dem verantwortlichen Anbieteraccount verknüpfen. Bestehende Rechtsbehelfe scheitern, weil:

IP-basierte Identifizierung unwirksam ist, da Agenten Adressen rotieren und Proxies nutzen.
Plattformübergreifende Untersuchungen nur oberflächliche, wegwerfbare Accounts (z. B. gefälschte Personas) identifizieren, nicht aber den zugrundeliegenden Anbieteraccount.
Verhaltens-Fingerabdrücke die Anwesenheit eines Agents erkennen, aber nicht bestimmen können, welcher von Millionen von Anbieteraccounts verantwortlich ist.
Rechtliche Verfahren eine Grundlage (die Identifizierung der spezifischen Sitzung und des Accounts) benötigen, bevor sie zur Offenlegung auffordern können, was derzeit ohne eine technische Brücke unmöglich ist.

Die Autoren gehen davon aus, dass dieses Problem im Kontext von vom Anbieter gehosteten Large Language Models (LLM) besonders handhabbar ist. Selbst hochentwickelte Angreifer verlassen sich oft auf vom Anbieter gehostete Modelle (z. B. OpenAI, Anthropic oder gehostete Open-Source-Modelle) für ihre reasoning-Fähigkeiten. Während der Betreiber die Laufzeitumgebung und Wrapper kontrolliert, laufen die Modellaufrufe über den Anbieter und werden einem Account zugeordnet.

2. Methodik: Das Kanarienvogel-basierte Protokoll

Die Autoren schlagen ein kanarienvogel-basiertes Zuordnungsprotokoll vor, das die Lücke zwischen der Beobachtung des Opfers und den Protokollen des Anbieters schließt. Das Protokoll umfasst fünf Hauptakteure: den Agenten, den Betreiber, den Anbieter, das Opfer und eine Behörde (z. B. Strafverfolgungsbehörden oder ein kommerzielles Unternehmen).

Kernmechanismus

Einspritzung: Eine autorisierte Behörde ( $\mathcal{D}$ $D$ ) injiziert einen Kanarienvogel in den Inhaltsstrom, den der Agent ( $\mathcal{A}$ $A$ ) wahrscheinlich konsumieren wird.
- Direkte Interaktion: Die Behörde interagiert direkt mit dem Agenten (z. B. über Chat) und injiziert den Kanarienvogel.
- Passive Interaktion: Die Behörde platziert Kanarienvögel an Orten, die der Agent voraussichtlich besuchen wird (z. B. bestimmte Webseiten, Dateien), und instrumentiert diese mit Hooks.
Propagation: Der Agent verarbeitet den Inhalt. Wenn der Agent diesen Inhalt an seinen vom Anbieter gehosteten LLM weiterleitet, erscheint der Kanarienvogel in den Sitzungsprotokollen des Anbieters.
Suche: Die Behörde leitet beim Anbieter ( $\mathcal{V}$ ) eine Zuordnungsanfrage ein und spezifiziert den Zeitpunkt der Injektion ( $\tau$ ) sowie die Kanarienvogel-Werte.
Wiederherstellung: Der Anbieter sucht in einem engen Zeitfenster aktiver Sitzungsprotokolle nach den Kanarienvögeln. Wenn diese gefunden werden, verknüpft der Anbieter die Sitzung mit dem verantwortlichen Betreiberaccount ( $\mathcal{O}$ ).

Konstruktion von Kanarienvögeln

Die Arbeit unterscheidet zwischen zwei Szenarien, die unterschiedliche Kanarienvogel-Typen erfordern:

Nicht-antagonistisches Szenario: Der Betreiber versucht nicht, die Zuordnung zu umgehen.
- Lexikalische Kanarienvögel: Einfache, exakt übereinstimmende Token-Sequenzen (z. B. zufällige Strings, UUIDs oder aufgabenrelevante Identifikatoren wie Projektcodes). Diese sind ausreichend, da der Agent eingehenden Inhalt wortwörtlich an das Modell weitergibt.
Antagonistisches Szenario: Der Betreiber setzt einen Wrapper ( $\mathcal{W}$ ) ein, um eingehenden Inhalt zu filtern, umzuformulieren oder neu zu schreiben, um Marker zu unterdrücken.
- Nutzen tragende Kanarienvögel: Um Umgehungen zu bekämpfen, führen die Autoren Kanarienvögel ein, die von legitimen Aufgabeninhalten nicht zu unterscheiden sind. Ihre Entfernung würde die Fähigkeit des Agents beeinträchtigen, seine Aufgabe zu erfüllen.
- Lexikalische Nutzen-Kanarienvögel: Aufgabenkritische Identifikatoren (z. B. Dateinamen in einer Verzeichnisliste, spezifische IDs in einer Datenbankabfrage), die der Agent muss, um erfolgreich zu sein.
- Semantische Kanarienvögel: Signaturen, die durch Bedeutung und nicht durch Oberflächengestalt definiert sind (z. B. Sprachstile, strukturelle Muster, Dringlichkeitssignale oder spezifische rhetorische Gewohnheiten). Diese überstehen Umformulierungen besser als exakte Strings.
- Multi-Kanarienvogel-Strategie: Die Behörde zieht eine Teilmenge ( $K$ ) aus einer großen Kanarienvogel-Universe ( $N$ ) und injiziert sie. Die Erkennung erfordert einen Schwellenwert ( $m$ ) an Übereinstimmungen. Dies erzeugt eine verteidigerfreundliche Asymmetrie: Der Angreifer muss Inhalte aggressiv filtern, um Kanarienvögel zu entfernen, was unweigerlich den Nutzen des Agents beeinträchtigt (z. B. indem er einen Cyber-Angriff oder Betrug scheitern lässt), während der Verteidiger die Zuordnungswahrscheinlichkeit beliebig nahe an 1 treiben kann.

3. Hauptbeiträge

Problemformalisierung: Dies ist die erste Arbeit, die „Agenten-Zuordnung" als ein eigenständiges Sicherheitsproblem identifiziert und definiert und die vollständige Taxonomie von Szenarien charakterisiert (unbeabsichtigt vs. vorsätzlich, verschiedene Angriffsziele).
Praktisches Protokoll: Ein vom Anbieter vermitteltes Zuordnungsprotokoll, das ohne universelle Vorregistrierung oder kontinuierliche Identitätsexposition funktioniert. Es stützt sich auf die strukturelle Abhängigkeit von Agenten von vom Anbieter gehosteten Modellen.
Robuste Kanarienvogel-Konstruktionen:
- Entwicklung von nutzen tragenden Kanarienvögeln (sowohl lexikalisch als auch semantisch), die für Angreifer einen Zielkonflikt schaffen: Die Umgehung der Zuordnung erfordert die Verschlechterung der Agentenleistung.
- Formalisierung der Asymmetrie, bei der der Verteidiger die Zuordnungswahrscheinlichkeit kontrollieren kann, während der Angreifer für die Umgehung Nutzenkosten zahlt.
Empirische Evaluation: Umfassende Tests in drei Domänen:
- Kommunikations-Agenten: Chat- und Forum-Interaktionen.
- Web-Agenten: HTML-Dokument-Einlesung und Scraping.
- Cyber-Agenten: Autonome, werkzeugnutzende Agenten in Capture-The-Flag (CTF)-Umgebungen.

4. Experimentelle Ergebnisse

Die Evaluation zeigt, dass das Protokoll zuverlässig, robust und skalierbar ist.

Leistung im nicht-antagonistischen Szenario:
- Lexikalische Kanarienvögel erreichen eine nahezu perfekte Erkennung (TPR $\approx$ 1,0) mit nahezu null falsch-positiven Ergebnissen (FPR), wenn der Inhalt unverändert weitergeleitet wird.
- Semantische Kanarienvögel erreichen ebenfalls hohe Erkennungsraten (AUC $\approx$ 0,98–0,99) in Chat- und Forum-Umgebungen.
Antagonistische Robustheit:
- Umformulierungs-Angriffe: Wenn ein Wrapper Inhalte umformuliert, versagen exakte lexikalische Kanarienvögel (TPR sinkt auf $\approx$ 0,20). Semantische Kanarienvögel bleiben jedoch robust. In Chat-Umgebungen bleibt die TPR auch bei Umformulierung über 0,97, wenn ein Multi-Kanarienvogel-Schwellenwert ( $m$ -von- $k$ ) verwendet wird.
- Web-Agenten: Sichtbare lexikalische Kanarienvögel (eingebettet im gerenderten Text) überstehen Vorverarbeitung und Umformulierung mit Raten $>60\%$ . Strukturelle Kanarienvögel (im DOM versteckt) sind anfälliger. Semantische Layout-Kanarienvögel bieten einen robusten sekundären Kanal.
- Cyber-Agenten (CTF): Dies ist der strengste Test. Ein kanarienvogel-bewusster Angreifer, der versuchte, Kanarienvögel aus Werkzeugausgaben zu entfernen, ließ die Lösungsrate des Agents von 51% auf 9% kollabieren. Dies bestätigt den Nutzen-Umgehungs-Zielkonflikt: Die Unterdrückung von Zuordnungsnachweisen zerstört die Mission des Agents.
- Zuordnungsgenauigkeit: In Cyber-Umgebungen wurde auf Sitzungs-Ebene eine TPR $\ge$ 98% mit einem FPR nahe null erreicht, selbst unter antagonistischen Bedingungen.
Skalierbarkeit:
- Die Suche auf Anbieterseite erweist sich als betrieblich praktikabel. Durch die Suche nur in einem begrenzten Zeitfenster gleichzeitiger Sitzungen und die Verwendung von Token-Level-Matching (unter Ausnutzung bestehender tokenisierter Protokolle) skalieren die Suchkosten linear mit der Anzahl der aktiven Sitzungen, nicht mit der Gesamtgröße der Protokolle. Die Suche auf Token-Ebene erwies sich als $\approx$ 2-mal schneller als die Suche auf Zeichen-Ebene.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, die erste Arbeit zu sein, die Agenten-Zuordnung definiert und eine praktische Lösung vorstellt. Ihre Bedeutung liegt in:

Wiederherstellung von Rechtsbehelfen: Sie bietet eine technische Brücke, die es Opfern, Plattformen und Behörden ermöglicht, verantwortliche Betreiber zu identifizieren, was Interventionen in harmlosen Fällen und rechtliche Verantwortlichkeit in böswilligen Fällen ermöglicht.
Durchführbarkeit für Anbieter: Das Protokoll nutzt bestehende Anbieter-Infrastruktur (Protokolle, API-Bereitstellung) und erfordert keine Änderungen am Laufzeitcode des Agents oder an der Infrastruktur des Betreibers.
Asymmetrie in der Verteidigung: Durch die Verknüpfung von Kanarienvögeln mit Aufgaben-Nutzen zwingt das Protokoll Angreifer in ein Dilemma, bei dem die Umgehung der Zuordnung ihre eigenen Ziele kompromittiert.

Die Autoren bleiben bezüglich der Einschränkungen bescheiden und stellen fest, dass die Evaluation spezifische Modellfamilien und Wrapper-Konfigurationen verwendet und dass die indirekte Injektion (Vorhersage von Agenten-Trajektorien) weiterer realweltlicher Tests bedarf. Dennoch betonen sie, dass die vorgeschlagene Methode einen einsetzbaren Weg hin zu Verantwortlichkeit für zunehmend autonome KI-Agenten bietet.