The Proxy Knows Too Much: Sealing LLM API Routers with Attested TEEs
Dieses Paper stellt AEGIS vor, einen anbieter-transparenten API-Router, der attestierte Trusted Execution Environments (TEEs) nutzt, um die Klartext-LLM-Interaktionen innerhalb eines Hardware-Enklave zu isolieren, wodurch verhindert wird, dass bösartige Router Agent-Tool-Aufrufe manipulieren, Abhängigkeiten austauschen oder Geheimnisse exfiltrieren, während gleichzeitig eine geringe Latenz und Kompatibilität mit bestehenden Provider-APIs gewahrt bleiben.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das Problem: Der „zu wissende“ Vermittler
Stellen Sie sich vor, Sie stellen einen persönlichen Assistenten (einen KI-Agenten) ein, um für Sie Code zu schreiben. Um seine Aufgabe zu erfüllen, muss der Assistent mit einer riesigen Wissensbibliothek (dem LLM-Anbieter, wie OpenAI oder Google) kommunizieren.
Normalerweise spricht Ihr Assistent nicht direkt mit der Bibliothek. Er geht über einen Router (einen Vermittler-Gateway). Stellen Sie sich diesen Router wie eine Postsortieranlage vor.
- Sie schicken einen versiegelten Brief an die Post.
- Die Post öffnet den Brief, lift alles darin, versiegelt ihn neu und schickt ihn an die Bibliothek.
- Die Bibliothek antwortet, die Post öffnet die Antwort, liest sie und schickt sie an Sie zurück.
Die Gefahr: Da die Post den Brief öffnet, kann die Person, die die Post betreibt (der Router-Betreiber), alles sehen. Er kann:
- Den Inhalt austauschen: Einen Befehl von „installiere ein sicheres Tool“ zu „installiere einen Virus“ ändern.
- Seine Spuren verwischen: Den Brief nur dann ändern, wenn er glaubt, dass niemand zusieht (ein „Trigger“-Angriff).
- Geheimnisse stehlen: Ihre Passwörter oder privaten Daten lesen, während sie durch die Post gehen.
Aktuelle Sicherheitsmaßnahmen sind so, als würde man den Empfänger bitten, den Brief zu prüfen, nachdem er angekommen ist. Aber bis dahin ist der Schaden bereits angerichtet oder der Fälscher ist bereits verschwunden.
Die Lösung: AEGIS (Der „Glaskasten“-Tresor)
Die Autoren schlagen ein neues System namens AEGIS vor. Anstatt einer normalen Poststelle stellen Sie sich einen hochmodernen, transparenten Tresor vor, der zwischen Ihnen und der Bibliothek sitzt.
So funktioniert es, Schritt für Schritt:
1. Der „Glaskasten“ (Die Enklave)
AEGIS verwendet ein spezielles Stück Computerhardware, eine sogenannte Trusted Execution Environment (TEE). Stellen Sie sich dies als einen gläsernen Tresor innerhalb der Post vor.
- Die Regel: Der Tresor besteht aus unzerbrechlichem Glas. Die Person, die die Post betreibt (der nicht vertrauenswürdige Host), kann zwar sehen, dass der Tresor existiert, aber sie kann nicht hineingreifen, um etwas zu berühren, zu lesen oder zu verändern, was im Inneren geschieht.
- Der Prozess: Ihr Assistent schickt den Brief in den Tresor. Der Tresor liest ihn, sendet ihn an die Bibliothek, erhält die Antwort und gibt sie an Ihren Assistenten zurück. Der Postmitarbeiter sieht nur die Außenseite des Tresors; er sieht den Brief selbst nie.
2. Der „Identitätscheck“ (Remote Attestation)
Bevor Sie Ihren Brief senden, müssen Sie sicherstellen, dass der Tresor echt ist und nicht manipuliert wurde.
- Die Analogie: Stellen Sie sich vor, der Tresor hat eine einzigartige, mit dem Laser gravierte Seriennummer auf seinem Glas. Bevor Sie ihm vertrauen, prüfen Sie ein öffentliches, unveränderliches Register (einen Transparency Log), um zu sehen, ob diese Seriennummer mit dem Bauplan eines „guten“ Tresors übereinstimmt.
- Das Ergebnis: Wenn die Seriennummer mit dem Bauplan übereinstimmt, wissen Sie, dass der Tresor exakt die ehrliche Software ausführt, die Sie genehmigt haben. Wenn sie nicht übereinstimmt, verweigern Sie den Versand des Briefes. Dies geschieht, bevor Sie Geheimnisse preisgeben.
3. Der „treue Bote“
Die Software innerhalb des Tresors ist sehr einfach. Sie versucht nicht, klug zu sein; sie fungt lediglich als treuer Bote.
- Sie nimmt Ihren Brief exakt so, wie er ist, und übergibt ihn an die Bibliothek.
- Sie nimmt die Antwort der Bibliothek exakt so, wie sie ist, und gibt sie an Sie zurück.
- Sie schreibt nicht um, fasst nicht zusammen und ändert kein einziges Wort. Dies stellt sicher, dass der KI-Agent genau das erhält, wonach er gefragt hat, ohne versteckte Tricks.
Warum das wichtig ist
Das Paper hat dieses System gegen vier spezifische Arten getestet, wie ein böswilliger Router-Betreiber angreifen könnte:
- Umschreiben von Tools: Ändern von Code-Befehlen. (Blockiert)
- Typosquatting: Austausch eines sicheren Softwarepakets durch ein gefälschtes, bösartiges Paket. (Blockiert)
- Triggered Attacks: Angriffe nur dann durchführen, wenn der Betreiber glaubt, dass niemand zusieht. (Blockiert)
- Stehlen von Geheimnissen: Lesen von Passwörtern im Datenverkehr. (Blockiert)
In jedem Test konnte der „böse“ Router-Betreiber all diese Dinge bei einem normalen Router tun, aber AEGIS stoppte sie vollständig.
Der Kompromiss (Die Kosten)
Ist es perfekt? Fast.
- Geschwindigkeit: Es fügt eine winzige Verzögerung hinzu (etwa 6 Millisekunden), da der Brief in den Glaskasten hinein und wieder heraus muss. Das ist wie die Zeit, die man braucht, um durch eine Sicherheitstür zu gehen; im Vergleich zur Zeit, die die KI zum „Nachdenken“ benötigt, ist dies kaum merkbar.
- Was der Betreiber dennoch sieht: Der Betreiber kann immer noch sehen, wie viel Sie nutzen (z. B. „100 Wörter gesendet“) und wann Sie es nutzen, aber er kann nicht sehen, was Sie gesagt haben. Es ist, als wüsste die Post zwar, dass Sie um 14 Uhr ein schweres Paket verschickt haben, aber nicht, ob darin eine Geburtstagskarte oder eine Bombe war.
Das Fazit
AEGIS löst das Problem „The Proxy Knows Too Much“, indem es den sensiblen Teil des Gesprächs in einen verifizierten Glaskasten verlegt, den der Betreiber nicht manipulieren kann. Es stellt sicher, dass der KI-Agent genau das erhält, was er angefordert hat, und dass der Betreiber das Geschäft nicht heimlich ändern, Geheimnisse stehlen oder Malware einschleusen kann – und das, ohne dass die KI-Unternehmen (wie OpenAI) ihre eigenen Systeme ändern müssen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.