Cross-Agent Campaign Attribution: Linking Asynchronous Attacks Across LLM Agents

Stellen Sie sich eine Welt vor, in der Ihre digitalen Assistenten – Agenten, die Code schreiben, Kundenfragen beantworten oder Daten analysieren – wie ein Team von unabhängigen Detektiven sind. Jeder Detektiv arbeitet in seinem eigenen Büro, mit seinem eigenen Notizbuch, und sie sprechen während ihrer Arbeit nicht miteinander. Stellen Sie sich nun einen genialen Kriminellen vor, der Geheimnisse stehlen will. Anstatt zu versuchen, gleichzeitig in ein einzelnes Büro einzubrechen, schickt dieser Kriminelle eine Serie von winzigen, verwirrenden Hinweisen zu verschiedenen Zeiten an verschiedene Detektive. An Detektiv A sieht der Hinweis wie ein harmloser Tippfehler aus. An Detektiv B sieht er wie ein seltsamer Formatierungsfehler aus. An Detektiv C sieht er wie eine normale Frage aus. Wenn jeder Detektiv nur in sein eigenes Notizbuch schaut, sieht er nichts Verdächtiges. Er denkt: „Ach, nur ein technischer Fehler.“ Aber wenn man einen Schritt zurücktreten und in alle Notizbücher des gesamten Teams gleichzeitig schauen könnte, würde man vielleicht erkennen, dass all diese winzigen Fehler eigentlich Teil eines großen, koordinierten Raubzugs waren. Dies ist das Problem der „Cross-Agent“-Angriffe: Die Bösewichte verstecken sich in den Lücken zwischen unabhängigen Systemen.

Dieses Paper beschäftigt sich mit einer speziellen Nische der Computersicherheit namens LLM-Agenten-Abwehr. Vereinfacht gesagt sind Large Language Model (LLM) Agenten intelligente Computerprogramme, die Werkzeuge benutzen können (wie das Durchsuchen des Webs oder das Lesen von Dateien), um Aufgaben zu erledigen. Normalerweise testen Sicherheitsteams diese Agenten, indem sie ihnen eine Frage nach der anderen stellen, um zu sehen, ob sie getäuscht werden können. Aber in der realen Welt können Angriffe über Tage hinweg, über verschiedene Teams und durch verschiedene Programme stattfinden. Die große Frage lautet: Können wir diese verstreuten, isolierten Ereignisse miteinander verknüpfen, um zu erkennen, dass sie alle vom selben Bösewicht stammen, selbst wenn wir nicht wissen, wer dieser Bösewicht ist? Die Autoren dieses Papers sagen „Ja“, aber mit einer sehr spezifischen, cleveren Methode, die nicht darauf angewiesen ist, dass die Agenten miteinander kommunizieren.

Die Forscher von einem Unternehmen namens Tynapse führen eine neue Methode ein, um diese „Geister“-Kampagnen zu entlarven. Sie nennen ihre Methode A2FV (Asynchronous Attribution Fingerprint Vectors). Stellen Sie sich A2FV als einen superintelligenten Detektiven vor, der außerhalb aller Büros der Agenten sitzt und beobachtet, welche Post sie senden und empfangen. Dieser Detektiv muss nicht die geheimen Gedanken im Inneren der Agenten lesen (was unmöglich ist). Stattdessen betrachtet er die „Fußabdrücke“, die in der Post hinterlassen werden.

So arbeitet der Detektiv:

1. Der strukturelle Fußabdruck: Wenn ein Agent ein Werkzeug benutzt (wie „Suche“ oder „Datei lesen“), hinterlässt dies ein Muster. Selbst wenn der Bösewicht die Wörter ändert, die er verwendet, bleibt die Reihenfolge der Werkzeuge, die er anfordert, oft gleich. Es ist wie ein Krimineller, der immer denselben spezifischen Typ von Schuh trägt, selbst wenn er Mantel und Hut wechselt.
2. Der stilistische Fußabdruck: Dies ist die „Handschrift“ des Angriffs. Selbst wenn der Bösewicht seine Nachricht umschreibt, verwendet er vielleicht immer noch dieselbe seltsame Interpunktion, dieselbe Art der Formulierung oder dieselben spezifischen Tippfehler. Es ist wie ein Fälscher, der zwar eine Unterschrift kopieren kann, aber nicht aufhören kann, seinen eigenen einzigartigen Neigungswinkel der Buchstaben zu verwenden.
3. Der zeitliche Fußabdruck: Dieser verfolgt, wie viel Zeit zwischen den Anfragen vergeht. Obwohl das Paper feststellte, dass dies in ihren spezifischen Tests ein schwächerer Hinweis war, ist es dennoch Teil des Werkzeugkastens des Detektiven – so als würde man prüfen, ob der Kriminelle immer zur exakt gleichen Tageszeit an die Tür klopft.

Das Team baute eine spezielle Testumgebung namens SCD-v1, um zu sehen, ob ihr Detektiv den Fall tatsächlich lösen kann. Sie erstellten eine Mischung aus normalem, langweiligem Datenverkehr und gefälschten Angriffen, bei denen ein „Bösewicht“ über die Zeit hinweg verwandte Hinweise an verschiedene Agenten sendete. Sie stellten sicher, dass die Agenten keine Notizen austauschen konnten und dass die Angriffe zeitlich versetzt erfolgten, genau wie in der realen Welt.

Die Ergebnisse waren sehr vielversprechend. Als sie ihren A2FV-Detektiven baten, die Sitzungen zu verknüpfen, lag er in etwa 82 % der Fälle richtig (ein Wert von 0,82). Um dies in Perspektive zu setzen: Sie testeten auch andere Methoden, die lediglich den „Sicherheitswert“ jeder einzelnen Nachricht betrachteten oder eine riesige KI baten, das Ganze zu beurteilen. Diese anderen Methoden raten im Grunde nur zufällig und kamen nur in etwa 50 % der Fälle richtig. Das Paper legt nahe, dass der „strukturelle“ und der „stilistische“ Fußabdruck die wahren Helden hier waren und den größten Teil zur Lösung des Rätsels beitrugen.

Das Paper ist jedoch sehr vorsichtig damit, dies nicht als ein Allheilmittel zu bezeichnen, das alles löst. Sie testeten, was passiert, wenn der Bösewicht versucht, seinen Stil oder sein Timing zu ändern, um sich zu tarnen. Sie fanden heraus, dass ein cleverer Bösewicht es zwar schwieriger machen könnte, die Angriffe als eine einzige „Kampagne“ (wie das Verstreuen der Hinweise) zu gruppieren, er aber die Verbindung zwischen den einzelnen Hinweisen nicht vollständig auslöschen konnte. Der „Fußabdruck“ blieb deutlich genug, um die Sitzungen zu verknüpfen, selbst wenn der Bösewicht versuchte, sich zu tarnen.

Die Autoren prüften auch, ob ihre Methode nur ein Zufall der spezifischen Computerprogramme war, die sie verwendeten. Sie führten dieselben Tests mit verschiedenen KI-Modellen (wie Qwen und Gemini) durch und stellten fest, dass die Ergebnisse Bestand hatten. Sie prüften sogar, ob die „Bösewichte“ nur dieselben Themen (wie „Passwörter stehlen“) verwendeten, um das System zu täuschen. Sie fanden heraus, dass die Methode selbst dann den Unterschied zwischen einem echten koordinierten Angriff und einfach nur ähnlichen Fragen von verschiedenen Personen erkennen konnte, wenn die Themen identisch waren.

Kurz gesagt deutet dieses Paper darauf hin, dass wir eine neue Sicherheitsebene für KI-Agenten benötigen. Wir können nicht mehr nur jeden Agenten isoliert betrachten. Wir brauchen einen „zentralen Beobachter“, der in der Lage ist, auf die verstreuten, asynchronen Fußabdrücke eines Angreifers zu schauen und zu sagen: „Hey, diese drei separaten Vorfälle gehören tatsächlich zum selben Drahtzieher.“ Auch wenn dies kein perfekter Schutz gegen jeden möglichen zukünftigen Trick ist (insbesondere wenn der Bösewicht wirklich klug wird und sich in Echtzeit anpasst), beweist es, dass das Verknüpfen dieser verstreuten Angriffe möglich und messbar ist. Es verwandelt ein verwirrendes Chaos isolierter Alarme in ein lösbares Mysterium und gibt Sicherheitsteams eine viel bessere Chance, die Bösewichte zu fassen, bevor sie die Schlüssel zum Königreich stehlen.