Tiny Enough to Break In: Agentic Remote Access Trojans Powered by Small Language Models

Stellen Sie sich eine Welt vor, in der Computer nicht einfach nur wie gehorsame Roboter Befehlen folgen, sondern anfangen, wie neugierige Detektive selbstständig zu denken. Dies ist das Reich der Agentic AI. Im Gegensatz zu einem Standardprogramm, das jedes Mal darauf wartet, dass ein Mensch auf „Ausführen“ klickt, ist ein „Agent“ ein digitaler Assistent, der in der Lage ist, eine Situation zu analysieren, zu entscheiden, was als Nächstes zu tun ist, es auszuprobieren und – falls es fehlschlägt – von sich aus etwas anderes zu versuchen. Stellen Sie sich nun vor, man würde diese Idee verkleinern. Anstatt eines massiven, cloudbasierten Supercomputers für das Denken, sprechen wir hier von Small Language Models (SLMs). Dies sind wie taschengroße Gehirne, die auf einen normalen Laptop oder sogar ein Smartphone passen können und in der Lage sind, lokal zu argumentieren, ohne „nach Hause telefonieren“ zu müssen, um das Internet zu nutzen.

Warum ist das wichtig? Weil Hacker seit Jahrzehnten „Remote Access Trojans“ (RATs) verwenden – bösartige Programme, die es ihnen ermöglichen, sich in einen Computer einzuschleichen und ihn aus der Ferne zu steuern. Normalerweise muss ein menschlicher Hacker dort sitzen, den Bildschirm lesen und Befehle eintippen, während er entscheidet, was als Nächstes gestohlen oder zerstört wird. Aber was wäre, wenn die Malware selbst denken könnte? Was wäre, wenn das Virus die Situation auf dem Computer erkennen könnte, auf der Erkenntnis basiert: „Hey, dieser Port ist offen“, sich entscheidet, einen bestimmten Trick auszuprobieren, sieht, ob es funktioniert hat, und falls nicht, einen anderen Trick versucht – alles, ohne dass jemals ein Mensch die Tastatur berührt hat? Das ist die beängstigende Frage, die dieses Paper stellt: Kann ein winziges, lokales KI-Gehirn klein genug sein, um sich in einem Computer zu verstecken, und gleichzeitig klug genug, um ganz allein einzubrechen und die Kontrolle zu übernehmen?

Das winzige Gehirn im Trojanischen Pferd

In dieser Studie baute ein Team von Forschern der University of Virginia eine digitale „Sandbox“ – einen sicheren, isolierten Spielplatz, auf dem sie eine wilde Idee testen konnten, ohne jemanden zu schaden. Sie wollten sehen, ob sie einen Remote Access Trojan (RAT) bauen konnten, der von einem Small Language Model (SLM) angetrieben wird. Stellen Sie sich dies als einen digitalen Einbrecher vor, der keinen menschlichen Meister braucht, der ihm sagt, welches Fenster er knacken soll; stattdessen besitzt er ein winziges, lokales Gehirn, das sich umsieht, das Schloss erkennt und versucht, es zu manipulieren.

Um dies zu testen, richteten sie ein Labor mit zwei Hauptcharakteren ein: einem „Kali“-Computer (der Angreifer) und einem „Metasploitable“-Computer (das Opfer, eine Maschine, die absichtlich voller Sicherheitslücken ist). Sie installierten ein lokales KI-Modell namens dolphin3-cyber-8b (ein Modell mit 8 Milliarden Parametern) auf der Angreiferseite. Dieses Modell war klein genug, um auf normaler Hardware ohne Cloud-Verbindung zu laufen. Die Aufgabe der KI war es, das „Gehirn“ des RAT zu bilden. Sie sollte:

1. Sehen: Den Opferrechner scannen, um zu sehen, welche Dienste offen sind (wie das Prüfen, welche Türen unverschlossen sind).
2. Denken: Entscheiden, welches Werkzeug sie benutzen soll, um einzubrechen.
3. Handeln: Den Befehl senden, um den Einbruch zu versuchen.
4. Reagieren: Falls es fehlschlug, die Fehlermeldung analysieren, verstehen, warum es nicht funktionierte, und einen anderen Ansatz versuchen.

Die Ergebnisse: Ein tollpatschiger Einbrecher mit einer glänzenden Zukunft

Die Forscher stellten eine gespaltene Persönlichkeit in ihrer Schöpfung fest. Einerseits funktioniert die Architektur. Das winzige KI-Gehirn war erfolgreich in der Lage, den vollen Zyklus aus „Sehen, Denken, Handeln“ ohne menschliche Hilfe und ohne Internetverbindung durchzuführen. Es konnte die Scan-Ergebnisse lesen, ein Werkzeug auswählen und einen Befehl ausführen. Die „Rohrleitungen“ des Systems waren solide.

Andererseits war das Gehirn noch sehr tollpatschig. Als die Forscher die KI baten, eine strikte Checkliste von Aufgaben abzuarbeiten, war sie nur in 10,9 % der Fälle erfolgreich. Das sind etwa 6 erfolgreiche Versuche bei 55 Versuchen.

Die KI war gut in den einfachen Dingen. Wenn der Scan eine sehr offensichtliche, einstufige Tür zeigte (wie eine spezifische „Bind Shell“ auf Port 1524 oder einen FTP-Dienst auf Port 21), konnte die KI einfach hindurchgehen. Es war wie ein Einbrecher, der eine bereits weit offene Tür sieht und einfach hineinspaziert. Aber sobald die Aufgabe mehr als einen Schritt erforderte – wie das Erraten eines Passworts, das Handhaben einer komplexen Fehlermeldung oder das Wechseln von Werkzeugen nach einem Fehlschlag – begann die KI zu stolpern.

Das Paper hebt drei Hauptgründe für das Scheitern der KI hervor:

• Halluzinationen: Die KI erfand manchmal Befehle, die nicht existierten, oder benutzte Werkzeuge auf eine Weise, für die sie nicht vorgesehen waren.
• Verwirrung: Sie las die Fehlermeldungen des Computers oft falsch und interpretierte ein Scheitern fälschlicherweise als Erfolg.
• Sturheit: Wenn ein Befehl fehlschlug, versuchte die KI anstatt einer völlig neuen Strategie oft nur, denselben fehlgeschlagenen Befehl umzuformulieren und es erneut zu versuchen, wodurch sie in einer Endlosschleife stecken blieb.

Die Forscher waren sich über die Bedeutung dieser Ergebnisse sehr im Klaren: Das Konzept ist möglich, aber die aktuelle Technologie ist noch nicht so weit. Sie schlossen explizit die Idee aus, dass dies ein „gelöstes“ Problem oder eine perfekte Waffe sei. Tatsächlich merkten sie an, dass ein menschlicher Hacker bei einer solchen Erfolgsquote von 10,9 % sofort entlassen würde. Sie wiesen jedoch auf eine beängstigende Wendung hin: Ein Mensch muss bezahlt werden, um zu arbeiten, aber ein Computer nicht. Wenn man diese tollpatschige KI tausende Male am Tag für fast keine Kosten laufen lassen kann, könnte selbst eine Erfolgsquote von 10 % letztlich zu einer Sicherheitsverletzung führen.

Was uns das über die Zukunft verrät

Die wichtigste Erkenntnis aus diesem Paper ist nicht, dass die KI heute ein Meisterdieb ist. Es ist, dass die Maschinerie bereit ist, auch wenn das Gehirn noch lernt. Das System, das Daten parst, Befehle validiert und ausführt, funktionierte perfekt. Das Einzige, was es zurückhielt, war die Argumentationskraft des kleinen Modells.

Die Autoren argumentieren, dass sich mit der Verbesserung und Intelligenz dieser kleinen KI-Modelle der „tollpatschige Einbrecher“ zum „Meisterdieb“ entwickeln wird. Die Lücke zwischen „kann es nicht“ und „kann es“ schließt sich schnell. Für Verteidiger bedeutet das Paper, dass wir nicht mehr nur nach spezifischen Code-Signaturen suchen können. Stattdessen müssen wir das Verhalten dieser Agenten beobachten. Da die KI in der Studie in Schleifen stecken blieb, dieselben Fehler wiederholte und seltsame Kombinationen von Werkzeugen ausprobierte, sind dies die „Anzeichen“, auf die Sicherheitssysteme achten sollten.

Kurz gesagt: Das Paper beweist, dass eine kleine, lokale KI einen Remote-Access-Angriff eigenständig durchführen kann. Sie kann es nur noch nicht besonders gut. Aber da sich die Technologie so schnell verbessert, ist der Tag, an dem ein kleiner, selbstdenkender Virus ohne menschliches Eingreifen in Ihren Computer einbrechen kann, wahrscheinlich viel näher, als wir denken. Der Teil „winzig“ im Titel bezieht sich nicht nur auf die Größe; es geht darum, wie klein diese Bedrohungen werden, was sie schwerer erkennbar und leichter versteckbar macht.