Stellen Sie sich eine Welt vor, in der Ihr Computer nicht nur Befehle befolgt, sondern tatsächlich über einen Werkzeugkasten mit „Fähigkeiten“ verfügt, die er aufnehmen und nutzen kann. Denken Sie an diese Fähigkeiten wie an Lego-Steine oder Apps auf Ihrem Telefon: ein „Dateien suchen“-Stein, ein „E-Mail senden“-Stein oder ein „Dokument lesen“-Stein. Diese werden als Agent-Skills bezeichnet und ermöglichen es intelligenten Computerprogrammen (bekannt als KI-Agenten), komplexe Aufgaben zu erledigen, indem sie diese Werkzeuge zusammenstecken. Aber genau wie im echten Leben ist nicht jedes Werkzeug im Kasten sicher. Einige könnten versteckte Fallen sein, die darauf ausgelegt sind, Ihre Geheimnisse zu stehlen oder Ihre Hausaufgaben zu löschen. Um dies sicher zu halten, haben wir Skill-Scanner – digitale Sicherheitswächter, die jedes neue Werkzeug prüfen, bevor Sie es in Ihren Werkzeugkasten lassen. Sie untersuchen die Anweisungen und den Code, um sicherzustellen, dass nichts Hinterlistiges darin versteckt ist. Die große Frage, die sich Forscher stellen, ist: Was passiert, wenn die Bösewichte nicht versuchen, eine einzige, große, offensichtliche Falle zu verstecken, sondern stattdessen drei oder vier winzige, harmlos aussehende Teile einschleusen, die erst gefährlich werden, wenn man sie zusammensteckt?

Genau das untersucht das Paper ColluSkill. Die Autoren entdeckten einen cleveren Weg, die Sicherheitswächter auszutricksen. Sie fanden heraus, dass aktuelle Scanner wie Türsteher sind, die jeden, der den Club betritt, einzeln überprüfen. Wenn eine Person für sich allein betrachtet harmlos aussieht, kommt sie rein. Die Forscher zeigten jedoch, dass man einen gefährlichen Plan in mehrere winzige, harmlos aussehende Teile zerlegen kann. Im Einzelnen besteht jeder Teil die Prüfung des Türstehers. Aber sobald sie alle im Inneren sind und in der richtigen Reihenfolge zusammenarbeiten, fügen sie sich wieder zu einem gefährlichen Angriff zusammen. Das Paper nennt dies ColluSkill, ein Framework, das einen bösartigen Plan in eine Kette von „kolludierenden“ (zusammenarbeitenden) Skills zerlegt. Es verwendet eine intelligente KI, um zu planen, wie diese Teile zusammenpassen, und passt sie dann immer wieder an, bis sie für den Scanner perfekt sicher aussehen, obwohl sie bereit sind, Unheil anzurichten, sobald sie anfangen, zusammenzuarbeiten.

Um dagegen vorzugehen, stellt das Paper einen neuen Verteidiger namens ChainGuard vor. Anstatt das neue Werkzeug isoliert zu prüfen, betrachtet ChainGuard das Gesamtbild: „Welche Werkzeuge sind bereits im Werkzeugkasten? Wie verbindet sich dieses neue mit ihnen?“ Es ist wie ein Sicherheitswächter, der nicht nur Ihren Ausweis prüft, sondern auch fragt: „Mit wem treffen Sie sich und was planen Sie gemeinsam zu tun?“ Die Forscher testeten ihre Ideen an sechs verschiedenen Sicherheits-Scannern und fanden heraus, dass ihr Trick unglaublich gut funktionierte. Der ColluSkill-Angriff schaffte es im Durchschnitt in 96,0 % der Fälle, während die alten Angriffsmethoden nur etwa 37,8 % der Zeit durchkamen. Als sie jedoch ChainGuard einsetzten, sank die Erfolgsrate des Angriffs drastisch auf 22,5 %, während gleichzeitig 99,5 % der guten, harmlosen Werkzeuge durchgelassen wurden.

Die Geschichte des hinterlistigen Lego-Sets

Lassen Sie uns tiefer in die Funktionsweise eintauchen, indem wir eine Geschichte über eine ganz bestimmte Art von Raubüberfall verwenden.

Das Problem: Der „zu schlaue“ Sicherheitswächter
Stellen Sie sich vor, Sie versuchen, ein verbotenes „Datenexfiltrations-Skript“ (ein Programm, das Ihre Geheimnisse stiehlt) in ein Hochsicherheitsgebäude zu schmuggeln. Der Sicherheitswächter an der Tür hat einen Scanner. Wenn Sie eine große, rote Kiste mit der Aufschrift „GESTOHLENE DATEN“ hereinbringen, schreit der Scanner: „BLOCKIERT!“ und stoppt Sie.

Die Forscher fanden heraus, dass aktuelle Sicherheits-Scanner genau wie dieser Wächter funktionieren. Sie betrachten einen Skill nach dem anderen. Sie prüfen dessen Anweisungen, Berechtigungen und Code. Wenn ein einzelner Skill harmlos aussieht, erhält er ein „Pass“. Das Problem ist, dass diese Wächter nicht das ganze Team betrachten. Sie merken nicht, dass man, wenn man drei verschiedene Personen mitbringt, von denen jede ein winziges, harmloses Teil eines Puzzles trägt, diese drei Personen einmal im Gebäude das verbotene Puzzle zusammensetzen könnten.

Der Angriff: ColluSkill (Der Meister der Verkleidung)
Die Autoren entwickelten eine Methode namens ColluSkill, um diese Schwachstelle auszunutzen. Denken Sie an einen Meisterdieb, der beschließt, nicht eine große Bombe mitzubringen, sondern drei separate, harmlos aussehende Gegenstände:

1. Skill A (Der Späher): „Ich möchte nur die Dateien im Raum ansehen.“ (Sieht harmlos aus).
2. Skill B (Der Schreiber): „Ich möchte nur aufschreiben, was ich sehe.“ (Sieht harmlos aus).
3. Skill C (Der Bote): „Ich möchte nur eine Nachricht nach draußen senden.“ (Sieht harmlos aus).

Individuell betrachtet prüft der Sicherheits-Scanner jeden einzelnen und sagt: „Sicher, das ist in Ordnung.“ Aber hier liegt der Trick: ColluSkill nutzt eine intelligente KI, um genau zu planen, wie diese drei sich verbinden.

• Skill A findet eine geheime Datei.
• Skill A gibt diese Datei an Skill B weiter.
• Skill B schreibt die Inhalte der Datei in eine Nachricht.
• Skill B gibt diese Nachricht an Skill C weiter.
• Skill C sendet die Nachricht nach draußen.

Die Magie von ColluSkill liegt in zwei Schritten:

1. Kettenplanung (Chain Planning): Die KI findet die perfekte Reihenfolge, damit die „Gefahr“ verteilt wird. Kein einzelner Skill tut etwas Schlechtes für sich allein; sie geben Dinge nur weiter.
2. Scanner-Feedback: Die KI versucht, die Skills einzuschleusen. Wenn der Scanner einen markiert (z. B. „Skill C sieht etwas verdächtig aus“), schreibt die KI ihn um, damit er harmloser aussieht, und versucht es erneut. Sie macht dies so lange, bis jeder einzelne Teil die Prüfung besteht.

In ihren Tests war diese Methode erschreckend effektiv. Als sie versuchten, diese Ketten an sechs verschiedenen realen Scannern vorbeizuschmuggeln, war ColluSkill in 96,0 % der Fälle erfolgreich. Vergleichen Sie das mit älteren Methoden, die den schlechten Code einfach nur aufgeteilt haben, welche nur etwa 36,7 % der Zeit erfolgreich waren. Die Forscher fanden heraus, dass das bloße Aufteilen des Codes nicht ausreichte; die Planung und das Umschreiben waren das, was den Unterschied machte.

Die Verteidigung: ChainGuard (Der Detektiv)
Wie stoppen wir das also? Das Paper schlägt ChainGuard vor. Anstatt ein Wächter zu sein, der Menschen einzeln prüft, ist ChainGuard ein Detektiv, der die ganze Gruppe betrachtet.

Wenn ein neuer Skill eintreten möchte, fragt ChainGuard: „Wer ist schon im Raum? Was machen sie?“

• Wenn Skill C (Der Bote) versucht einzutreten, schaut ChainGuard in die installierten Skills und sieht, dass Skill A (Der Späher) und Skill B (Der Schreiber) bereits da sind.
• Es erkennt: „Moment mal. Wenn A Geheimnisse findet, B sie aufschreibt und C sie versendet, ist das eine Diebstahlkette!“
• Obwohl C für sich allein harmlos aussieht, blockiert ChainGuard ihn wegen dessen, was er mit den anderen tun könnte.

Die Ergebnisse waren beeindruckend. Als die Forscher den ColluSkill-Angriff mit ChainGuard testeten, sank die Erfolgsrate von 96,0 % auf 22,5 %. Entscheidend ist, dass ChainGuard nicht einfach alles blockierte; es ließ immer noch 99,5 % der guten, harmlosen Arbeitsabläufe passieren. Es lernte, zwischen einem Team von Freunden, die ein Haus bauen, und einem Team von Dieben, die einen Raub planen, zu unterscheiden.

Funktioniert das tatsächlich in der realen Welt?
Die Forscher hörten nicht beim Sicherheits-Scanner auf. Sie testeten, ob diese heimlichen Ketten tatsächlich auf echten KI-Coding-Tools wie OpenCode, Claude Code und Codex laufen können. Sie fanden heraus, dass die Ketten perfekt funktionierten. Auf OpenCode aktivierten die Angriffsketten in 89,5 % der Fälle (mit GPT-5.5) erfolgreich die Kette. Dies beweist, dass die Bedrohung nicht nur theoretisch ist; wenn ein böswilliger Akteur diese Methode anwendet, könnte er diese Angriffe tatsächlich auf echten Computern ausführen.

Das Fazit
Das Paper kommt zu dem Schluss, dass wir vor einer neuen Art von Sicherheitsproblem stehen. Wir können nicht nur prüfen, ob ein einzelnes Werkzeug sicher ist; wir müssen prüfen, ob eine Gruppe von Werkzeugen sicher ist, wenn sie zusammenarbeiten. Der ColluSkill-Angriff zeigt, dass das Aufteilen eines schlechten Plans in kleine, harmlose Teile eine sehr mächtige Methode ist, um aktuelle Abwehrmechanismen zu umgehen. Aber die gute Nachricht ist, dass ChainGuard einen Weg aufzeigt: Wenn wir anfangen zu prüfen, wie Werkzeuge sich verbinden und interagieren, können wir diese heimlichen Ketten abfangen, bevor sie Schaden anrichten. Die Forscher legen nahe, dass die Zukunft der KI-Sicherheit nicht nur aus besseren Scannern besteht, sondern aus intelligenteren, kontextbewussten Wächtern, die die ganze Geschichte verstehen, nicht nur die einzelnen Kapitel.