Das Vertrauensproblem, das Verstöße der Regierung und Angriffe von KI-Agenten verbindet
Der derzeit gefährlichste Punkt in der Unternehmenssicherheit ist nicht der Netzwerkperimeter. Es ist der Second, in dem ein vertrauenswürdiges System eine Identität, ein Dokument, eine Webseite oder eine Anweisung akzeptiert und beschließt, entsprechend zu handeln.
Zwei Geschichten aus der Mitte des Jahres 2026 verdeutlichen dies von entgegengesetzten Enden des Technologie-Stacks. Zum einen handelt es sich um eine bundesweite Informationsaustauschplattform, die seit zwei Jahrzehnten läuft. Bei der anderen handelt es sich um KI-Agenten, die gewöhnliche Webinhalte lesen. Keine der beiden Geschichten löste die andere aus. Zusammengenommen decken sie die gleiche betriebliche Lücke auf: Unternehmen gewähren weiterhin vertrauenswürdigen Zugriff schneller, als sie ihn überprüfen können.
Was der HSIN-Vorfall feststellt
Das Division of Homeland Safety bestätigte Ende Juni, dass Hacker auf das Homeland Safety Data Community zugegriffen hatten. Companion auf Bundes-, Landes-, lokaler, Stammes-, territorialer, internationaler und privater Ebene nutzen die Plattform, um smart, aber nicht klassifizierte Informationen auszutauschen und Notfallmaßnahmen zu koordinieren. Ein DHS-Sprecher beschrieb das Ziel als „eine spezifische, nicht klassifizierte Umgebung für den Austausch alter Informationen“ und betonte, dass geheime Netzwerke keine Anzeichen von Auswirkungen zeigten, so Nextgov/FCW, das den Verstoß zuerst gemeldet hatte.
Zwei mit der Untersuchung vertraute Personen teilten Nextgov/FCW mit, dass der Einbruch wahrscheinlich zwischen Ende Mai und Anfang Juni stattgefunden habe. Berichten zufolge zielten die Hacker auf HSIN-Server und ein SharePoint-System ab, das die Agentur für die Zusammenarbeit nutzt. Die Ermittler hatten bis Anfang Juli weder die Identität, Zugehörigkeit noch das Motiv des Angreifers geklärt und nicht bestätigt, ob irgendwelche Unterlagen die Plattform verlassen hatten.
Der stellvertretende Vorsitzende des Geheimdienstausschusses des Senats, Mark Warner, erhöhte den Einsatz noch weiter. In einer öffentlichen Erklärung, die von TechCrunch abgedeckt wurde, stellte Warner fest, dass HSIN aktiv die Sicherheitskoordination für die laufenden Weltmeisterschaftsspiele in den Vereinigten Staaten unterstützt. Die Plattform hat auch dazu beigetragen, die Reaktion auf die Kollision zwischen einem American-Airways-Jet und einem Military-Black-Hawk-Hubschrauber in der Nähe von Washington, D.C. letztes Jahr in der Luft zu bewältigen. In öffentlichen Berichten wurde nicht bestätigt, dass Angreifer konkrete Einsatzpläne im Zusammenhang mit einem der beiden Ereignisse eingesehen oder entfernt haben. Der Heimatschutzausschuss des Repräsentantenhauses hat eine Unterrichtung beantragt, ein Schritt, der zeigt, wie ernst es der Kongress damit meint, dass eine Plattform dieser Größenordnung wochenlang unbeaufsichtigt bleibt.
Nichts davon ist Neuland für HSIN. Nextgov/FCW berichtete zuvor über einen Codierungsfehler von Auftragnehmern im Jahr 2023, bei dem eingeschränkte HSIN-Daten, einschließlich sensibler persönlicher Daten, Benutzern zugänglich gemacht wurden, die niemals Zugriff darauf hätten haben sollen. Betrachten Sie den Vorfall von 2023 als eine frühere Fehlkonfiguration und nicht als Beweis im Zusammenhang mit dem Verstoß von 2026. Das Muster bei beiden Vorfällen bleibt bestehen: Eine Plattform, die für die Bedienung einer breiten, verteilten Partnerbasis konzipiert ist, baut Zugriffsbeziehungen schneller auf, als irgendjemand sie erneut validiert.
Immediate Injection verwandelt Inhalte in eine Angriffsfläche
Unit 42 von Palo Alto Networks veröffentlichte im März eine Studie, in der etwas beschrieben wurde, was Sicherheitsteams größtenteils nur in der Theorie diskutiert hatten. Gegen KI-Agenten auf Reside-Web sites wurden indirekte Immediate-Injection-Angriffe ausgeführt. Angreifer betten versteckte Anweisungen in gewöhnlich aussehende Inhalte ein und warten dann darauf, dass ein KI-Agent den Inhalt liest, während er eine legitime Aufgabe ausführt.
Unit 42 katalogisierte 22 verschiedene Techniken, mit denen Angreifer solche Nutzlasten in Webseiten verbergen, darunter Klartextanweisungen, HTML-Attribut-Cloaking und CSS-basiertes Verstecken. Zu den dokumentierten Absichten des Angreifers gehörten die Umgehung von Anzeigenbewertungen, Suchmanipulationen, Datenvernichtung, Denial-of-Service, nicht autorisierte Transaktionen und die Weitergabe von Systemaufforderungen oder vertraulichen Informationen. Einheit 42 sagte, sie habe keinen Fall bestätigt, in dem ein eingesetzter Advert-Checking-Agent durch die von ihm genannte spezifische Nutzlast kompromittiert wurde, ein wichtiger Unterschied zwischen einem versuchten Angriff und einem abgeschlossenen Verstoß.
Der Mechanismus ist wichtiger als jede einzelne Nutzlast. Ein KI-Agent, der Webseiten, E-Mails, Codekommentare oder Instrument-Ausgaben liest, während er über die Berechtigung zum Senden von Nachrichten, zum Genehmigen von Transaktionen oder zum Ändern von Datensätzen verfügt, behandelt vom Angreifer bereitgestellten Textual content als potenzielle Anweisung und nicht als inaktiven Inhalt. Die Leitlinien von Unit 42 bezeichnen Leitplanken auf Modellebene als „weiche“ Abwehrmaßnahmen und empfehlen stattdessen harte Kontrollen, insbesondere strenge Beschränkungen für die Instruments, die ein Agent aufrufen kann.
Der gemeinsame Fehler ist grenzenloses Vertrauen
Ordnen Sie die beiden Vorfälle aneinander und vier Schwachstellen wiederholen sich über sie hinweg:
- Breite Zugangsbeziehungen. HSIN verbindet eine breite, fortlaufende Gemeinschaft von Partneragenturen und Auftragnehmern. KI-Agenten stellen zunehmend eine Verbindung zu E-Mails, Repositorys, Browsern, Datenbanken und Unternehmens-APIs her.
- Ohne kontinuierliche Überprüfung werden Eingaben als vertrauenswürdig erachtet. Ein gültiges HSIN-Konto kann kompromittiert werden, lange bevor es jemand bemerkt. Eine legitim aussehende Webseite kann eine versteckte Anweisung enthalten, der ein Agent folgen wird.
- Der Berechtigungsbereich überschreitet den Aufgabenbereich. Wenn ein Auftragnehmerkonto, ein Service-Zugangsdatensatz oder ein KI-Agent den Zugriff über seine eigentliche Aufgabe hinaus behält, vervielfacht sich der Schaden, den eine einzelne Kompromittierung verursachen kann.
- Schwache Sichtbarkeit auf der Aktionsebene. Standardprotokolle können zeigen, dass ein gültiges Konto oder ein gültiger Agent eine Anfrage gestellt hat, ohne dass der Angreifer die dahinterstehende Absicht manipuliert.
Sicherheitsprogramme neigen immer noch dazu, die beiden Probleme getrennten Groups zuzuordnen: eines für die Legacy-Infrastruktur, ein anderes für die KI-Governance. Die daraus resultierende Spaltung erzeugt blinde Flecken genau dort, wo ein Angreifer nur eine schwache Identität, ein veraltetes System oder eine versteckte Anweisung benötigt, um vertrauenswürdigen Zugriff in einen Angriffspfad umzuwandeln.
KI komprimiert den Arbeitszyklus des Angreifers
Die Menace Intelligence Group von Google berichtete im Mai, sie habe den ihrer Meinung nach ersten Zero-Day-Exploit identifiziert, der mit KI-Unterstützung entwickelt wurde. Der Exploit zielte auf eine Umgehung der Zwei-Faktor-Authentifizierung in einem Open-Supply-Systemverwaltungstool ab. GTIG arbeitete mit dem Anbieter zusammen, um den Fehler aufzudecken und die Aktivität zu unterbrechen, bevor der Bedrohungsakteur ihn in großem Umfang ausnutzen konnte. Die Gruppe brachte ein breiteres Interesse an der KI-gesteuerten Schwachstellenerkennung mit Akteuren im Zusammenhang mit China und Nordkorea in Verbindung und dokumentierte die KI-gestützte Malware-Entwicklung, einschließlich Instruments, die zur Laufzeit Befehle aus der Modellausgabe generieren.
Nichts davon bedeutet, dass jeder Angreifer plötzlich mit nationalstaatlicher Raffinesse agiert. Genauer gesagt: KI verkürzt den Forschungs- und Iterationszyklus, auf den Angreifer angewiesen sind. Das Testen von Variationen gegenüber einem Ziel kostet jetzt weniger Zeit und weniger Aufwand. Verteidiger haben unterdessen immer noch mit Änderungskontrollprozessen, Anbieterabhängigkeiten, unvollständigen Asset-Inventaren und bestenfalls vierteljährlichen Berechtigungsüberprüfungen zu kämpfen. Die Asymmetrie ist struktureller und nicht universeller Natur: Angreifer können breit angelegte und schnelle Assessments durchführen, während die Verteidiger das Gesamtgewicht aller Identitäten, Systeme und Integrationen tragen, die ein Unternehmen jemals hinzugefügt hat.
Ein Kontrollmodell für Legacy-Systeme und KI-Agenten
Das Ausführen separater Playbooks für „traditionelle Infrastruktur“ und „KI-Sicherheit“ ist nicht mehr haltbar. Jede Seite braucht die gleichen Disziplinen.
Bilden Sie jeden Vertrauenspfad ab, nicht nur jedes Asset. Dokumentieren Sie, welche Personen, Dienstkonten, Auftragnehmer, Verbundpartner, OAuth-Zuschüsse, API-Schlüssel und KI-Agenten lesen, ändern, genehmigen, senden, löschen oder kaufen können, und zeichnen Sie dies für jeden einzelnen und nicht für das System als Ganzes auf.
Beschneiden Sie Privilegien auf der Aktionsebene. Trennen Sie den Lesezugriff vom Schreibzugriff für KI-Instruments: Ein Agent, der E-Mails zusammenfasst, benötigt keine Erlaubnis zum Senden, und ein Agent, der Code überprüft, benötigt keine Anmeldeinformationen für die Bereitstellung. Wenden Sie die gleiche Logik auf ältere Plattformen an, indem Sie veraltete Konten entfernen und den Auftragnehmer- und Partnerzugriff nach einem festen Zeitplan erneut validieren.
Behandeln Sie abgerufene Inhalte standardmäßig als feindselig. KI-Systeme sollten die Herkunft von Webseiten, Dokumenten, Nachrichten und Instrument-Ausgaben markieren und verhindern, dass der Inhalt direkt privilegierte Funktionen auslöst.
Fordern Sie einen Menschen auf, wichtige Aktionen zu genehmigen: externe Kommunikation, Zahlungen, Änderungen an Anmeldeinformationen, Produktionsbereitstellung, Datenlöschung, Zugriffsgewährung und Massenänderungen von Datensätzen. Der Genehmigungsbildschirm muss die genaue Aktion, das Ziel und die Parameter anzeigen. Eine Schaltfläche mit der Bezeichnung „Aufgabe genehmigen“ gibt Ihnen keine wirkliche Kontrolle.
Beobachten Sie das Verhalten, nicht nur die Anmeldungen. Neue Zugriffsmuster, ungewöhnliche Downloads, wiederholte fehlgeschlagene Instrument-Aufrufe und ein Agent, der nach einer Area greift, die niemand genehmigt hat, verdienen Aufmerksamkeit, bevor sie zu einem Vorfallbericht werden.
Führen Sie ein wiederkehrendes Pink-Workforce für den gesamten Workflow durch, einschließlich abgerufener Inhalte, Speicher, Plugins, verbundener Server und des Genehmigungsablaufs selbst, nicht nur des zugrunde liegenden Modells.
Entwerfen Sie eine Eindämmungslösung für die Annahme, dass sich ein Konto oder ein Agent letztendlich schlecht benimmt. Begrenzte Token, kurzlebige Anmeldeinformationen, Sandboxes professional Aufgabe und ein schneller Widerruf begrenzen die Reichweite eines einzelnen böswilligen Akteurs oder einer böswilligen Eingabeaufforderung.
Metriken, die Operatoren verwenden können
Sie brauchen keine neue Abteilung, um die Lücke zu schließen. Verfolgen Sie eine kleine Anzahl von Zahlen, die Ihnen sagen, ob das Vertrauen überprüft wird:
- Prozentsatz der in den letzten 90 Tagen überprüften privilegierten Konten
- Anzahl der ruhenden Companion-, Auftragnehmer- oder Dienstkonten, die noch Zugriff haben
- Prozentsatz der KI-Agenten mit schreibfähigen Instruments und wie viele eine Genehmigung für wirkungsvolle Aktionen benötigen
- Mittlere Zeit, um eine offengelegte Identität oder Integration zu widerrufen
- Abdeckung der Protokollierung auf Aktionsebene über Legacy-Systeme und KI-Agenten hinweg
Keine der oben genannten Metriken erfordert exotische Werkzeuge. Die meisten Organisationen verfügen bereits über die Daten. Was ihnen fehlt, ist die Angewohnheit, die Frage nach einem festen Zeitplan zu stellen, anstatt erst nach einem Vorfall eine Überprüfung erforderlich zu machen.
HSIN und die von Unit 42 dokumentierten Immediate-Injection-Nutzlasten stammten nicht vom selben Angreifer, vom gleichen Exploit oder gar vom gleichen Jahrzehnt der Technologie. Ordnen Sie sie trotzdem an und die Lektion gilt: Keine Identität, kein System, kein Modell, kein Dokument und kein Agent sollte mehr Vertrauen haben, als die vor ihr liegende Aufgabe erfordert, und jede daraus resultierende Aktion muss beobachtbar und umkehrbar bleiben. Unternehmen behandeln Legacy-Infrastruktur und KI-Sicherheit weiterhin als getrennte Disziplinen und werden die Lücke weiterhin auf die gleiche Weise entdecken wie das DHS: im Nachhinein.