Supply Chain Compromise
- Tools & externe Daten
- Memory / Zustand
Eine kompromittierte Komponente — ein Modell, ein Adapter, eine Bibliothek, ein Tool, ein MCP-Server, ein Prompt-Template oder eine Build-Umgebung — wird in den Agenten hineingezogen und erlaubt einem Angreifer, seine Aktionen zu manipulieren, Daten zu exfiltrieren oder beliebigen Code auszuführen, ohne je direkt mit dem Agenten zu interagieren.
Was es ist
Supply Chain Compromise hebt Supply Chain (LLM03) von einem Belang der Modellentwicklung zu einer vollwertigen agentischen Bedrohung — denn die Lieferkette eines Agenten ist weit umfassender als sein Basismodell: Jedes Tool, das er aufrufen kann, jeder MCP-Server, mit dem er sich verbindet, jede Bibliothek, jeder Adapter, jedes Prompt-Template und jeder Build-Schritt ist eine Komponente, deren Kompromittierung der Agent zur Laufzeit erbt. Als eigenständige Bedrohung in der Taxonomie v1.1 aufgenommen, erfasst sie die Realität, dass die Komponenten, aus denen sich ein Agent selbst zusammensetzt, dynamisch bezogen werden — oft aus öffentlichen oder Drittanbieterquellen — und nach dem Laden implizit als vertrauenswürdig gelten: Eine vergiftete oder mit einer Backdoor versehene Komponente kündigt sich nicht an, sie wird schlicht Teil dessen, was der Agent ist, und bleibt fehlerhaft, bis ihre Herkunft unabhängig verifiziert wird. In einem Multi-Agenten-System weitet sich der Schadensradius erneut: Ein kompromittiertes geteiltes Tool oder ein kompromittierter MCP-Server ist von jedem Agenten erreichbar, der es lädt, sodass eine einzelne vergiftete Komponente das gesamte System statt eines einzelnen Agenten steuern kann.
Arten
- Manipulierte Modelle, Adapter & Bibliotheken
- Ein Modell, ein LoRA-Adapter oder eine aus einem Repository bezogene Abhängigkeit trägt eine versteckte Backdoor oder Schwachstelle, die durch statische Inspektion nicht erkennbar ist.
- Bösartige Tools, MCP-Server & Metadaten
- Ein Tool oder MCP-Server, den der Agent installiert, ist bösartig oder hat manipulierte Metadaten, sodass gewöhnliche Tool-Nutzung selbst zum Angriff wird.
- Vergiftete Prompts & entfernte Konfiguration
- Ein Prompt-Template oder eine Konfiguration, die aus einer entfernten Quelle geladen wird, ist so verändert, dass sie Exfiltrations- oder Backdoor-Logik einbettet, die der Nutzer nie zu Gesicht bekommt.
- Vergiftete Build-Umgebung & bösartige Updates
- Eine kompromittierte Build-Pipeline oder ein bösartiges Auto-Update schleust schädliche Komponenten in einen ansonsten vertrauenswürdigen Agenten ein — beim Zusammensetzen oder bei der Aktualisierung.
Angriffsszenarien
Ein Prompt-Template, das unbemerkt aus einer entfernten Quelle geladen wird, ist vergiftet, sodass ein Unternehmens-Copilot beginnt, „hilfsbereit“ Schritte vorzuschlagen, die während routinemäßiger Workflows Kundendaten exfiltrieren — ohne ein für den Nutzer sichtbares Zeichen, dass die Komponente manipuliert wurde.
Vergiftetes Tooling-Update (Amazon-Q-Klasse)
Ein vergiftetes Entwickler-Tooling-Update liefert eine Injektion aus, die einen KI-Coding-Agenten anweist, „das System zu löschen“, und erreicht jeden Nutzer, der automatisch aktualisiert, bevor das Release zurückgezogen wird.
Übermäßig vertraute Tool-Kette (Replit-Klasse)
Ein Vibe-Coding-Agent mit einer kompromittierten oder übermäßig vertrauten Tool-Kette löscht eine Produktionsdatenbank, während er scheinbar eine routinemäßige Operation ausführt.
Bösartiges Paket (LiteLLM-PyPI-Klasse)
Ein bösartiges Paket, das in einer öffentlichen Registry veröffentlicht wird, wird vor seiner Entfernung in wenigen Stunden zehntausendfach heruntergeladen, wobei jede Installation eine mit einer Backdoor versehene Abhängigkeit in die Agenten sät, die es beziehen.
Manipulierter MCP-Server
Ein manipulierter MCP-Server, der als praktische Integration verbreitet wird, bewirbt eine harmlose Fähigkeit, während seine Implementierung sämtliche Zugangsdaten exfiltriert, die der sich verbindende Agent besitzt.
Abwehrmaßnahmen
- Artefakte signieren und eine Stückliste führen
- Modelle, Tools und Agent-Komponenten digital signieren, eine verifizierbare SBOM / AIBOM / Agent SBOM pflegen und Hashes sowie Herkunft von allem, was aus einem Repository bezogen wird, vor dem Laden verifizieren.
- Beschränken und prüfen, woraus sich ein Agent zusammensetzt
- Tools und MCP-Server nur aus einer attestierten Tool Registry installieren, die Installation nicht vertrauenswürdiger Tools einschränken und auf Prompt-Templates und Konfiguration Versionskontrolle mit Peer-Review anwenden, statt sie blind aus einer entfernten Quelle zu laden.
- Jede Komponente isolieren
- Agenten und die von ihnen geladenen Komponenten gemäß Sandbox Execution in gesandboxten, isolierten Umgebungen ausführen, sodass eine kompromittierte Komponente weder den Host noch das weitere Netzwerk erreichen kann.
- Auf Drift überwachen und die Lieferkette per Red-Teaming prüfen
- Kontinuierlich auf Verhaltens-Drift oder bösartige Veränderungen entlang der Lieferkette überwachen und den Agenten mit simulierten Supply-Chain-Angriffen per Red-Teaming prüfen, um die Abwehrmaßnahmen zu validieren, bevor es ein Angreifer tut.