Supply Chain Compromise
- Tools & externe Daten
- Memory / Zustand
Eine kompromittierte Komponente — ein Modell, ein Adapter, eine Bibliothek, ein Tool, ein MCP-Server, ein Prompt-Template oder eine Build-Umgebung — wird in den Agenten hineingezogen und erlaubt einem Angreifer, seine Aktionen zu manipulieren, Daten zu exfiltrieren oder beliebigen Code auszuführen, ohne je direkt mit dem Agenten zu interagieren.
Was es ist
Supply Chain Compromise hebt Supply Chain (LLM04) von einem Belang der Modellentwicklung zu einer vollwertigen agentischen Bedrohung — denn die Lieferkette eines Agenten ist weit umfassender als sein Basismodell: Jedes Tool, das er aufrufen kann, jeder MCP-Server, mit dem er sich verbindet, jede Bibliothek, jeder Adapter, jedes Prompt-Template und jeder Build-Schritt ist eine Komponente, deren Kompromittierung der Agent zur Laufzeit erbt.
Als eigenständige Bedrohung in der Taxonomie v1.1 aufgenommen, erfasst sie die Realität, dass die Komponenten, aus denen sich ein Agent selbst zusammensetzt, dynamisch bezogen werden — oft aus öffentlichen oder Drittanbieterquellen — und nach dem Laden implizit als vertrauenswürdig gelten: Eine vergiftete oder mit einer Backdoor versehene Komponente kündigt sich nicht an, sie wird schlicht Teil dessen, was der Agent ist, und bleibt fehlerhaft, bis ihre Herkunft unabhängig verifiziert wird. In einem Multi-Agenten-System weitet sich der Schadensradius erneut: Ein kompromittiertes geteiltes Tool oder ein kompromittierter MCP-Server ist von jedem Agenten erreichbar, der es lädt, sodass eine einzelne vergiftete Komponente das gesamte System statt eines einzelnen Agenten steuern kann.
Arten
- Manipulierte Modelle, Adapter & Bibliotheken
- Ein Modell, ein LoRA-Adapter oder eine aus einem Repository bezogene Abhängigkeit trägt eine versteckte Backdoor oder Schwachstelle, die durch statische Inspektion nicht erkennbar ist.
- Bösartige Tools, MCP-Server & Metadaten
- Ein Tool oder MCP-Server, den der Agent installiert, ist bösartig oder hat manipulierte Metadaten, sodass gewöhnliche Tool-Nutzung selbst zum Angriff wird.
- Vergiftete Prompts & entfernte Konfiguration
- Ein Prompt-Template oder eine Konfiguration, die aus einer entfernten Quelle geladen wird, ist so verändert, dass sie Exfiltrations- oder Backdoor-Logik einbettet, die der Nutzer nie zu Gesicht bekommt.
- Vergiftete Build-Umgebung & bösartige Updates
- Eine kompromittierte Build-Pipeline oder ein bösartiges Auto-Update schleust schädliche Komponenten in einen ansonsten vertrauenswürdigen Agenten ein — beim Zusammensetzen oder bei der Aktualisierung.
Angriffsszenarien
Ein Prompt-Template, das unbemerkt aus einer entfernten Quelle geladen wird, ist vergiftet, sodass ein Unternehmens-Copilot beginnt, „hilfsbereit“ Schritte vorzuschlagen, die während routinemäßiger Workflows Kundendaten exfiltrieren — ohne ein für den Nutzer sichtbares Zeichen, dass die Komponente manipuliert wurde.
Vergiftetes Tooling-Update
Ein vergiftetes Entwickler-Tooling-Update liefert Anweisungen aus, die einen KI-Coding-Agenten zerstörerische Befehle ausführen lassen, und erreicht jeden Nutzer, der automatisch aktualisiert, bevor das Release zurückgezogen wird.
Übermäßig vertraute Tool-Kette
Ein Vibe-Coding-Agent mit einer kompromittierten oder übermäßig vertrauten Tool-Kette löscht eine Produktionsdatenbank, während er scheinbar eine routinemäßige Operation ausführt.
Bösartiges Paket (LiteLLM-PyPI-Klasse)
Ein bösartiges Paket, das in einer öffentlichen Registry veröffentlicht wird, wird vor seiner Entfernung in wenigen Stunden zehntausendfach heruntergeladen, wobei jede Installation eine mit einer Backdoor versehene Abhängigkeit in die Agenten sät, die es beziehen.
Manipulierter MCP-Server
Ein manipulierter MCP-Server, der als praktische Integration verbreitet wird, bewirbt eine harmlose Fähigkeit, während seine Implementierung sämtliche Zugangsdaten exfiltriert, die der sich verbindende Agent besitzt.
Dokumentierte Vorfälle
Öffentlich bekannte Fälle, jeder anhand seiner Primärquelle geprüft. Eine Forschungsdemonstration zeigt, dass der Angriff gegen reale Systeme funktioniert; sie ist kein gemeldeter Einbruch.
Release der Erweiterung Amazon Q Developer (CVE-2025-8217)
Ein GitHub-Token mit zu weit gefassten Rechten im Build-Setup der VS-Code-Erweiterung Amazon Q Developer ließ einen Angreifer Code committen, der automatisch in einem Release ausgeliefert wurde. Der eingeschleuste Code sollte die Q Developer CLI aufrufen, lief aber wegen eines Syntaxfehlers nicht.
AWS Security Bulletin AWS-2025-015Bösartiges Paket postmark-mcp
Ein Paket, das sich als MCP-Server von Postmark ausgab, baute über fünfzehn saubere Versionen Vertrauen auf. In Version 1.0.16 kam dann eine Hintertür hinzu, die heimlich jede damit versendete E-Mail in Kopie an eine externe Adresse schickte — so gab jeder Agent, der das Paket nutzte, E-Mails preis.
Postmark, “Information Regarding Malicious ‘postmark-mcp’ Package”Hintertür in den LiteLLM-Releases 1.82.7 und 1.82.8 auf PyPI
Ein Angreifer veröffentlichte zwei bösartige Releases des weit verbreiteten Pakets LiteLLM auf PyPI, nachdem er über den Sicherheits-Scanner in der CI des Projekts an die Veröffentlichungs-Zugangsdaten eines Maintainers gekommen war. Die Releases enthielten einen Dieb für Zugangsdaten: Er suchte nach Umgebungsvariablen, SSH-Schlüsseln, Cloud-Zugangsdaten und Kubernetes-Tokens und schickte sie an einen fremden Server. Sie standen rund 40 Minuten online, bevor PyPI sie sperrte — jede Umgebung, die in dieser Zeit installierte, übernahm die Hintertür.
LiteLLM, “Security Update: Suspected Supply Chain Incident”Abwehrmaßnahmen
- Artefakte signieren und eine Stückliste führen
- Modelle, Tools und Agent-Komponenten digital signieren, eine verifizierbare SBOM / AIBOM / Agent SBOM pflegen und Hashes sowie Herkunft von allem, was aus einem Repository bezogen wird, vor dem Laden verifizieren.
- Beschränken und prüfen, woraus sich ein Agent zusammensetzt
- Tools und MCP-Server nur aus einer attestierten Tool Registry installieren, die Installation nicht vertrauenswürdiger Tools einschränken und auf Prompt-Templates und Konfiguration Versionskontrolle mit Peer-Review anwenden, statt sie blind aus einer entfernten Quelle zu laden.
- Jede Komponente isolieren
- Agenten und die von ihnen geladenen Komponenten gemäß Sandbox Execution in gesandboxten, isolierten Umgebungen ausführen, sodass eine kompromittierte Komponente weder den Host noch das weitere Netzwerk erreichen kann.
- Auf Drift überwachen und die Lieferkette per Red-Teaming prüfen
- Kontinuierlich auf Verhaltens-Drift oder bösartige Veränderungen entlang der Lieferkette überwachen und den Agenten mit simulierten Supply-Chain-Angriffen per Red-Teaming prüfen, um die Abwehrmaßnahmen zu validieren, bevor es ein Angreifer tut.