Das Problem: Authority Confusion in AI-Agenten
Language Agents, die externe Tools nutzen, stellen eine neue Sicherheitsherausforderung dar. Im Gegensatz zu klassischen Jailbreaks sind die kritischen Angriffsvektoren nicht offensichtlich verbotene Outputs, sondern legitim aussehende Aktionen – Dateien lesen, APIs aufrufen, Skripte ausführen – die durch kontaminierte Eingaben missbraucht werden.
Das Kernproblem: Ein Agent könnte eine Dateileseoperation autorisieren, die aus einer vertrauenswürdigen Quelle stammt. Ein Angreifer steuert aber die Kontexte, die diese Entscheidung beeinflussen – und leitet die autorisierte Aktion gegen die Benutzerinteressen um. Dies nennt sich Authority Confusion.
Der AIRGuard-Ansatz
AIRGuard implementiert das Prinzip der Least Privilege zur Laufzeit, indem es auf mehreren Ebenen angreift:
1. Tool-Call-Normalisierung: Heterogene Tool-Interfaces (APIs, File-Operationen, MCP-Tools) werden standardisiert, um einheitliche Sicherheitsrichtlinien anwenden zu können.
2. Task-zu-Action-Autorität-Zerlegung: Die vom Nutzer erteilte Aufgabenberechtigung wird granular in Step-Level-Autoritäten aufgebrochen. Eine Berechtigung zum "Datenverarbeiten" bedeutet nicht automatisch "alle Dateien lesen dürfen".
3. Trust-Tracking: Das System überwacht Quelle und Ziel jeder Aktion – unterscheidet zwischen vertrauenswürdigen und unvertrauenswürdigen Ressourcen.
4. Sensitive Side-Effect-Simulation: Kritische Operationen werden simuliert, bevor sie ausgeführt werden, um Risiken zu erkennen.
5. Cross-Step-Risikoaudit: AIRGuard analysiert, wie Aktionen über mehrere Schritte hinweg zusammenspielten und ob Zwischenergebnisse die Systemintegrität gefährden.
Messergebnisse
In Tests zeigt AIRGuard signifikante Verbesserungen:
- AgentTrap-Benchmark: Attackenerfolgsrate sinkt von 36,3% (ungeschützt) auf 5,5%
- DTAP-150-Benchmark: Bewahrt 76% normaler Funktionalität, während konkurrierende Systeme (ARGUS: 52%, MELON: 42%) massiv an Nutzbarkeit einbüßen
Ein wichtiges Ergebnis der Ablationsstudie: Prompt-basierte Sicherheitsrichtlinien allein helfen nur begrenzt. Die dedicated Runtime-Authority-Control-Schicht ermöglicht echte Kontrolle über Tool-vermittelte Seiteneffekte.
Praktische Implikation
AIRGuard zeigt, dass Agent-Sicherheit nicht nur auf der Modellebene gelöst werden kann. Ein separater, spezialisierter Guard-Layer mit expliziter Autorität-Management ist erforderlich, um die Kluft zwischen Anwendungsintention und tatsächlichen Ausführungen zu schließen.