Datenexfiltration bezeichnet bei KI-Agenten das Herausschaffen vertraulicher Daten aus einem System über den Agenten. Der Agent hat Zugang zu den Daten und zugleich einen Weg nach außen, und beides zusammen genügt: Eine untergeschobene Anweisung verbindet die zwei Enden.
- Datenexfiltration (KI-Agenten)
Das Herausschaffen vertraulicher Daten aus einem System über einen KI-Agenten.
Beispiel: „Die Datenexfiltration lief über eine Bildadresse, in deren Pfad der Inhalt der Umgebungsdatei stand.“Der klassische Weg ist ein Abruf nach außen: ein Bild, ein Link, eine Schnittstelle. Die Daten reisen dabei in der Adresse mit, und der Abruf sieht nach einer normalen Anfrage aus.
Weitere Wege: ein Eintrag in einem öffentlichen Ticket, ein Commit in ein offenes Repository, eine E-Mail an eine Adresse aus dem Angreifertext.
Warum der Agent der bequemste Weg ist
Weil er beide Seiten schon hat. Ein Angreifer von außen müsste erst eindringen; ein Agent ist bereits drinnen, liest Inhalte aus unsicheren Quellen und darf nach außen sprechen. Die indirekte Prompt Injection liefert dabei den Auslöser, und der Agent erledigt den Rest mit seinen eigenen Rechten.
Wie man die Wege schließt
Mit einer Liste erlaubter Ziele statt einer Liste verbotener. Ein Agent, der nur bestimmte Adressen erreichen darf, kann Daten nirgends sonst hinschicken, und das wirkt unabhängig davon, welchen Text er gelesen hat. Dazu kommt die Trennung der Aufgaben: Wer fremde Inhalte liest, verliert im selben Lauf den Weg nach außen.
Was in der Praxis auffällt
Nichts, solange niemand hinsieht. Ein abgeflossenes Geheimnis hinterlässt im Betrieb keinen Fehler, und die Spur steht allein im Protokoll der Werkzeugaufrufe, siehe Audit Trail. Wer Agenten mit Zugriff auf Kundendaten betreibt, braucht dieses Protokoll, bevor etwas passiert, und nicht danach.
Was zuerst zu schützen ist
Die Zugangsdaten. Ein abgeflossener Schlüssel wiegt schwerer als ein abgeflossenes Dokument, weil er weitere Zugriffe erlaubt. Deshalb gehören Schlüssel nicht in Dateien, die ein Agent lesen kann, sondern in einen Dienst, der sie beim Aufruf einsetzt und niemals im Klartext in den Kontext des Modells gibt.