Studie warnt: Drittanbieter-Konnektoren erweitern Sicherheitsrisiken für KI-Agenten

Integrationen, die KI-Assistenten den Zugriff auf Dienste wie Gmail, Slack, Dropbox oder Zoom ermöglichen, können die mit agentenbasierten Systemen verbundenen Sicherheitsrisiken erheblich erhöhen, so eine Analyse des KI-Sicherheitsunternehmens PromptArmor.

Die Sorge konzentriert sich auf die Kombination aus privaten Informationen, nicht vertrauenswürdigen Inhalten und der Möglichkeit zur externen Kommunikation – ein Muster, das manchmal als „tödliches Dreigespann“ bezeichnet wird. Konnektoren können einem Agenten Zugriff auf alle drei Elemente geben und zugleich zusätzliche Tools, Berechtigungen und Dienstanbieter einführen, die Unternehmen möglicherweise nicht bewertet haben.

Funktionen änderten sich rapide

PromptArmor untersuchte die von OpenAIs ChatGPT und Anthropics Claude verwendeten Konnektoren. Demnach änderten sich während eines sechswöchigen Zeitraums von Mitte Mai bis Ende Juni 931 von 2.517 Konnektoren, also 37 Prozent. Diese Änderungen umfassten 1.686 neu hinzugefügte Tools und 1.127 überarbeitete Toolbeschreibungen.

Solche Aktualisierungen können verändern, was ein Agent tun kann, und beeinflussen, wann ein Modell ein Tool aufruft. Der Bericht nennt Dropbox als Beispiel: Der Konnektor wuchs während der Untersuchung von acht auf 24 Tools. Die Zahl der schreibfähigen Tools stieg von drei auf zehn, während die potenziell destruktiven Tools von null auf vier zunahmen. Auch Berechtigungsbereiche und an das Modell gerichtete Anweisungen änderten sich.

Konnektoren können andere KI-Dienste aufrufen

Die Analyse ergab außerdem, dass Konnektoren Informationen an zusätzliche KI-Anbieter weitergeben können. PromptArmor untersuchte 7.517 Tools in 487 Claude-Konnektoren und schätzte, dass 189 Konnektoren – etwa zwei von fünf – wahrscheinlich externe KI-Dienste kontaktieren.

Beispielsweise könnte eine über einen Zoom-Konnektor gesendete Anfrage zur Suche nach Besprechungen von den KI-Systemen und Unterauftragsverarbeitern von Zoom verarbeitet werden. Das bedeutet, dass ein Unternehmen, das Claude oder einen Konnektor genehmigt, möglicherweise nicht erkennt, dass Daten unter separaten Richtlinien und Vertragsbedingungen an andere Modelle, Anbieter oder in andere Rechtsräume übertragen werden.

In der Dokumentation von Anthropic wird darauf hingewiesen, dass verbundene Dienste Informationen auf ihrer eigenen Infrastruktur verarbeiten. Kontrollen darüber, wo Claude selbst Inferenzprozesse durchführt, schränken diese Drittanbieterdienste nicht zwangsläufig ein.

Sicherheitsteams können ihre Gefährdung reduzieren, indem sie die Tools und Berechtigungen von Konnektoren erfassen, Änderungen überwachen, nachgelagerte Auftragsverarbeiter überprüfen und den Zugriff auf sensible Daten sowie Aktionen mit weitreichenden Auswirkungen begrenzen. Die Ergebnisse unterstreichen zudem, dass Konnektoren als sich weiterentwickelnde Softwareabhängigkeiten und nicht als unveränderliche Funktionen behandelt werden sollten.