Edition 11

Das ist bedeutsamer als die Schlagzeile, und die Reaktion ist berechtigt. Jahrzehntelang war die Linie klar: Der Staat greift an, der private Sektor verteidigt. Diese Linie ist in den USA nun gefallen. Geprüfte Unternehmen dürfen Spyware einsetzen und Systeme zerstören, im Auftrag der Regierung, aber mit kommerziellen Händen am Abzug. Ein legitimer Markt für private offensive Cyber-Kapazitäten hat sich gerade geöffnet, und Märkte bleiben nicht klein oder stehen still. Andere Regierungen werden folgen oder sich dazu gezwungen sehen.

Die Probleme sind nicht subtil. Zurechenbarkeit wird unklarer: War das ein Krimineller, ein Staat oder ein Auftragnehmer? Eskalation wird einfacher, und ein Fehler eines privaten Betreibers kann zum diplomatischen Zwischenfall werden. Die handelnden Personen sind exponiert: Ein in der Berichterstattung zitierter Sicherheitsveteran warnt, dass Amerikaner, die solche Operationen durchführen, im Ausland als Kombattanten eingestuft und festgehalten werden könnten, und dass der Vorwurf für eine ausländische Regierung schon nützlich ist, bevor er bewiesen ist. Sicherheitsleistungen und Genehmigungen sind real, beantworten aber nicht, was passiert, wenn das im Schnellverfahren schiefläuft.

Für alle außerhalb der USA ist das ein geopolitisches Risiko, das jetzt zu erfassen ist, nicht später. Vergeltungsmaßnahmen für eine private US-Operation bleiben nicht höflich in den USA, sie treffen die vernetzte Infrastruktur, die alle teilen. Wer ein europäisches Unternehmen führt, hat gerade einen neuen Akteur im Bedrohungsmodell: feindliche Reaktionen auf Angriffe, mit denen man nichts zu tun hatte. Und das ist eine Fortsetzung des Souveränitätsarguments, das ich immer wieder mache: Die Regeln der digitalen Welt werden einseitig neu geschrieben, und man ist nachgelagert von Entscheidungen, bei denen man kein Mitspracherecht hat.

Das ist die erste wirklich ermutigende KI-Sicherheitsgeschichte seit längerer Zeit, daher gilt es, das Positive mit der gebotenen Vorsicht zu verbinden. Der Ansatz ist elegant: Ein autonomer Angreifer, der natürliche Sprache liest und befolgt, kann durch platzierten Text gefangen werden. Ein Mensch ignoriert den versteckten Hinweis im Honeypot. Ein bösartiger KI-Agent schnappt nach dem Köder und enttarnt sich. Zum ersten Mal haben Verteidiger eine Erkennungstechnik, die spezifisch für maschinelle Angreifer entwickelt wurde.

Verwechseln Sie eine clevere Falle jedoch nicht mit einer Strategie. Betrachten Sie das genau wie jede Täuschungsschicht in Defense in Depth: Sie fängt einige Angreifer ab, liefert ein Signal, und versagt in dem Moment, in dem man sich allein auf sie verlässt. Die eigentliche Arbeit darunter hat sich nicht geändert: Behandeln Sie jeden Input, den Ihre Agenten berühren, als nicht vertrauenswürdig, halten Sie vertrauenswürdige Anweisungen und nicht vertrauenswürdige Daten auf getrennten Pfaden, und überwachen Sie, was der Agent tatsächlich tut. Prompt Injection als Falle ist ein nützliches neues Werkzeug. Es ist nicht der Werkzeugkasten.

Lesen Sie die Schlagzeile noch einmal: Trezor gehackt. Lesen Sie die Fakten: Trezor wurde nicht gehackt, ShipMonk wurde es, über Metabase. Und doch schickt Trezor die E-Mails, nimmt Trezor den Reputationsschaden, werden Trezors Kunden gephisht. Das ist der Punkt, den ich immer wieder betonen werde, bis er angekommen ist: Die Datenpanne Ihres Lieferanten ist Ihre Datenpanne. Ihre Kunden wissen nicht und interessiert es nicht, wer ShipMonk ist. Sie wissen, dass sie Trezor ihre Adresse anvertraut haben, und jetzt hat ein Betrüger sie.

Beachten Sie: Die Kette hat drei Glieder, nicht zwei. Trezor, ShipMonk, Metabase. Das ist der Teil, den die meisten Vendor-Risk-Programme übersehen. Sie haben Ihren Lieferanten bewertet. Haben Sie den Lieferanten Ihres Lieferanten bewertet? Unter NIS2 und DORA ist das Management von Lieferkettensicherheitsrisiken kein Häkchen zum Setzen, sondern eine Landkarte, die Sie tatsächlich zeichnen sollen, bis hinunter zum Analysetool drei Unternehmen von Ihnen entfernt, das die Daten Ihrer Kunden hält. Wenn Sie Ihre Viertparteien nicht benennen können, können Sie nicht behaupten, dieses Risiko zu managen.

Betrachten Sie die Vertrauenssiegel hier genau. Nitro ist ein Qualified Trust Service Provider, die einzelne höchste Stufe, die die eIDAS-Verordnung der EU bietet. Das Unternehmen warb mit jährlichen Penetrationstests. Es hielt ISO 27001. Und seine Software ließ jede Webseite die nationale ID auslesen, die PIN abgreifen und Code auf dem Rechner ausführen. Das Urteil der Forscher war unmissverständlich: Es sieht aus wie Security Theater. Das ist mein gesamtes Argument in einer Fallstudie: Das Zertifikat ist nicht die Kontrolle. Ein QTSP-Stempel, ein ISO-Siegel und eine Zeile über Penetrationstests auf einer Vertrauensseite sagten belgischen Bürgern, sie seien sicher. Der Code erzählte eine andere Geschichte, und niemand mit diesen Siegeln hatte tatsächlich hingeschaut.

Jetzt der Teil, der jeden Praktiker wütend machen sollte. Für das Auffinden von Schwachstellen, die das gesamte belgische eID-Ökosystem brachen, nationale ID, Bankanmeldungen, qualifizierte digitale Signaturen, erhielten die Forscher eine Prämie von 200 Dollar. Zweihundert Dollar. Man fragt sich, warum kritische Infrastruktur dauerhaft defekt bleibt, während Verteidiger ausbrennen, und zahlt dann der Person, die still ein nationales Identitätssystem gerettet hat, weniger als die Kosten des Audits, das die Lücken übersah. Die Ökonomie der Verteidigung steht Kopf, und genau so sieht das aus.

Ein seltenes "Hier ist etwas Nützliches" zum Abschluss. Wer sich schon einmal gefragt hat, "wessen Code läuft eigentlich auf unserer Marketing-Website," weiß, dass die Ad-Tech-Lieferkette eine Black Box ist. DecryptAds ist das erste Tool, das ich gesehen habe, das sie mit den eigenen Dateien der Branche aufbricht. Der Befund, dass rund 300 Ad-Tech-Firmen in sanktionierten oder geheimhaltungspflichtigen Gerichtsbarkeiten sitzen, innerhalb der deklarierten Lieferkette gewöhnlicher Websites, sollte die Perspektive verschieben: Ihr Ad-Stack ist eine Drittanbieter-Lieferkette, die Sie nie geprüft haben, mit eingebautem geopolitischen Risiko, und jetzt ist es eine Stückliste, die Sie tatsächlich ziehen können. Einen Nachmittag wert, besonders in der kostenlosen Stufe.