Die autonomen Cyberangriffe, die in den vergangenen Wochen von Agenten auf Basis der KI-Modelle von OpenAI, Anthropic und Meta ausgeführt wurden, haben eindrucksvoll gezeigt, wie wichtig es ist, KI-Agenten insbesondere bei Cybersecurity-Tests richtig zu isolieren. Die Agenten schlicht in virtuelle Maschinen zu verbannen, reicht laut einer Untersuchung von Trail of Bits allerdings nicht aus.
Dreimal aus der VM entkommen
Wie der Trail-of-Bits-Forscher Artem Dinaburg schildert, testete er das Sprachmodell GPT 5.6-Cyber von OpenAI innerhalb einer QEMU/KVM-VM auf seinem Linux-Entwicklungssystem auf Basis von Debian 12, ein Setup, das er normalerweise für Sandboxing verwendet. Der KI gelang es aber dreimal, aus der VM auszubrechen.
Virtuelle Maschinen werden häufig genutzt, um Dinge zu testen, die auf einem produktiv genutzten System Schäden verursachen könnten. Innerhalb einer VM läuft ein separates Betriebssystem, und über Snapshots lässt sich leicht ein früherer Zustand wiederherstellen. Damit bieten VMs einen gewissen Schutz, etwa um potenziell mit Schadcode verseuchte Dateien zu öffnen und zu untersuchen. Virtuelle Maschinen teilen sich aber immer auch Ressourcen mit dem Hostsystem, etwa für die Anzeige des Desktops, die Steuerung mit Maus und Tastatur sowie den Dateiaustausch zwischen den Systemen. Über Sicherheitslücken ist es darüber manchmal möglich, aus einer VM auszubrechen und Code auf dem Host auszuführen.
Bekannte und neue Lücken ausgenutzt
Genau solche Lücken fand GPT 5.6-Cyber bei den Tests von Dinaburg mehrfach. Der Forscher hatte die KI zwar explizit dazu angewiesen, aus der VM auszubrechen, entsprechende Ausbrüche sind aber auch in anderen Situationen denkbar. So könnte ein KI-Agent etwa auf Basis einer ihm auferlegten Aufgabe eigenständig zu dem Schluss gelangen, außerhalb der VM eine Lösung oder nützliche Hinweise zu finden, ähnlich wie beim Angriff von OpenAI auf Hugging Face.
Laut Dinaburg setzte GPT 5.6-Cyber für die VM-Ausbrüche an verschiedenen Sicherheitslücken an. Teilweise waren diese bereits öffentlich bekannt und auf dem Testsystem lediglich noch nicht gepatcht, etwa die KVM-Lücke Januscape sowie eine Lücke in der Networking-Bibliothek libslirp. Im dritten Anlauf soll die KI aber auch drei Zero-Day-Lücken ausfindig gemacht und ausgenutzt haben. Den Angaben zufolge arbeitete der KI-Agent bei den Tests teilweise stundenlang autonom, analysierte Code und Forschungsarbeiten und probierte verschiedene Ansätze, um der virtualisierten Umgebung zu entkommen. Dinaburg unterstützte nur geringfügig, etwa indem er seinen Rechner neu startete, wenn der Agent den Host-Kernel zum Absturz brachte.
KI-Sandboxing als neue Herausforderung
Der Forscher warnt vor diesem Hintergrund, dass eine reguläre VM heute nicht mehr ausreiche, um KI-Agenten zu isolieren. Die Angriffsfläche sei "einfach zu groß" und werde durch scheinbar harmlose Funktionen zusätzlich vergrößert. "Wir müssen die Qualität von Sandboxing-Lösungen für leistungsfähige KI-Agenten neu bewerten, und ganz allgemein den Software-Stack, mit dem sie interagieren", so Dinaburg. Er empfiehlt, einer KI erteilte Berechtigungen immer auf das für die Aufgabe zwingend erforderliche Minimum zu beschränken und eingesetzte Software möglichst zügig zu patchen. "Ich mag ältere, stabile Software, aber der Zyklus des Backportings von Patches ist einfach zu lang", erklärt der Forscher.
Zudem rät Dinaburg, für die Virtualisierung auf minimalistische Lösungen mit geringerer Angriffsfläche umzusteigen, etwa das von AWS entwickelte Firecracker. Auch damit führte er Tests durch, jedoch konnte GPT 5.6-Cyber dabei offenbar lediglich das Hostsystem zum Absturz bringen, nicht aber aus seiner VM ausbrechen. "Mit noch mehr Zeit wäre ihm das vielleicht gelungen, aber Firecracker ist offensichtlich ein wesentlich schwierigeres Ziel", so der Forscher.