LLM-Scanning ist eine Funktion von „ MetaDefender Aether™“, die vor der Bereitstellung vortrainierte KI-Modelldateien auf versteckte Bedrohungen überprüft. Dabei wird die statische Analyse der Modellstruktur mit der dynamischen Analyse des Verhaltens eines live laufenden Modells kombiniert. So erhalten Sicherheitsteams die Möglichkeit, Modelle von Drittanbietern auf dieselbe Weise zu überprüfen, wie sie jede andere Datei überprüfen würden, die in das Netzwerk gelangt. |
|---|
Wichtigste Erkenntnisse
- MetaDefender „ Adaptive “ von AetherSandbox erkennt Zero-Day-Bedrohungen durch Verhaltensanalyse statt durch Signaturabgleich und speist diese Erkenntnisse in die fünfstufige Pipeline zur Bedrohungsverarbeitung ein.
- AMTSO hat am 4. September 2026 die auf KI ausgerichteten Aktualisierungen seines Bewertungsrahmens „ Sandbox “ sowie neue Richtlinien für die Prüfung von Agentic-Sicherheitsprodukten offiziell genehmigt.
- Im AMTSO-konformen Test von Venak Security aus dem Jahr 2026 erkannte „ Adaptive “ (Sandbox ) 95 % der durch KI generierten Malware-Beispiele – das beste Ergebnis unter den vier getesteten Sandboxen.
- Durch das Scannen von KI-Modellen erweitert „ MetaDefender “ die Pipeline von Aether auf sieben Formate generativer KI-Modelle. Dabei kommen mehr als 30 Bedrohungsindikatoren für die statische Analyse sowie auf die OWASP LLM Top 10 abgestimmte adversarische Eingabeaufforderungen für die dynamische Analyse zum Einsatz.
- Die Ergebnisse werden mit MITRE ATLAS abgeglichen und fließen neben herkömmlichen Dateibedrohungen in die bestehende Bewertungspipeline von „ MetaDefender “ Aether ein.
Verhaltensbasierte Erkennung auf der Grundlage eines KI-Teststandards
MetaDefender Aether™ Adaptive Sandbox dient dazu, Bedrohungen zu erkennen, die noch niemand zuvor gesehen hat. Anstatt Dateien mit bekannten Signaturen abzugleichen, führt es sie in einer emulierten Umgebung aus und beobachtet, was sie tatsächlich tun. Auf diese Weise erkennt es Zero-Day-Malware, die andernfalls an reputationsbasierten Abwehrmechanismen vorbeischlüpfen würde.
MetaDefender Aether ist die Koordinationsschicht rund um diese Engine. Es versorgt die „ Adaptive “Sandbox mit Bedrohungsinformationen, sodass Bewertungen schneller und genauer erfolgen, und fasst die Ergebnisse aller Schichten in einer einheitlichen, fünfschichtigen Pipeline zur Bedrohungsverarbeitung zusammen, die Bedrohungsreputation, prädiktive Analyse, dynamische Detonation, Bedrohungsbewertung und Bedrohungssuche umfasst.
Am 4. September 2026 bestätigte die Anti-Malware Testing Standards Organization (AMTSO), dass sie eine auf KI ausgerichtete Aktualisierung ihres Sandbox Bewertungsrahmenssowie neue Richtlinien für das Testen agentenbasierter Sicherheitsprodukte offiziell genehmigt hatte. Keines der beiden Dokumente ist verbindlich. Beide stellen Aktualisierungen eines freiwilligen Teststandards dar, sind jedoch das bislang deutlichste Signal dafür, dass Sandbox-Tests zunehmend mit den aktuellen Möglichkeiten von KI-Modellen Schritt halten.
Warum die Sicherheit von KI-Modellen plötzlich zum Thema wird
Kritische Infrastruktur steht im Mittelpunkt einer politischen Debatte, die sich derzeit an zwei Fronten rasant entwickelt: zum einen die Verschärfung der US-amerikanischen Regulierungsrahmen für Pionier-KI und zum anderen Chinas paralleler Vorstoß bei Open-Source-LLM-Modellen und Rechenkapazitäten. Keine dieser Entwicklungen bremst den Zustrom vortrainierter LLM-Modelle in Unternehmensumgebungen.
Dieses Volumen – und nicht neue Angriffstechniken – ist das Kernproblem. Die KI hat keine neuen Methoden erfunden, um eine Datei zu kompromittieren. Sie hat jedoch dazu geführt, dass kompromittierte Dateien und kompromittierte LLM-Modelle deutlich häufiger vorkommen und schneller erstellt werden können – genau dieser Druck durch das hohe Volumen hat die „ OPSWAT “-Technologie geprägt Deep CDR™-Technologie Ansatz von xml-ph-0000@deepl.internal im Umgang mit dateibasierten Bedrohungen seit Jahren prägt.
Vor einigen Wochen hat NVIDIA vereinbart, Hugging Face, der wichtigsten Vertriebsplattform für LLM-Modelle mit offenen Gewichten, für 12,93 Milliarden US-Dollar zu übernehmen. Durch die Übernahme wird das branchenweit größte LLM-Modell-Repository unter dem Dach des marktbeherrschenden Rechenanbieters vereint.
Anthropic hat sich mehr als hundert Unternehmen, darunter OpenAI, Google und Microsoft, angeschlossen und einen offenen Brief, in dem eine koordinierte Cyberabwehr gefordert wird angesichts der zunehmenden Zahl von KI-gestützten Angriffen. Der Bedrohungsbericht von Anthropic vom September 2026 dokumentierte, dass Angreifer die KI-Lieferkette sowohl als Ziel als auch als Ressource betrachten, einschließlich speziell entwickelter Operationen zum Abgreifen von KI- API -Schlüsseln und Produktionszugangsdaten.
OpenAI’s Beitrag „Path to Astra“ Beitrag, der am 1. September 2026 veröffentlicht wurde, legte die Messlatte noch höher. Astra ist das erste OpenAI-Modell, das die „kritische“ Cybersicherheitsschwelle gemäß dem Preparedness Frameworkdie „kritische“ Schwelle im Bereich Cybersicherheit überschritten hat und in der Lage ist, Zero-Day-Schwachstellen weitgehend eigenständig zu finden und auszunutzen. Genau diese Fähigkeit soll mit den neuen Richtlinien von AMTSO für agentenbasierte Tests bewertet werden. Die Teststandards versuchen mit aller Kraft, mit dem Schritt zu halten, was modernste LLM-Modelle mittlerweile ohne Überwachung leisten können.
Was das aktualisierte Bewertungsrahmenwerk „ Sandbox “ von AMTSO tatsächlich umfasst
Die Arbeitsgruppe „ Sandbox “ der AMTSO hat das bestehende Bewertungsrahmenwerk „ Sandbox “ um eine Reihe neuer, auf KI ausgerichteter Kriterien erweitert. Damit erhalten Tester eine strukturierte Methode, um zu beurteilen, inwieweit Sandboxen KI-Modelle als Analyseobjekte und nicht nur als Werkzeuge behandeln. Die Aktualisierung durchlief im Laufe des Sommers eine öffentliche Begutachtung, bevor sie Anfang September von den Mitgliedern offiziell genehmigt wurde.
Die Arbeitsgruppe „ Sandbox “ der AMTSO verfolgt nun die Einführung des aktualisierten Rahmenwerks und baut eine Berichtsstruktur auf, damit Tester die Leistung von Sandboxen einheitlich anhand der neuen KI-Kriterien bewerten können. Diese Vorarbeit ist wichtig, da sie den Anbietern einen gemeinsamen Maßstab an die Hand gibt, anstatt sich auf selbst gemachte Angaben zu verlassen.
MetaDefender Die Erfolgsbilanz von Aether im Rahmen des AMTSO-Konzepts
Bevor eine neue Funktion eingeführt wird, ist es hilfreich zu wissen, wie sich die bestehende Funktion bei einer unabhängigen Überprüfung bewährt. In der 2026 AMTSO-konformen Sandbox-Testerkannte „ Adaptive “ von OPSWATSandbox 19 von 20 KI-generierten Malware-Beispielen – eine Erkennungsrate von 95 % und das beste Ergebnis unter den vier getesteten Sandboxen. Venak erstellte die Testbeispiele mit seinem KI-Malware-Simulator, der speziell auf MITRE-ATT&CK-Techniken abgestimmt war, um herkömmliche Erkennungsmethoden zu umgehen.
OPSWAT„ Adaptive “ vonSandbox erzielte in einem kürzlich durchgeführten Test 95 % (19 von 20). Der Test umfasste zwanzig Proben aus fünf Bedrohungskategorien, die mit dem KI-Malware-Simulator von Venak erstellt und den MITRE ATT&CK-Techniken zugeordnet wurden.
Statische und dynamische Analyse für vortrainierte LLM-Modelle
Das Scannen von KI-Modellen ist eine Funktion, die die mehrstufige Pipeline von „ MetaDefender “ Aether auf vortrainierte KI-Modelle ausweitet. Zwei unterschiedliche Analysearten spiegeln den Ansatz wider, der auch bei herkömmlicher Malware zum Einsatz kommt und sowohl statische als auch verhaltensbasierte Aspekte berücksichtigt.
Die statische Analyse wertet LLM-Modelldateien in sieben Formaten aus – Pickle, PyTorch, TensorFlow, Keras, SafeTensors, GGUF und ONNX –, ohne diese auszuführen. Dabei werden mehr als 30 spezielle Bedrohungsindikatoren verwendet, um eingebettete Payloads, gefährliche Importe und Hintertüren zu erkennen, die für die Serialisierungsmethode des jeweiligen Formats spezifisch sind.
Die dynamische Analyse verfolgt den umgekehrten Ansatz: Sie untersucht einen aktiven LLM-Modell-Endpunkt mit adversarischen Eingabeaufforderungen, die den OWASP Top 10 für LLM-Anwendungen, und bewertet die tatsächlichen Antworten des LLM-Modells hinsichtlich Prompt-Injection, Offenlegung sensibler Daten und damit verbundener Laufzeitrisiken. Die Ergebnisse beider Phasen werden MITRE ATLAS, der Wissensdatenbank für adversariales maschinelles Lernen, zugeordnet und fließen zusammen mit herkömmlichen Bedrohungsbefunden in die bestehende einheitliche Bewertungspipeline von Aether unter MetaDefender ein.
Wie schnell die Bedrohungen durch KI-Modelle zunehmen
Im Mai 2026 tauchte ein gefälschtes Repository auf, das sich als OpenAI-Veröffentlichung ausgab: Open-OSS/privacy-filter, innerhalb von 18 Stunden an die Spitze der Trendliste auf Hugging Face und verzeichnete mehr als 244.000 Downloads, bevor es entfernt wurde. Das Repository enthielt ein Loader-Skript, das auf Windows-Rechnern, auf denen es ausgeführt wurde, unbemerkt einen Infostealer installierte.
Im Juli 2026 gab OpenAI gab bekannt , dass seine eigenen LLM-Modelle bei internen Cybersicherheitsbewertungen Schwachstellen in der gemeinsam genutzten Forschungsinfrastruktur ausgenutzt und Teile der Hugging-Face-Plattform kompromittiert hatten, was deutlich macht, dass die Lieferkette für LLM-Modelle mittlerweile ein aktives Ziel für raffinierte Akteure ist – nicht nur für opportunistische.
Was die Sicherheit von KI-Modellen für fünf Branchen bedeutet
Finanzwesen
LLM-Modelle zur Betrugserkennung und Risikoprüfung greifen zunehmend direkt auf Transaktionsdaten zu, wobei die Aufsichtsbehörden dokumentierte Kontrollmaßnahmen erwarten. Ein manipuliertes LLM-Modell in diesem Prozess führt gleichzeitig zu einem Sicherheitsvorfall und einem Prüfungsbefund.
Energie und Versorgungswirtschaft
KI hält Einzug in die Bereiche Prognose und Netzmanagement – Bereiche, in denen IT- und OT-Systeme bereits miteinander verschmelzen. Ein LLM-Modell mit verborgenem oder auslösbarem Verhalten birgt hier die Gefahr physischer Störungen und nicht nur die eines Datenlecks.
Behörden im Bereich Regierung und Verteidigung
stehen bei der Sicherung der Lieferkette vor den höchsten Anforderungen, oft in isolierten oder geheimen Umgebungen. Ein kompromittiertes LLM-Modell hat Folgen für die nationale Sicherheit, die weit über einen typischen Datenverlust hinausgehen.
in der Fertigung: LLM-Modelle für die Qualitätskontrolle und vorausschauende Instandhaltung werden häufig aus öffentlichen Repositories bezogen, um schnell voranzukommen. Ein kompromittiertes LLM-Modell, das in die Produktionslinie gelangt, kann sich direkt auf die Verfügbarkeit und die Produktqualität auswirken.
Gesundheitswesen
Diagnostik, Unterstützung und Dokumentation: LLM-Modelle verarbeiten sensible Patientendaten unter Einhaltung der geltenden Datenschutzbestimmungen. Ein LLM-Modell, das durch die Einfügung von Prompts Informationen preisgibt, führt zu einer direkten Gefährdung der Privatsphäre der Patienten – und nicht nur zu einer hypothetischen.
Die Zukunft der Teststandards für KI-Modelle
Die Arbeitsgruppe „ Sandbox “ der AMTSO beobachtet derzeit, inwieweit die aktualisierten Rahmenbedingungen von den Anbietern von Sandbox-Lösungen übernommen werden, und entwickelt eine Berichtsstruktur, die es Unternehmen ermöglicht, die Leistung von KI-Tests auf dieselbe Weise zu vergleichen, wie sie bereits herkömmliche Erkennungsraten vergleichen. Für „ MetaDefender Aether“ ist das Scannen von KI-Modellen die erste Funktion, die von Anfang an nach diesem sich entwickelnden Standard entwickelt und validiert wurde.
Lesen Sie die vollständige technische Beschreibung des Scannens von KI-Modellen im Beitrag zur Version v3.3.0.
