LLMs in Security Logs: Ein unterschätztes Risiko
Security Operations Centers setzen zunehmend Large Language Models für die Analyse von Netzwerk-Logs ein – zur Zusammenfassung, Alert-Triage und Threat Investigation. Das klingt praktisch, verbirgt aber eine kritische Schwachstelle: Angreifer können Prompt-Injection-Payloads direkt in den Log-Feldern verstecken.
Forscher der arXiv-Community haben dies systematisch untersucht und nennen das Phänomen "Passive Prompt Injection". Der Unterschied zu klassischen Prompt-Injection-Angriffen: Die Payloads sitzen nicht in der direkten Benutzereingabe, sondern in persistenten Daten – den Logs selbst. Sie warten, bis ein Analyst das LLM abfragt.
LogInject: Ein Benchmark für die Realität
Das Forscherteam entwickelte LogInject-1.0, einen Benchmark mit 12.847 Log-Einträgen, davon 2.569 adversarische Samples. Getestet wurden drei produktive LLMs gegen vier Angriffsziele:
- Activity Concealment: Verdächtige Aktivitäten verstecken
- False Positive Generation: Falsche Alarme erzeugen
- Information Exfiltration: Daten abziehen
- Output Hijacking: Ausgabe kontrollieren
Das Ergebnis schockiert: Eine durchschnittliche Erfolgsquote von 83,4%, in einzelnen Fällen bis 88,2%. Die Modelle konnten nicht zuverlässig zwischen echten Logs und eingebetteten Anweisungen unterscheiden.
Context Stitching: Eine raffinierte Variante
Besonders bemerkenswert ist die neue Technik "Context Stitching". Hier fragmentieren Angreifer die Payload über mehrere Log-Einträge. Zustandslose Filter übersehen diese Schnipsel, doch das LLM fügt sie beim Long-Context Reasoning wieder zusammen – mit 76,4% Erfolgsquote.
Defense in Depth: Notwendige Gegenmassnahmen
Gute Nachricht: Die Forschung zeigt auch Lösungsansätze. Eine Kombination aus Input Filtering, Prompt Hardening und Output Validation reduziert erfolgreiche Angriffe um 90,4%. Allerdings bleibt eine Restanfälligkeit von 8,4%.
Das ist das zentrale Problem: Bei dieser Architektur konkurrieren untrusted Daten (Logs) und trusted Instructions (Prompts) um die Aufmerksamkeit des Modells – völlig ununterscheidbar. Es ist eine Variante des klassischen "Confused Deputy"-Problems der IT-Sicherheit.
Fazit für die Praxis
LLM-basierte Log-Analyse ist praktisch, aber kein Silver Bullet. Organisationen brauchen mehrschichtige Abwehr, kontinuierliches Monitoring und – das ist essentiell – menschliche Oversight bei sicherheitskritischen Entscheidungen. Ein einzelnes Sicherheitsmodell wird nicht ausreichen.