Moderne AI-Systeme setzen sich aus zahlreichen Software-Komponenten zusammen – von Framework-Bibliotheken über Modell-Gewichte bis hin zu Runtime-Umgebungen. Diese heterogene Architektur, auch als AI-Harness bekannt, schafft neue Sicherheitsherausforderungen, die bisher wenig Aufmerksamkeit erhalten haben.
Das Vertrauensproblem
Das zentrale Risiko liegt in den fehlenden oder schwach ausgeprägten Vertrauensbeziehungen zwischen den einzelnen Komponenten. Während traditionelle Software-Stacks klare Schnittstellen und Sicherheitsgrenzen haben, interagieren AI-System-Komponenten oft ohne explizite Verifikation:
- Model-Komponenten laden externe Gewichte ohne Integritätsprüfung
- Dependencies werden oft von Drittanbietern bereitgestellt, ohne vollständige Audits
- Runtime-Umgebungen vertrauen implizit auf Eingaben vorgelagerter Systeme
Potenzielle Angriffsvektoren
Aus dieser Architektur ergeben sich mehrere Exploit-Möglichkeiten:
Supply-Chain-Attacken: Manipulierte Modell-Dateien oder infizierte Abhängigkeiten können im gesamten System Schaden anrichten, bevor sie erkannt werden.
Poisoning-Angriffe: Böswillige Akteure könnten Trainingsdaten oder Gewichte kompromittieren, um Modelle zu Fehlentscheidungen zu bewegen.
Komponenten-Exploits: Sicherheitslücken in einzelnen Libraries könnten isoliert wirken, aber durch die enge Kopplung das gesamte System gefährden.
Praktische Implikationen
Für Organisationen bedeutet dies, dass die Sicherheit von AI-Systemen nicht nur beim Modelltraining beginnt und endet. Der gesamte Supply-Chain-Prozess – vom Download von Abhängigkeiten über Modell-Repositories bis zur Integration in Produktionsumgebungen – erfordert aktive Sicherheitsmaßnahmen.
Standards wie Software Bill of Materials (SBOM) für AI oder regelmäßige Komponenten-Audits werden zunehmend notwendig. Gleichzeitig fehlen noch branchenweit akzeptierte Best Practices für die sichere Komposition von AI-Harness-Systemen.
Ausblick
Die Sicherheit von AI-Harness-Architekturen wird zu einem kritischen Faktor bei der Industrialisierung von KI-Systemen. Sicherheitsteams müssen ihre Scanning- und Validierungsprozesse entsprechend anpassen – nicht nur auf Code-Ebene, sondern auch auf der Modell- und Abhängigkeits-Ebene.
