Die Integration von Frontier AI – also großskaligen, universell einsetzbaren KI-Systemen wie Large Language Models, multimodalen Foundation Models und agentischen Systemen – in kritische Infrastrukturen stellt etablierte Sicherheitsannahmen infrage. Eine neue Systematisierung von Kenntnissen (Systematization of Knowledge, SoK) des arXiv-Preprint-Servers adressiert genau dieses Problem und bietet einen Rahmen, der über traditionelle Threat-Kategorisierungen hinausgeht.
Das Problem: Systemebenen-Dynamiken statt einzelner Bedrohungen
Bisherige AI-Security-Forschung organisiert Risiken typischerweise nach Angriffstyp, Lifecycle-Phase oder Asset-Klasse. Dieser Ansatz verfehlt jedoch eine kritische Perspektive: Wie entstehen Risiken in einem komplexen, vernetzten System? Wie verbreiten sie sich? Wie werden sie kontrolliert?
Kritische Infrastrukturen – Energieversorgung, Verkehr, Telekommunikation, Wasser – funktionieren nicht isoliert. Sie sind hochgradig interdependent und wurden unter Annahmen designt, die für Frontier AI nicht mehr gelten:
- Begrenzte Fähigkeiten: AI-Systeme zeigen emergente Capabilities, die ihre ursprüngliche Spezifikation übersteigen
- Segmentierte Netzwerke: Foundation Models werden zunehmend verbunden und dezentralisiert
- Komponenten-Transparenz: Große Modelle funktionieren teilweise als Black Boxes
- Menschliches Tempo: Agentic Systems treffen Entscheidungen autonomisch und in Echtzeit
Das Framework: Fünf Dimensionen der Risikodynamik
Die SoK präsentiert einen strukturierten Zugang über fünf ineinandergreifende Dimensionen:
1. Capability Emergence
Frontier AI-Systeme entwickeln Fähigkeiten, die Entwickler nicht explizit programmiert haben. Ein LLM, trainiert auf Textdaten, kann plötzlich Code schreiben oder Sicherheitssysteme analysieren. Für kritische Infrastrukturen bedeutet das: Angreifer können neue Attack Vectors nutzen, die das System nicht vorhersah. Gleichzeitig entstehen auch neue Defense-Möglichkeiten – ein zweischneidiges Schwert, das Organisations-Security-Teams managen müssen.
2. Infiltration Pathways
Daten, Modelle und Supply Chains bieten mehrere Eingangspunkte für Kompromittierung:
- Data Poisoning: Training-Daten könnten manipuliert sein
- Model Supply Chain: Ein gekauftes Modell könnte Backdoors enthalten
- AI Supply Chain: Abhängigkeiten von Third-Party-Diensten (APIs, Fine-Tuning-Services) schaffen neue Angriffsflächen
Für ein Energieversorgungs-Unternehmen, das ein Foundation Model für Anomalieerkennung einsetzt, könnte eine Kompromittierung dieser Komponente kaaskadenartig wirken.
3. Cross-System Propagation
Kritische Infrastrukturen sind verflochten. Wenn ein AI-System mehrere Infrastrukturen steuert oder Daten zwischen ihnen fließen, kann ein Fehler oder Angriff sich schnell ausbreiten:
- Ein kompromittiertes AI-Modell in einem Verkehrssystem könnte Signalfehler verursachen
- Diese könnten Lieferketten beeinflussen, die auf Verkehr angewiesen sind
- Das könnte wiederum Energiesysteme unter Stress setzen
Traditionale Sicherheitsmodelle trennen diese Systeme; Frontier AI verbindet sie implizit.
4. Degradation of Control Authority
Wer hat die Kontrolle, wenn ein AI-Agent autonom agiert? Diese Frage verschärft sich in kritischen Infrastrukturen dramatisch:
- Technische Control: Kann ein Operator eine laufende AI-Entscheidung unterbrechen?
- Human Authority: Verstehen Betreiber, warum das System etwas tat?
- Institutional Control: Wer trägt Verantwortung bei Fehlfunktion?
Frontier AI degradiert diese Kontrollebenen subtil. Die Systeme funktionieren oft gut – bis sie es nicht tun, und dann ist der Fehler schwer zu diagnostizieren.
5. Strain on Institutional Response Capacity
Wenn etwas schiefgeht, müssen Organisationen schnell reagieren. Frontier AI erhöht den Druck:
- Security Teams benötigen neue Kompetenzen
- Incident Response ist komplexer (AI-Debugging ist schwer)
- Prädiktive Wartung fällt aus, wenn AI-Modelle unerwartet verhalten
Das schafft einen Gegensatz: Je kritischer das System, desto mehr Automatisierung wird verlangt – aber desto weniger können Menschen es verstehen und kontrollieren.
Der Mismatch: Akademie vs. Operations
Die SoK identifiziert einen wichtigen strukturellen Bruch: Akademische Forschung fokussiert auf einzelne Modelle und technische Robustheit. Operationale Security in kritischen Infrastrukturen braucht aber Lifecycle-Assurance und System-Level-Garantien.
Ein Lab kann einen Adversarial Attack demonstrieren; ein Stromnetzbetreiber braucht garantierte Verfügbarkeit über 30 Jahre.
Ausblick: Deployment-Oriented Research
Die SoK schlägt vor, AI-Security-Forschung neu auszurichten:
- Von Model-Centric Robustness zu Lifecycle-Structured Assurance
- Von isolierten Threat-Models zu System-Level Assurance Criteria
- Von akademischen Publishables zu operationalem Mehrwert
Das bedeutet konkret: Sicherheitsforschung muss die interdependenten, langlebigen, hochkomplexen Realitäten kritischer Infrastrukturen ernst nehmen. Ein Modell-Update in der Cloud kann ein Wasserkraftwerk beeinflussen – diese Verkettung muss verstanden und kontrollierbar sein.
Fazit
Frontier AI in kritischen Infrastrukturen ist kein technisches Isolationsproblem mehr. Es ist ein System-Level-Governance-Problem. Die SoK bietet einen analytischen Rahmen, um diese Komplexität strukturiert zu erfassen – ein notwendiger erster Schritt, bevor diese Systeme weitere kritische Infrastrukturen durchdringen.