CrowdStrike: Sicherheitsklassifikatoren für LLMs lassen sich durch aufgeteilte Anfragen umgehen

Was CrowdStrike getestet hat

Führende KI-Modelle setzen üblicherweise Sicherheitsklassifikatoren ein. CrowdStrike beschreibt sie als zweite KI-Modelle, die zwischen Nutzer und Frontier-Modell geschaltet sind und jede Anfrage in Echtzeit bewerten. Wird eine Anfrage als schädlich eingestuft, blockiert der Klassifikator sie, bevor das Modell antworten kann.

Das Cyber Superintelligence Lab untersuchte in einem Beitrag von Donato Onofri und Paul Urian, veröffentlicht am 6. Oktober 2026, den nach eigener Aussage fortschrittlichsten öffentlich eingesetzten Klassifikator für Inhaltssicherheit. Er schützt Modelle wie Claude Opus 5.5 und Fable 5, die der Beitrag als Frontier Model A bezeichnet.

CrowdStrike stellte fest, dass der Klassifikator gegenüber direkten Angriffen äußerst robust ist. Getestet wurden rund 515 verschiedene Umgehungstechniken, darunter Kodierungen, psychologische Manipulation und mehrstufige Eskalation. Klassifikatoren wie jene auf AI Safety Level 3 bewerten jede Anfrage unabhängig, und genau darin liegt laut CrowdStrike die strukturelle Schwachstelle.

So funktioniert die Umgehung

Die Schwäche besteht laut CrowdStrike darin, dass sich eine schädliche Anfrage in harmlose Teilaufgaben zerlegen lässt. Jedes Teilstück wirkt für sich genommen unbedenklich, weshalb ein Klassifikator, der jede Anfrage einzeln prüft, keinen Anlass zum Blockieren hat. CrowdStrike zufolge wurde diese Technik unabhängig entdeckt und in 9 von 10 Kategorien der Offensive Security validiert.

Das Unternehmen gibt an, seine Arbeit bilde die Grenzfläche des Klassifikators über rund 515 Technikklassen hinweg ab. Zudem identifiziert es konkrete Strategien zur harmlosen Umdeutung, nämlich Game Modding, Detection Engineering und legitime Software. Die Forscher erklären, sie hätten die gesamte Pipeline in 9 von 10 MITRE-ATT&CK-Kategorien mit funktionsfähigem Proof-of-Concept-Code demonstriert.

Parallele Arbeit von Microsoft Research

CrowdStrike legte zudem eine Offenlegung zu einer parallelen Entdeckung vor. Im September 2026 veröffentlichte Microsoft Research ein Paper mit dem Titel "Capability Laundering". Es beschreibt einen Angriff, bei dem ein nicht ausgerichtetes lokales Modell schädliche Aufgaben in harmlose Teilanfragen aufspaltet, diese an ausgerichtete Frontier-Modelle schickt und die Ergebnisse anschließend wieder zusammensetzt. Microsofts im CrowdStrike-Beitrag zitierte Erkenntnis lautet, dass "Filterung pro Austausch strukturell unzureichend" sei.

CrowdStrike erklärt, seine Forschung sei im selben Zeitraum unabhängig durchgeführt worden, und man veröffentliche sie, um den parallelen Charakter der Entdeckung zu belegen. Das Unternehmen beschreibt den Unterschied im Schwerpunkt: Microsoft konzentriere sich auf CBRN-Uplift und Bewertungen auf Benchmark-Ebene, während CrowdStrike Tiefe im Bereich Offensive Security biete. Die gleichzeitige Entdeckung durch zwei unabhängige Teams zeige, so das Unternehmen, dass es sich um eine strukturelle Schwachstellenklasse und nicht um einen Einzelfall handelt.

Was das bedeutet

CrowdStrike versteht die Arbeit als defensive Aufklärung. Da KI-gestützte Angreifer Frontier-Modelle zunehmend für offensive Operationen nutzen, werde es entscheidend, die Grenzen von Sicherheitssystemen zu verstehen. Dem Beitrag zufolge haben erhebliche Investitionen und Expertise im Bereich Sicherheitsmodelle diese Klassifikatoren wirksam gemacht, doch die Vorhersage, wie Angreifer sie umgehen, sei ein Sicherheitsproblem, das andere Fachkenntnisse erfordere.

Der vorliegende Text des Beitrags bricht ab, bevor Gegenmaßnahmen beschrieben werden, weshalb dieser Artikel keine Empfehlungen zur Abwehr behandelt. Die zentrale These lautet, dass es möglicherweise nicht ausreicht, Anfragen einzeln zu prüfen, wenn ein Angreifer eine schädliche Aufgabe auf viele harmlos wirkende verteilen kann.