Eine als GrafanaGhost bezeichnete Schwachstelle ermöglicht es Angreifern, sensible Daten unbemerkt aus Grafana-Umgebungen abzuziehen – ohne Interaktion mit dem Nutzer oder herkömmliche Techniken zur Kompromittierung.
Die von Forschern bei Noma Security entdeckte Schwachstelle zeigt, wie KI-gestützte Funktionen neue, schwer erkennbare Angriffswege in weit verbreiteten Plattformen eröffnen können.
„Bei ForcedLeak, GeminiJack, DockerDash und nun GrafanaGhost beobachten wir immer wieder dieselbe grundlegende Lücke: KI-Funktionen werden nachträglich in Plattformen integriert, die nie für KI-spezifische Bedrohungsmodelle entwickelt wurden“, erklärten die Forscher in einer E-Mail an eSecurityPlanet.
Sie fügten hinzu: „Dies wurde nicht als aktiver Exploit in freier Wildbahn beobachtet.“
„Behandeln Sie KI-Assistenten und -Agenten als eine neue, vollwertige Angriffsfläche. Das Bedrohungsmodell muss indirekte Prompt-Injection, Tool-Aufrufe, Abrufverhalten und die Datenübertragung zwischen Systemen ausdrücklich abdecken – nicht nur Jailbreaks von Modellen oder klassische Web-Schwachstellen“, sagte Gidi Cohen, CEO und Mitgründer von Bonfy AI, in einer E-Mail an eSecurityPlanet.
Die Angriffskette von GrafanaGhost
Der GrafanaGhost-Exploit beruht nicht auf einer einzelnen, isolierten Schwachstelle. Stattdessen gelingt der Angriff, indem mehrere Schwächen in Grafanas KI-gestützten Funktionen miteinander verkettet werden.
Der Angriff beginnt damit, eine Stelle in der Anwendung zu identifizieren, an der nutzergesteuerte Eingaben eingeschleust und später von Grafanas KI-Komponenten verarbeitet werden können.
Dabei werden häufig Daten über Elemente wie manipulierte URL-Pfade, Dashboard-Eingaben oder andere Felder eingeschleust, die gespeichert und anschließend vom System interpretiert werden.
Da die KI diese Eingaben später verarbeitet, werden sie zu einem Einfallstor für Prompt-Injection.
Indirekte Prompt-Injection und das Umgehen von Schutzmechanismen
Sobald diese Einschleusestelle eingerichtet ist, nutzen Angreifer Techniken der indirekten Prompt-Injection, um zu manipulieren, wie die KI Anweisungen interpretiert.
Anstatt offen bösartige Befehle zu verwenden, formulieren sie subtile Texte, die das Verhalten des Modells beeinflussen sollen.
So kann etwa die Verwendung bestimmter Triggerbegriffe wie INTENT verändern, wie die KI Anweisungen klassifiziert und priorisiert.
Dies kann dazu führen, dass integrierte Schutzmechanismen umgangen werden, die normalerweise unsichere oder nicht autorisierte Aktionen beschränken würden, sodass das System bösartige Anweisungen als legitime Betriebslogik behandelt.
Umgehen der Validierung durch protokollrelative URLs
Die letzte Phase des Exploits beruht auf einer subtilen, aber kritischen Schwachstelle in Grafanas clientseitigen Validierungsmechanismen.
Grafana versucht, das Laden nicht autorisierter externer Ressourcen – etwa von Bildern – durch Validierungsprüfungen zu verhindern.
Die Forscher stellten jedoch fest, dass protokollrelative URLs (z. B. //malicious-site.com) diese Schutzmaßnahmen umgehen können.
Da diese URLs mit einem Schrägstrich beginnen, scheinen sie bei der Validierung den erwarteten internen Pfadformaten zu entsprechen. Bei der Verarbeitung durch den Browser oder das zugrunde liegende System werden sie jedoch letztlich zu externen Domains aufgelöst.
Mechanismus der lautlosen Datenexfiltration
Sobald alle Komponenten vorhanden sind, versucht die KI – nun unter dem Einfluss manipulierter Anweisungen –, eine externe Ressource wie etwa ein Bild abzurufen.
Während dieser Anfrage können sensible Daten in den URL-Parametern codiert werden.
Wird die Anfrage an einen vom Angreifer kontrollierten Server gesendet, werden die Informationen unbemerkt exfiltriert – ohne Interaktion mit dem Nutzer oder sofortige Entdeckung.
So lässt sich das GrafanaGhost-Risiko eindämmen
Um das Risiko des GrafanaGhost-Exploits zu verringern, sollten Unternehmen mehrschichtige Sicherheitskontrollen einsetzen, die sowohl herkömmliche als auch KI-bezogene Angriffswege abdecken.
Da der Angriff Schwachstellen bei der Verarbeitung von Eingaben, der KI-Verarbeitung und der ausgehenden Kommunikation ausnutzt, sollten Schutzmaßnahmen in all diesen Bereichen umgesetzt werden.
- Strikte serverseitige Validierung durchsetzen und alle Eingaben bereinigen, insbesondere solche, die von KI-Komponenten verarbeitet werden, um Prompt-Injection zu verhindern.
- Ausgehenden Netzwerkverkehr beschränken und eine Positivliste für Domains anwenden , um nicht autorisierte externe Anfragen und Wege zur Datenexfiltration einzuschränken.
- Starke Zugriffskontrollen nach dem Prinzip der geringsten Rechte implementieren und die Datenpreisgabe innerhalb von Grafana und verbundenen Systemen begrenzen.
- Eine Überwachung und Erkennungskontrollen einrichten, einschließlich der Protokollierung von KI-Prompt-Aktivitäten und der Untersuchung des ausgehenden Datenverkehrs auf anomale oder datenhaltige Anfragen.
- Mehrschichtige Anwendungsschutzmaßnahmen wie WAFs, Content-Security-Policies und Laufzeitschutz einsetzen, um bösartige Eingaben und das Laden externer Ressourcen zu blockieren.
- Nicht benötigte Funktionen wie das Rendern externer Bilder deaktivieren oder einschränken und die KI-Verarbeitung, wo möglich, von sensiblen Datenquellen isolieren.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen und Tools zur Angriffssimulation mit Szenarien rund um Prompt-Injection-Angriffe einsetzen.
Zusammengenommen tragen diese Maßnahmen dazu bei, die allgemeine Widerstandsfähigkeit zu stärken und zugleich die Risiken durch KI-gestützte Angriffe und Datenexfiltration zu verringern.
Wie KI die Bedrohungslandschaft verändert
GrafanaGhost steht exemplarisch für eine neue Klasse von Sicherheitsproblemen, die an der Schnittstelle von KI-Funktionen und herkömmlichem Anwendungsdesign entstehen.
Je mehr KI-gestützte Funktionen Plattformen integrieren, desto stärker zielen Angreifer darauf ab, wie diese Systeme Kontext, Eingaben und Anweisungen interpretieren – und verlagern den Fokus von herkömmlichen Schwachstellen auf Codeebene hin zu Schwächen bei der KI-Verarbeitung und der Logik zur Entscheidungsfindung.
Diese sich wandelnden Risiken veranlassen Unternehmen, Zero-Trust-Lösungeneinzusetzen, um den Zugriff zu kontrollieren und die Angriffsfläche zu begrenzen.