Was gerade im Netz gescannt wird

Lage: Der überwiegende Teil des Traffic besteht aus automatisierten Scans und Probes, wobei das Auslesen von Konfigurationsdateien und das Scannen von Ports dominieren. Es handelt sich primär um Grundrauschen durch globale Scanner, die nach exponierten Diensten und sensiblen Dateien suchen.

Auffälligkeiten: Besonders stark ist die Häufung von Versuchen, Umgebungsvariablen-Dateien wie .env oder Git-Konfigurationen auszulesen. Zudem fallen hohe Volumina bei Telnet- und SMB-Proben auf, was auf breite, automatisierte Netzwerksuchläufe hindeutet.

Einordnung: Dies ist Routine-Grundrauschen. Die hohen Trefferzahlen bei Port-Scans und User-Agent-Prüfungen ohne weitere Payloads deuten auf massenhafte, nicht zielgerichtete Erkundungstools hin. Einzelne Versuche wie Command Injection oder XSS sind statistisch vernachlässigbar und zeigen keine koordinierte Kampagne.

Was das für Betreiber heißt: Stellen Sie sicher, dass keine sensiblen Konfigurationsdateien öffentlich zugänglich sind. Nutzen Sie Web Application Firewalls, um wiederkehrende Scanner-IPs zu blockieren, und überwachen Sie Zugriffe auf administrative Endpunkte.

Aktuell wird Prompt Injection als kritische Schwachstelle in großen Sprachmodellen genutzt, um Sicherheitsrichtlinien zu umgehen und schädliche Aktionen auszulösen [2]. Angreifer setzen dabei Techniken wie FlipAttack ein, um die Modelle zu manipulieren, wobei natürliche Sprache als Angriffsvektor dient, da sie keine speziellen Codesymbole erfordert [4]. Ein neuartiger Malware-Typ, bezeichnet als Promptware, nutzt diese Lücken aus, um KI-gestützte Sicherheitstools zu kompromittieren, was in Labortests zu einer hohen Erfolgsquote führte [1]. Zudem werden KI-Agenten angegriffen, um unbefugte Transaktionen oder andere schädliche Befehle auszuführen [3]. Als Verteidigungsansatz werden Dual-LLM-Architekturen diskutiert, bei denen ein überwachendes Modell die Eingaben prüft, was jedoch neue Angriffsflächen schafft [6].