Sigma-Erkennungsregeln für die Sicherheitsüberwachung von KI-Agenten
Dieses Repository enthält Erkennungsregeln, die dabei helfen, Angriffe oder Manipulationen an einem KI-Agenten zu identifizieren. Betrachten Sie es als eine Bibliothek von „Bedrohungssignaturen“ – jede Regel beschreibt ein Muster, das, wenn es mit den Logdaten eines Agenten abgeglichen wird, darauf hinweist, dass etwas Verdächtiges passieren könnte.
AgentShield ist eine Open-Source-Sicherheitsschicht für KI-Agenten. Sie überwacht das Agentenverhalten in Echtzeit und nutzt diese Sigma-Regeln, um adversarielle Angriffe wie Prompt Injection, Datendiebstahl, Tool-Vergiftung und Privilegieneskalation zu erkennen – bevor sie Schaden anrichten können.
Sigma ist ein offener Standard, der in der Cybersicherheitsbranche zum Schreiben von Erkennungsregeln verwendet wird. Wenn Antivirensignaturen Ihrem Computer sagen „Diese Datei ist bösartig“, dann sagen Sigma-Regeln Ihrer Sicherheitsplattform: „Dieses Aktivitätsmuster in den Logs ist verdächtig.“
Eine Sigma-Regel ist eine kurze YAML-Datei, die besagt: „Wenn du dieses Muster in den Logs siehst, löse einen Alarm aus.“ Eine vereinfachte Regel könnte zum Beispiel so aussehen:
WENN das Log-Ereignis ein user_input ist
UND die Nachricht enthält „ignore previous instructions“
DANN löse einen kritischen Alarm für Prompt Injection aus
Da Sigma ein herstellerneutraler Standard ist, funktionieren diese Regeln mit jeder Sigma-kompatiblen Erkennungs-Engine – nicht nur mit AgentShield. Das bedeutet, dass Sicherheitsteams sie ohne Herstellerbindung in ihre bestehenden Tools integrieren können.
Wenn jemand versucht, die Anweisungen eines Agenten zu überschreiben – entweder direkt (durch Eingabe von „ignore previous instructions“) oder indirekt (durch Verstecken von Anweisungen in Dokumenten, die der Agent liest).
Wenn ein Agent dazu gebracht wird, sensible Daten an einen Angreifer zu senden – über HTTP-Uploads, DNS-Tunneling, versteckte Markdown-Bilder oder steganografische Techniken.
Wenn bösartige Metadaten in MCP-Toolbeschreibungen versteckt werden oder Tools ihr Verhalten ändern, nachdem ihnen vertraut wurde („Rug Pull“-Angriffe).
Wenn ein Agent auf sensible Dateien wie SSH-Schlüssel, API-Tokens, Cloud-Anmeldedaten oder Umgebungsvariablen mit Geheimnissen zugreift.
Wenn ein Agent versucht, mehr Zugriff zu erhalten als beabsichtigt – über sudo, Container-Escapes, Cloud-IAM-Manipulation oder Systemdatei-Manipulation.
Wenn ein Angreifer versucht, langfristigen Zugriff aufrechtzuerhalten – über Cron-Jobs, Shell-Profil-Modifikationen, Launch-Agents oder Vergiftung des Agentengedächtnisses.
Wenn ein Agent dazu gebracht wird, bösartige Skripte herunterzuladen und auszuführen, Reverse Shells zu erstellen oder obfuscierte Befehle auszuführen.
Wenn ein Agent Netzwerk-Scans oder DNS-Enumeration durchführt, um die Zielumgebung zu kartieren.
Wenn ein Agent sicherheitsrelevante Konfigurationsdateien ändert, um die Verteidigung zu schwächen – Auto-Approve-Einstellungen, MCP-Konfigurationen oder KI-Assistenten-Regeldateien.
Wenn Pakete oder Skills aus nicht vertrauenswürdigen Quellen installiert werden – direkte URLs, GitHub-Repos oder Tarball-Archive.
rules/
└── ai_agent/
├── ai_agent_prompt_injection_direct.yml
├── ai_agent_credential_access.yml
├── ai_agent_mcp_tool_poisoning.yml
└── ... (alle Regeln in einem flachen Verzeichnis)
Die Regeln sind nach Produkt (ai_agent) organisiert, entsprechend den Konventionen von SigmaHQ. Die spezifische Bedrohungskategorie für jede Regel wird in den YAML-Metadaten der Regel erfasst (über MITRE ATT&CK-Tags und die logsource-Felder), nicht über die Verzeichnisstruktur. Diese flache Anordnung hält das Repository einfach und vermeidet Mehrdeutigkeiten, wenn eine Regel mehrere Angriffskategorien umfasst.
# Klonen des Regeln-Repositorys
git clone https://github.com/agentshield-ai/sigma-ai.git
# Verwendung mit der AgentShield-Engine
export AGENTSHIELD_AUTH_TOKEN="replace-with-at-least-32-characters"
agentshield serve --rules ./sigma-ai/rules --port 8433
# Regeln validieren
agentshield rules validate --path ./sigma-ai/rules
Diese Regeln folgen dem Standard-Sigma-Format und können mit jedem Sigma-kompatiblen Tool verwendet werden:
# Validieren mit sigma-cli
sigma check rules/
# Konvertieren in andere Formate
sigma convert -t <target> rules/ai_agent/
Nachfolgend finden Sie ein vollständig kommentiertes Beispiel, das die Anatomie einer Sigma-Regel zeigt. Jedes Feld wird in einfacher Sprache erklärt.
title: Direct Prompt Injection Attempt # Menschenlesbarer Name
id: eddcdc94-698c-577f-900d-28b1b5491a80 # Eindeutige Kennung (UUID v5)
related: # Verknüpfungen zu verwandten Regeln
- id: agent-prompt-injection-direct-001 # Vorherige ID, die dies ersetzt
type: obsoletes
status: stable # Reifegrad (siehe unten)
description: | # Beschreibung, was diese Regel erkennt
Detects direct prompt injection attempts in AI agent inputs containing
common jailbreak phrases, system override commands, and policy manipulation
structures. These patterns indicate attempts to compromise agent behaviour
through malicious instructions.
references: # Weiterführende Literatur
- https://owasp.org/www-project-top-10-for-large-language-model-applications/
author: AgentShield # Wer diese Regel geschrieben hat
date: "2026-02-16" # Wann sie ursprünglich geschrieben wurde
modified: "2026-02-24" # Wann sie zuletzt geändert wurde
tags: # MITRE ATT&CK-Zuordnungen
- attack.initial_access
- attack.t1190
logsource: # Welches Logformat erwartet wird
product: ai_agent
category: agent_events
detection: # Die Abgleichlogik
selection_jailbreak_keywords:
event_type: user_input
message|contains:
- 'ignore previous instructions'
- 'developer mode'
condition: selection_jailbreak_keywords
falsepositives: # Bekannte harmlose Auslöser
- Legitimate AI safety research
level: critical # Schweregrad (critical/high/medium/low)
Hier ist, was jeder Abschnitt bedeutet: