OWASP-Top-10-AI-Infrastructure-Security-Risks

Ein praktischer Rahmen zur Identifizierung und Priorisierung der größten Sicherheitsrisiken in der KI-Rechenzentrumsinfrastruktur, der Hardware, Netzwerke, Management-Ebenen und Lieferketten abdeckt, mit Minderungsstrategien für Anbieter und Kunden.

Dieser Rahmen konzentriert sich auf die Sicherheit der KI-Infrastruktur und der Rechenzentren, die sie beherbergen: die physische Hardware, Netzwerk-Fabrics, Verwaltungsebenen, Orchestrierungssysteme, Speichersysteme und Betriebsumgebungen, auf denen KI-Workloads ausgeführt werden.

Er konzentriert sich nicht auf KI-Modelle selbst oder Anwendungsebenen-Risiken wie Prompt Injection, unsicheres Agentenverhalten, Modellmissbrauch oder Bewertung auf Modellebene. Diese Risiken werden durch Rahmenwerke adressiert, die sich auf andere Teile des KI-Stacks konzentrieren, einschließlich der OWASP Top 10 für LLM-Anwendungen, MITRE ATLAS, dem NIST AI Risk Management Framework und ISO/IEC 42001. Zusammen geben diese Ressourcen Praktikern ein vollständigeres Bild der KI-Sicherheit, von Governance- und Anwendungsebenen-Risiken bis hinunter zur zugrunde liegenden Recheninfrastruktur.

Einige Risiken in diesem Dokument existieren auch in traditionellen Rechenzentrums- und Cloud-Umgebungen. Sie sind hier enthalten, weil KI-Infrastruktur sie materiell schwerwiegender macht: gemeinsame hochwertige Rechenressourcen, komplexe Beschleuniger-Cluster, dichte Verwaltungsebenen und Multi-Tenant-Betrieb können gewöhnliche Infrastrukturschwächen in schwerwiegendere Sicherheitsrisiken verwandeln, da die Wahrscheinlichkeit und die Auswirkungen eines Vorfalls viel höher sind als bei traditionellen Unternehmenssoftware- und Servicebereitstellungen.

Für wen dieser Rahmen gedacht ist

Neo-Cloud-Anbieter können von dem Rahmen als praktischem Leitfaden für die KI-Infrastruktur-Bedrohungslandschaft, Angriffsflächenüberprüfung, Umgebungshärtung, Sicherheitspriorisierung und Reifegrad-Demonstration profitieren.

KI-Infrastrukturkunden können von dem Rahmen als praktischem Leitfaden für Beschaffung, Sicherheitsüberprüfungen, vertragliche Anforderungen, Anbietervergleich und die Bewertung der Widerstandsfähigkeit gegen realistische Tenant-zu-Infrastruktur-Kompromittierung profitieren.

Hybrid-Cloud-Sicherheitsteams können von diesem Rahmen als praktischem Leitfaden für die Konfiguration, Wartung und Sicherung ihrer On-Premise-Umgebung gegen moderne Angriffe profitieren, die schnell zwischen Umgebungen wechseln können.

Danksagungen

Entwickelt, um sich mit dem Feld weiterzuentwickeln, und offen gehalten, damit die gesamte KI- und Sicherheitsgemeinschaft es nutzen, herausfordern und verbessern kann.

Wir möchten allen Experten danken und sie anerkennen, die an der Überprüfung und Validierung dieses Dokuments teilgenommen haben.

Haben Sie Feedback oder möchten Sie beitragen? [email protected]

Autoren

• Michael Katchinskiy (Leiter der Sicherheitsforschung @ Lava)
• Yakir Kadkoda (CTO @ Lava)

Gutachter

• Tony Rea (Globaler KI-Infrastruktur-Leiter @ Dell)
• Daniel Iziourov (Direktor für Plattformsicherheit @ Nebius)
• Vjaceslavs Klimovs (Senior Technical Director @ Roblox)
• Assaf Namer (Leiter KI-Sicherheit @ Google)
• Tyson Macaulay (Stellvertretender Direktor @ NC CIPSER)
• Golan Ben-Oni (CIO/CISO @ IDT)
• Florina Ciorba (Außerordentliche Professorin, Leiterin der High-Performance-Computing-Gruppe @ Universität Basel)
• Arthur Reed (Sicherheitsingenieur @ PNNL)
• Deumens Erik (Direktor Research Computing @ Universität von Florida)
• Saad Malik (CTO @ Spectro Cloud)
• Selim Aissi (Ehemaliger Vizepräsident, Globale Informationssicherheit @ Visa & Intel)
• Guy Bilitski (Leiter KI-Betrieb @ SDS AI)
• Dan Farmer (Sicherheitsforscher)
• Michael Bargury (CTO @ Zenity)
• Amir Jerbi (Ehemaliger CTO @ Aqua Security)
• Bill Stout (Ehemaliger Technischer Direktor, KI-Produktsicherheit @ ServiceNow)
• Roey Yaacovi (CTO, DSPM & KI-Sicherheit @ IBM)
• Guy Shanny (Mitbegründer & CEO, Polar Security, übernommen von IBM)
• Ziv Karliner (CTO @ Pillar)
• Assaf Morag (Sicherheitsforscher)
• James Berthoty (Gründer & CEO @ Latio)

Die fünf Domänen der FORGE-Linse

FORGE-Domänen definieren die Bewertungslinse: die Infrastrukturbereiche, in denen KI-Sicherheitsrisiken leben. Die untenstehende Risikomatrix ordnet einzelne Risiken diesen Domänen zu.

Die Top 10 Risiken

FORGE-IDs sind nach Schweregrad geordnet, von höchster zu niedrigster. Die Matrix gruppiert jedes Risiko nach Domäne und zeigt seine Wahrscheinlichkeit, Auswirkung und Erkennungsschwierigkeit.

Jedes Risiko folgt einer konsistenten Struktur: Definition, Beschreibung, Auswirkungen und Fehlermodi, Präventions- und Minderungsstrategien (für Anbieter und für Kunden), Angriffsszenarien und Referenzen.

Einleitung

Die Geschwindigkeit, mit der moderne Rechenzentren und KI-Infrastruktur gebaut werden, übersteigt die Fähigkeit, sie abzusichern, bei weitem. Wenn diese Infrastruktur, GPU-Cluster, Trainingspipelines, Hochleistungsnetzwerke und Inferenz-Endpunkte, kompromittiert wird, ist der Schadensradius anders als bei herkömmlicher Rechenleistung. Angreifer erhalten Zugang zu proprietären Modellen, die Hunderte Millionen Dollar wert sind, die Macht, grundlegende Trainingsdaten zu vergiften, und dauerhafte Fußpunkte in den am höchsten privilegierten Umgebungen, die verfügbar sind.

Diese Dynamik wird durch ein strukturelles Marktungleichgewicht verstärkt: GPU-Knappheit gibt Anbietern überproportionale Verhandlungsmacht. Wenn die Nachfrage nach beschleunigter Rechenleistung das Angebot bei weitem übersteigt, können Kunden ihren Anbieter oft nicht auf der Grundlage der Sicherheitslage wählen – sie nehmen, was verfügbar ist. Anbieter sehen wenig Marktdruck, in Sicherheitsreife zu investieren, und Kunden akzeptieren Risiken, die sie in herkömmlichen Clouds nicht tolerieren würden. Dieses Ungleichgewicht ist der Hintergrund, vor dem jedes Risiko in diesem Dokument gelesen werden sollte. Dieser Marktdruck wird gefährlicher, da KI-gestützte Sicherheitsforschung und Exploitation-Fähigkeiten die Zeitleiste für Verteidiger verkürzen. Schwächen, die einst jahrelang obskur geblieben wären, können jetzt viel schneller entdeckt, verkettet und operationalisiert werden.

Gleichzeitig verkürzen KI-gestützte Sicherheitsforschung und Exploitation-Fähigkeiten die Zeitleiste für Verteidiger: Schwächen, die einst jahrelang obskur geblieben wären, können jetzt viel schneller entdeckt, verkettet und operationalisiert werden.

Warum KI-Infrastruktursicherheit anders ist

KI-Infrastruktur liegt an der Schnittstelle von Cloud-Computing, High-Performance-Computing und physischem Rechenzentrumsbetrieb. Sie verwendet vertraute Komponenten wie Server, Speicher, Netzwerke, Scheduler, Verwaltungsebenen und Identitätssysteme, kombiniert sie jedoch auf eine Weise, die das Sicherheitsmodell verändert.

Traditionelle HPC-Umgebungen wurden oft für vertrauenswürdige Benutzer, Forschungsgemeinschaften oder interne Betreiber entwickelt. Moderne KI-Infrastruktur unterstützt zunehmend kommerzielle, hochwertige Multi-Tenant-Workloads von nicht verwandten Kunden. Infolgedessen können Annahmen, die in vertrauenswürdigen oder Einzelorganisationsumgebungen akzeptabel waren, zu ernsthaften Sicherheitsrisiken werden, wenn sie auf gemeinsame KI-Infrastruktur angewendet werden.

Die Sicherung von KI-Infrastruktur und Rechenzentren erfordert Zusammenarbeit über Cloud-Anbieter, Hardware- und Netzwerkhersteller, Sicherheitsunternehmen, Systemintegratoren und Kunden hinweg. Dies ist besonders wichtig in Bereichen wie Hochleistungsnetzwerken, Ost-West-Sichtbarkeit, Segmentierung, Schutz der Verwaltungsebene und Infrastruktursicherheitskontrollen.

Aktuelle Berichterstattung

Angreifer haben bereits begonnen, die Infrastruktur, Lieferketten und Rechenzentrumsökosysteme ins Visier zu nehmen, die fortschrittliche KI- und HPC-Workloads unterstützen. In einigen Fällen ist das Ziel der direkte Diebstahl sensibler Forschung, Modelle oder technischer Daten, in anderen Fällen Spionage, Vorpositionierung oder die Fähigkeit, strategisch wichtige Rechenumgebungen zu stören. Aktuelle Berichterstattung veranschaulicht beide Muster:

• Gemeldete Angriffe auf US-KI-Rechenzentren – Im April 2025 berichtete TIME, dass Forscher, die mit nationalen Sicherheitsbeamten und Rechenzentrumsbetreibern sprachen, von einem Fall erfuhren, in dem das KI-Rechenzentrum eines führenden US-Technologieunternehmens angegriffen und geistiges Eigentum gestohlen wurde. Sie beschrieben auch einen weiteren Fall, in dem eine ähnliche Einrichtung über eine bestimmte, nicht genannte Komponente angegriffen wurde; wäre der Angriff erfolgreich gewesen, hätte er das gesamte Rechenzentrum für Monate offline nehmen können.
• Staatliche Angriffe auf KI-Infrastruktur-IP – Bundesstrafverfolgungen haben bestätigt, dass Nationalstaaten KI-Rechenzentrumsarchitektur direkt auf Hardware- und Systemebene ins Visier nehmen. In einem Fall wurde ein ehemaliger Ingenieur eines großen US-Technologieunternehmens wegen Wirtschaftsspionage verurteilt, nachdem er Tausende von Seiten KI-Rechenzentrumsdesigns gestohlen hatte, einschließlich Chip-Architektur, Systemintegrationsspezifikationen und Orchestrierungssoftware für groß angelegtes Modelltraining.
• Gemeldete Exfiltration aus Chinas Nationalem Supercomputing-Zentrum in Tianjin – Im April 2026 beschrieb öffentliche Berichterstattung Behauptungen, dass mehr als 10 Petabyte Daten aus dem Supercomputing-Hub in Tianjin gestohlen wurden, einer Einrichtung, die Berichten zufolge Tausende von Forschungs-, Industrie- und Regierungsnutzern unterstützt. Daten, die angeblich aus dem Vorfall stammen, wurden zum Verkauf auf Telegram-Kanälen beworben. Der Vorfall veranschaulicht das Konzentrationsrisiko, das entsteht, wenn hochwertige Workloads, Daten und Forschungsergebnisse in einer einzigen fortschrittlichen Rechenumgebung gebündelt werden.

Dies sind frühe Beispiele. Die Angriffsfläche wird sich wahrscheinlich erweitern, wenn der Stack reift, und dieses Dokument wird sich parallel dazu weiterentwickeln.

Bedrohungsakteure

Das Risiko wird am besten verstanden, indem man potenzielle Angreifer betrachtet. Das Bedrohungsmodell umfasst weit mehr als den klassischen „externen Angreifer", und die Kontrollen in diesem Dokument sind auf die gesamte Bandbreite kalibriert:

• Externer Angreifer – Ein nicht authentifizierter oder unbefugter Akteur mit Netzwerkzugriff.
• Kompromittierter Cloud-Kunde – Ein legitimes Kundenkonto, ein Tenant oder eine Workload, das bzw. die kompromittiert wurde und auf der gemeinsamen Infrastruktur des Anbieters läuft.
• Böswilliger Unternehmens-Insider – Ein Mitarbeiter oder Auftragnehmer der KI-nutzenden Organisation mit legitimem Zugriff.
• Böswilliger Cloud-Auftragnehmer – Ein Dritter mit eingeschränktem Zugriff auf die Anbieterumgebung, wie Hardware-Techniker, Systemintegratoren, Logistikdienstleister oder Reparaturdienstleister.
• Böswilliger Cloud-Mitarbeiter – Ein anbieterseitiger Mitarbeiter mit privilegiertem Zugriff auf Hypervisoren, BMCs, physische Hosts, Speichersysteme oder Tenant-Datenebenen.
• Gegner während des Transports – Ein Akteur mit Zugriff auf Hardware oder Komponenten während Fertigung, Zwischenlagerung, Lagerung, Versand, Zollabfertigung oder Lieferung, bevor diese die gesicherte Rechenzentrumsumgebung des Anbieters erreichen.
• Systemintegrator – Eine Organisation, die für die Montage, Konfiguration oder den Versand kompletter Systeme aus einzelnen Komponenten verantwortlich ist.
• Lieferant – Ein vorgelagerter Hardware-, Firmware- oder Treiberhersteller.
• KI-Agenten – Alle KI-Agenten, die im Namen eines der oben genannten handeln und diese imitieren.

Unternehmenskompromittierung als initialer Zugriffsvektor

Die Risiken in diesem Rahmen konzentrieren sich auf KI-Infrastruktur-spezifische oder KI-Infrastruktur-verstärkte Fehlermodi. Sie ersetzen nicht die Notwendigkeit starker Unternehmenssicherheitskontrollen. In der Praxis können viele Angriffe auf KI-Infrastruktur über vertraute Unternehmenskompromittierungspfade beginnen, einschließlich schwacher oder fehlender MFA, Phishing, Diebstahl von Anmeldeinformationen, SaaS-Kompromittierung und schwacher Identitätskontrollen.

Diese Pfade sollten als übergreifende initiale Zugriffsvektoren behandelt werden. Eine kompromittierte Identität, ein Endpunkt, ein SaaS-Konto, ein CI/CD-System oder administrative Anmeldeinformationen können den Fußpunkt liefern, der benötigt wird, um mehrere der in diesem Rahmen beschriebenen Risiken zu erreichen. Diese Abschnitte konzentrieren sich daher darauf, was passieren kann, sobald ein Angreifer die KI-Infrastrukturumgebung selbst erreicht oder beeinflussen kann.

Wie Risiken ausgewählt wurden

Kandidatenrisiken wurden abgeleitet aus:

• Analyse von Sicherheitsforschung, Vorfallberichten und veröffentlichten CVEs, die KI-spezifische Komponenten betreffen.
• Überprüfung der Sicherheitsdokumentation von Anbietern wie NVIDIA, AMD und großen Cloud-Anbietern.
• Beobachteten Schwachstellenmustern in GPU-Cloud-Umgebungen und ML-Orchestrierungsplattformen.
• Gesprächen mit Sicherheitspraktikern, die in KI-Infrastruktur über mehrere Branchen hinweg arbeiten.

Jeder Kandidat wurde anhand von vier Dimensionen bewertet: Wahrscheinlichkeit, Auswirkung, Ausnutzbarkeit und Erkennungsschwierigkeit, wobei die höchstbewerteten Risiken für die Aufnahme ausgewählt wurden.

Versionierung und Beiträge

Dies ist ein lebendes Dokument. KI-Infrastruktur entwickelt sich schnell weiter, und ebenso die Angriffe darauf. Zukünftige Revisionen werden neue Risiken hinzufügen, bestehende verfeinern und Lehren aus der Praxis einbeziehen. Feedback und vorgeschlagene Ergänzungen von Praktikern sind willkommen und werden bei der Veröffentlichung der neuen Version anerkannt.

Lizenz

Inhalte in diesem Repository sind lizenziert unter CC BY-NC-SA 4.0.