exfil-scan

Scan LLM-Ausgaben und KI-generierte Inhalte auf Datenexfiltrationssignale, bevor sie Benutzer, Protokolle oder nachgelagerte Systeme erreichen.

---

1) Warum exfil-scan existiert

Moderne LLM-Anwendungen verarbeiten routinemäßig sensible Prompts, interne Dokumente, API-Antworten und Benutzerdaten. Das schafft eine neue Sicherheitsgrenze: die Ausgabeschicht.

Die EchoLeak-Familie von Angriffen (einschließlich CVE-2025-32711) hat gezeigt, wie versteckte oder verschleierte Payloads in generierten Text eingebettet und zur Exfiltration von Daten über Tools, Links oder Parsing-Ketten verwendet werden können.

Traditionelle Scanner konzentrieren sich auf Dateien, Abhängigkeiten und Laufzeitverkehr. Sie prüfen generierte Modellausgaben nicht in einer zweckgebundenen Weise.

exfil-scan bietet einen „Virenscanner für LLM-Antworten“:

• untersucht Klartext, JSON, Markdown und Protokolle
• identifiziert sechs Klassen verdächtiger Exfiltrationsmuster
• meldet Befunde mit Schweregrad und Ort
• lässt sich sauber in CI/CD- und lokale Entwickler-Workflows integrieren

---

2) Was erkannt wird

Kategorie	Schweregrad	Was erkannt wird
Versteckter Text	HIGH	Nullbreite und unsichtbare Unicode-Sequenzen, die zum Verstecken von Payloads verwendet werden
Kodierte Daten	HIGH	Base64/Hex/Oktal/Unicode-Escape-Sequenzen, die wahrscheinlich kodierten Inhalt transportieren
Daten in URLs	MEDIUM	Verdächtig lange Query-Strings und kodierte URL-Parameter-Payloads
Metadatenlecks	HIGH	Anmeldedaten-ähnliche Schlüssel und Token-Formate in strukturierten/unstrukturierten Ausgaben
Unicode-Steganografie	MEDIUM	Bidirektionale Steuerzeichen und Wörter im Stil von Homoglyphen mit gemischten Schriften
Strukturelle Anomalien	LOW	Extreme Zeilenumbrüche/Tabulator-Sequenzen und Ersetzungszeichen-Kodierungsartefakte

---

3) Feature-Highlights

• Drei Sensitivitätsprofile: low, medium, high
• Unterstützung für YAML-Konfigurationsüberschreibungen
• Eingabe von stdin, einzelnen Dateien oder Verzeichnissen
• Ausgabe in text, json, markdown oder html
• Stabile Exit-Codes für die Automatisierung
• Saubere Python-API zur Einbettung in andere Tools

---

4) Installation

Installation aus dem Quellcode

git clone https://github.com/your-org/exfil-scan.git
cd exfil-scan
pip install -e .

Standard-pip-Installation (sobald veröffentlicht)

pip install exfil-scan

Entwicklungsinstallation

pip install -e ".[dev]"
pytest

---

5) Schnellstart

LLM-Ausgabe per Pipe scannen

echo 'api_key: sk-ABCDEFGHIJKLMNOPQRSTUVWXYZ123456' | exfil-scan

Eine einzelne Datei scannen

exfil-scan --input output.txt

Ein Verzeichnis rekursiv scannen

exfil-scan --directory ./model-logs --recursive

---

6) Referenz der CLI-Optionen

Option	Typ	Standard	Beschreibung
-i, --input	Pfad	keine	Eine Eingabedatei scannen
-d, --directory	Pfad	keine	Alle unterstützten Dateien in einem Verzeichnis scannen
-r, --recursive	Flag	false	Verschachtelte Verzeichnisse mit --directory rekursiv durchsuchen
-c, --config	Pfad	keine	Pfad zur YAML-Konfigurationsdatei
-s, --sensitivity	low|medium|high	config/default	Sensitivitätsprofil überschreiben
-f, --format	text|json|html|markdown	text	Berichtsformat rendern
-o, --output	Pfad	stdout	Gerenderten Bericht in eine Datei schreiben
--version	Flag	n/a	CLI-Version ausgeben
-h, --help	Flag	n/a	Nutzung und Argumente anzeigen

Hinweise:

• Verwenden Sie entweder --input oder --directory, nicht beides.
• Wenn kein Pfad angegeben ist, liest das Tool von stdin.
• Wenn Befunde vorhanden sind, beendet sich der Prozess mit Code 1.

---

7) Nutzungsbeispiele nach Ausgabeformat

Klartext-Ausgabe

exfil-scan --input suspicious.txt --format text

Erwarteter Stil:

exfil-scan report
=================
Scanned targets: 1
Total findings: 2

1. [HIGH] metadata_leaks/known_token_format:openai_key
   Location: suspicious.txt:1:10
   Description: Matched known credential/token format (openai_key).

JSON-Ausgabe

exfil-scan --input suspicious.txt --format json

Erwartete Form:

{
  "finding_count": 2,
  "scanned_targets": ["suspicious.txt"],
  "findings": [
    {
      "category": "metadata_leaks",
      "rule": "known_token_format:openai_key",
      "severity": "HIGH",
      "description": "Matched known credential/token format (openai_key).",
      "location": "suspicious.txt:1:10",
      "snippet": "..."
    }
  ]
}

HTML-Ausgabe

exfil-scan --directory ./outputs --recursive --format html --output report.html

Erwartetes Verhalten:

• Erzeugt eine eigenständige HTML-Seite mit einer Befundtabelle
• Maskiert Inhalte für sicheres Rendern
• Enthält Schweregrad, Kategorie, Regel, Ort und Beschreibung

Markdown-Ausgabe

exfil-scan --input suspicious.txt --format markdown --output report.md

Erwarteter Stil:

# exfil-scan Report

- Scanned targets: 1
- Total findings: 2

---

8) Konfiguration und Sensitivität

Das Repository enthält default-config.yaml. Sie können mit --config Ihre eigene Datei übergeben.

Sensitivitätsanpassung:

• low: weniger Fehlalarme, größere Schwellenwerte
• medium: ausgewogene Standardwerte
• high: erkennt subtilere Muster

Sensitivitätsüberschreibung per CLI:

exfil-scan --input out.txt --sensitivity high

---

9) Benutzerdefinierte Muster und Policy-Anpassung

Sie können eigene Token-Formate und Metadatenschlüssel hinzufügen:

sensitivity: medium
rules:
  metadata_keys:
    - api_key
    - db_password
    - internal_token
  token_patterns:
    custom_jwt: "\\beyJ[A-Za-z0-9_\\-]{10,}\\.[A-Za-z0-9_\\-]{10,}\\.[A-Za-z0-9_\\-]{10,}\\b"
    corp_secret: "\\bcorp_[A-Za-z0-9]{24,}\\b"

Dann ausführen:

exfil-scan --input response.log --config ./my-config.yaml

---

10) Architekturübersicht

Modulverantwortlichkeiten:

• exfil_scan/cli.py: Argumentparsing, Eingabeauswahl, Ausgaberendering, Exit-Behandlung
• exfil_scan/config.py: Standardwerte, YAML-Laden, rekursives Zusammenführen, Profilnormalisierung
• exfil_scan/scanner.py: sechs Erkennungs-Engines, Finding-Dataclasses, Berichtsformatierung
• tests/test_scan.py: Regressionstests für Erkennung und Ausgabeformate

Ausführungsablauf:

1. Die CLI parst Argumente.
2. Die Konfiguration lädt Standardwerte + optionale Überschreibungen.
3. Der Scanner liest Text von stdin/Datei/Verzeichnis.
4. Jede aktivierte Kategorie läuft unabhängig.
5. Befunde werden nach Schweregrad sortiert und gerendert.
6. Der Exit-Code kommuniziert bestanden/fehlgeschlagen/Fehler für die Automatisierung.

---

11) Exit-Codes

Code	Bedeutung
0	Keine Befunde (sauber)
1	Befunde erkannt
2	Laufzeit- oder Argumentfehler

Das macht die CI-Integration unkompliziert:

exfil-scan --directory ./artifacts --recursive --format json --output exfil-report.json

Wenn eine Erkennung gefunden wird, kann Ihr Job basierend auf Exit-Code 1 schnell fehlschlagen.

---

12) Tests

Tests ausführen:

pytest

Die Abdeckung umfasst:

• alle sechs Erkennungskategorien
• Berichtsformatierung in allen vier Ausgabemodi
• Regelbezogene Assertions für stabiles Verhalten

---

13) Sicherheitshinweise

exfil-scan ist ein heuristischer Scanner. Es soll Risiken reduzieren und verdächtige Ausgaben sichtbar machen, nicht die Sicherheit von Inhalten beweisen.

Empfohlenes Bereitstellungsmuster: