arXiv:2607.08395: Token-Flow Firewall — Runtime-Überwachung schützt langlebige KI-Agenten und senkt Angriffserfolgsrate auf 12,5 %

Das Paper „Token-Flow Firewall: Semantic Runtime Auditing for Persistent AI Agents” (arXiv:2607.08395) von Puji Wang und Mitarbeitern stellt einen Abwehrmechanismus für langlebige KI-Agenten vor, der während der Ausführung wirkt — nicht nur in der Trainingsphase. Ein persistenter Agent ist ein System, das Aufgaben in langen, mehrstufigen Sitzungen abarbeitet — genau die Klasse, bei der ein einziger erfolgreicher Angriff am gefährlichsten ist, weil seine Wirkung durch die gesamte Kette übertragen wird.

Wie die Firewall funktioniert

Der Mechanismus überwacht Token-Flüsse in natürlicher Sprache in Echtzeit — Eingaben, Zwischenschritte und Ausgaben des Agenten — und sucht nach semantischen Mustern, die einen Angriff verraten, etwa injizierte Instruktionen, die das Ziel umlenken. Anders als statische Eingabeprüfung erkennt die Runtime-Überwachung auch Angriffe, die sich erst mitten in einer Aufgabe aktivieren, nachdem die ursprüngliche Eingabe bereits passiert ist. Damit ergänzt sie bestehende Training-seitige Schutzmaßnahmen.

Die Zahl, die das Paper greifbar macht

In Tests gegen Prompt-Injection und andere adversarielle Angriffe senkt der Token-Flow Firewall die Angriffserfolgsrate auf 12,5 %. Prompt-Injection — das Einbetten versteckter Instruktionen in die Modelleingabe — gehört zu den hartnäckigsten Angriffen auf LLM-Systeme, und eine messbar niedrigere Erfolgsrate verleiht dem Abwehrmechanismus praktischen Wert. Das Ergebnis sollte mit der für unveröffentlichte Preprints üblichen Vorsicht gelesen werden, doch die Metrik ist konkret genug für den Vergleich mit künftigen Ansätzen.

Kontext

Das Paper fügt sich in eine Reihe von Juli-Sicherheitsbefunden ein: GitHubs CodeQL führte Prompt-Injection-Erkennung in die statische Analyse ein, und das arXiv-Paper „Overthinking” zeigte Extraktionsangriffe auf Reasoning-Modelle. Zusammen skizzieren sie die Reifung der KI-Sicherheit zu einer eigenständigen Disziplin mit eigenen Werkzeugen — von der statischen Code-Analyse bis zur Runtime-Firewall für Agenten im Produktionseinsatz.