AI-Pentest für LLMs, Agenten und KI-integrierte Anwendungen. Wir testen entlang der OWASP LLM Top 10 und darüber hinaus: von Prompt Injection über Tool Abuse bis zu den klassischen Schwachstellen im KI-Backend.
Was der Nutzer tippt, und was das System nebenbei liest: Mails, Dokumente, Webseiten.
Direkt über die Eingabe oder indirekt über externe Daten.
Die Anweisungen, die das Verhalten festlegen sollen, samt Toolbeschreibungen.
Guardrails umgehen, Rolle überschreiben, den System-Prompt herausziehen.
Vektordatenbank und Dokumentenspeicher liefern den Kontext für die Antwort.
Unautorisiertes Retrieval, manipulierte Vektorbasis, Membership Inference.
Der Agent liest Postfächer, führt Code aus, fragt Datenbanken ab.
Nicht autorisierte Tool-Calls, Rechteausweitung, SSRF und Path Traversal.
Die Antwort landet im Browser, in einer Datenbankabfrage, in einem Skript.
Ungefilterte Ausgaben werden zu XSS, SQL Injection oder Code Execution.
Findings, die wir tatsächlich ausgenutzt haben, mit Reproduktionsschritten
Jedes Finding auf die OWASP LLM Top 10 gemappt
Management-Summary und nach Business Impact priorisierte Empfehlungen
Re-Test nach der Behebung auf Wunsch
Prompt Injection, Output Handling, System Prompt Leakage, unsichere Plugins. Für interne Assistenten und öffentliche KI-Produkte.
Für autonome Agenten mit Tool-Zugriff: Tool Authorization, Privilege Escalation, indirekte Prompt Injection, Multi-Agent Trust Boundaries.
Das Modell selbst: Adversarial Robustness, Model Extraction, Evasion Attacks auf Fraud Detection und Bilderkennung.
Welcher Schwerpunkt passt, hängt von System und Reifegrad ab. Oft kombinieren wir alle drei.
Konstruierte Eingaben steuern die Ausgabe, direkt oder indirekt.
Trainingsdaten, Konfiguration oder Daten fremder Sitzungen.
Kompromittierte Basismodelle, Plugins oder Datenpipelines.
Manipulierte Trainingsdaten erzeugen gezielte Backdoors.
Ausgaben gehen ungefiltert weiter, als Code oder als Query.
Der Agent darf mehr, als seine Aufgabe braucht.
Interne Anweisungen und Toolbeschreibungen lassen sich ziehen.
Poisoning und unautorisiertes Retrieval in der Vektorbasis.
Plausibel klingende Falschaussagen mit realer Wirkung.
Aufwändige Anfragen erzwingen DoS und hohe API-Kosten.
Welche Modelle, Datenquellen und Tools sind im Scope, welche Berechtigungen hat der Agent?
Angriffspfade aus der Architektur ableiten, nach OWASP LLM Top 10, MITRE ATLAS und eigenen Testfällen.
Prompt Injections, Tool Abuse, RAG-Angriffe, API-Tests. Jeder Versuch wird protokolliert.
Jedes Finding wird auf tatsächliche Ausnutzbarkeit und Auswirkung geprüft.
Bericht mit OWASP-LLM-Mapping, Reproduktionsschritten und Management-Summary.
Das Risiko liegt bei euch in der Konfiguration, nicht im Modell des Anbieters. Wie ist der System-Prompt aufgebaut, welche Daten darf der Assistent abrufen, greifen eure Berechtigungen auch dann, wenn ein Nutzer per Prompt Injection nachhilft? Das ist eure Implementierung, und die testen wir.
Für ein Black-Box-Assessment reicht der Zugang, den auch ein normaler Nutzer hat. Grey Box und White Box, also Einblick in System-Prompts, Toolkonfiguration und Architektur, führen zu tieferen Findings. Welcher Ansatz passt, klären wir im Scoping.
Der Angriff kommt nicht vom Nutzer, sondern aus den Daten, die das Modell liest: eine E-Mail, ein Dokument, eine Webseite. Liest ein Agent eine präparierte Mail und löst daraufhin eine Aktion aus, war der Angreifer nie mit dem System in Kontakt.
Der klassische Test prüft Infrastruktur, Netz und Applikation. Beim AI-Pentest kommen die modellspezifischen Vektoren dazu: Prompt Injection, Jailbreaking, Tool Abuse, RAG Poisoning, adversarielle Eingaben. Weil KI-Systeme auf normaler Infrastruktur laufen, machen wir beides.
Im kostenlosen Erstgespräch klären wir Architektur, Scope und Testmodell. Danach bekommt ihr ein schriftliches Angebot.