KI-BedrohungskatalogAngriffe auf Modell und BetriebProduktion
Seitenkanal-Angriffe (Timing-Analyse)
Angreifer schließen aus beobachtbaren Nebeneffekten des Betriebs, etwa aus Antwortzeiten oder dem Zeittakt der Ausgabe, auf verborgene Informationen des Modells, seiner Prompts oder seines Zustands.
Beschreibung
Auch ohne direkten Zugriff verrät ein laufendes System Informationen über messbare Nebeneffekte, sogenannte Seitenkanäle. Angreifer messen zum Beispiel, wie lange eine Antwort dauert (Inferenz-Latenz), in welchem Zeittakt die Ausgabe Wort für Wort erscheint (Token-Streaming) oder ob eine Berechnung auffällig schnell aus einem Zwischenspeicher kommt (Cache-Treffer). Aus solchen Zeitmustern lassen sich Rückschlüsse auf die Bauart des Modells, auf Teile eines verborgenen System-Prompts (der internen Grundanweisung an das Modell) oder auf die vom System verarbeiteten Daten ziehen. Nötig ist nur die Beobachtung von außen sichtbarer Zeitsignale, kein Einbruch.
Mögliche Auswirkung
Über den Umweg der Zeitmessung können Modell- und Konfigurationsdetails, Teile vertraulicher System-Prompts oder Hinweise auf verarbeitete Daten abfließen, ohne dass ein klassischer Einbruch nötig ist. Die gewonnenen Erkenntnisse verstärken Auskundschaftung und Modell-Diebstahl. Weil die Zeitsignale zum normalen Betrieb gehören, sind solche Angriffe schwer vollständig zu verhindern.
Beispiel
Ein Dienst gibt seine Antworten Wort für Wort aus. Ein Angreifer misst die winzigen Verzögerungen zwischen den Wörtern und kann daraus ableiten, ob seine Testeingabe Teile des verborgenen System-Prompts getroffen hat, den der Betreiber eigentlich geheim halten wollte.
Empfohlene Gegenmaßnahmen (6)
Jede Maßnahme nennt ihre Maßnahmenart, Wirkung, Umsetzungsebene und die Begründung der Einordnung.
Möglichst konstante InferenzzeitenTechnisch
- Wirkung
- Präventiv
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur
- Begründung der Einordnung
- „Möglichst konstante Inferenzzeiten“ ist primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.
Einspeisung von Timing-RauschenTechnisch
- Wirkung
- Präventiv
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur
- Begründung der Einordnung
- „Einspeisung von Timing-Rauschen“ ist primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.
Batch-Processing zur Verschleierung individueller LatenzenTechnisch
- Wirkung
- Präventiv
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur
- Begründung der Einordnung
- „Batch-Processing zur Verschleierung individueller Latenzen“ ist primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.
Rate-Limiting zur Vermeidung von Timing-KorrelationenTechnisch
- Wirkung
- Präventiv, Schadensbegrenzend
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur
- Ergänzende Maßnahmenart
- Organisatorisch & prozessual
- Begründung der Einordnung
- „Rate-Limiting zur Vermeidung von Timing-Korrelationen“ ist primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen; ergänzt durch verbindliche Abläufe.
Timing-Schutz auf Netzwerkebene (Padding, Delay)Technisch
- Wirkung
- Präventiv, Schadensbegrenzend
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur
- Begründung der Einordnung
- „Timing-Schutz auf Netzwerkebene (Padding, Delay)“ ist primär technisch: Minimierung, Randomisierung, gleichförmige Verarbeitung oder Abfragebegrenzung reduzieren den Informationsgewinn aus wiederholten Beobachtungen.
Seitenkanal-bewusstes SystemdesignTechnisch
- Wirkung
- Präventiv
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur
- Begründung der Einordnung
- „Seitenkanal-bewusstes Systemdesign“ ist primär technisch: Sichere Formate, restriktive Voreinstellungen oder Schutzschichten reduzieren unsichere Ausführungspfade und Angriffsflächen.
Standard-Zuordnungen
Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen sind taxonomisch, kein Konformitätsnachweis.
Belegte Referenzen (7)
Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.
- OWASP LLM Top 10 LLM02:2025 Sensitive Information DisclosureLLM02:2025 Sensitive Information Disclosure, official category page OWASP FoundationOriginal
- OWASP LLM Top 10 LLM10:2025 Unbounded ConsumptionLLM10:2025 Unbounded Consumption, official category page OWASP FoundationOriginal
- NIST AI RMF MEASURE 2.7 MEASURE 2.7MEASURE 2.7, p. 30 National Institute of Standards and Technology (NIST)Original
- NIST AI RMF NISTAML.031 Model ExtractionTaxonomy Index, p. x; Abschnitt 2.4.4, pp. 31–32; Abschnitt 3.3.2, p. 47 National Institute of Standards and Technology (NIST)Original
- MITRE ATLAS AML.T0040 AI Model Inference API AccessATLAS.yaml technique object with id AML.T0040 (pinned release v5.6.0) MITREOriginal
- EU AI Act Article 55(1)(d) Obligations of providers of general-purpose AI models with systemic riskArticle 55(1)(d) European Union (EUR-Lex)Original
- EU AI Act Article 9(1), 9(2)(a), 9(2)(d) Risk management systemArticle 9(1), 9(2)(a), 9(2)(d), read with Article 9(3) European Union (EUR-Lex)Original
Verwandte Bedrohungen
Weitere Einträge aus der Themengruppe Angriffe auf Modell und Betrieb.
Diese Bedrohung im eigenen System bewerten
Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs samt EU-AI-Act- und DSGVO-Einwertung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.
Diesen Eintrag zitieren
Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.
„Seitenkanal-Angriffe (Timing-Analyse)“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Juli 2026. https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/seitenkanal-angriffe/