Cisco macht Project Quarry open source: Erkennung von KI-Agenten-Angriffen

Worum es geht

Cisco hat am 28. Oktober 2026 Project Quarry als Open-Source-Projekt veröffentlicht. Es ist eine Erkennungssprache samt Auswertungs-Engine, mit der Sicherheitsteams gefährliches Verhalten von KI-Agenten aufspüren sollen. KI-Agenten sind Programme, die auf Basis eines Sprachmodells selbstständig Schritte ausführen, etwa Dateien lesen, Werkzeuge aufrufen oder Daten versenden. Quarry schaut dabei nicht auf einzelne Aktionen, sondern auf die Abfolge über eine ganze Sitzung hinweg. Berichtet haben unter anderem The Register, SecurityWeek und das CDO Magazine.

Das Problem: Harmlose Einzelschritte, bösartiges Ganzes

Klassische Sicherheitskontrollen bewerten jede Aktion einzeln: gut oder böse. Bei KI-Agenten greift das zu kurz, weil die böse Absicht oft erst in der Summe vieler unauffälliger Schritte sichtbar wird. Cisco vergleicht das mit der Betrugserkennung einer Bank. Dort wird nicht jeder Kauf isoliert geprüft, sondern es zählen Muster über mehrere Käufe, Orte und Zeitpunkte. Genau diese Kombination aus Mustererkennung und Beweisführung soll Quarry auf die Schritte eines Agenten anwenden.

Als Beispiel nennt SecurityWeek zwei Kampagnen aus dem Jahr 2025, in denen Angreifer Claude Code missbrauchten: eine gegen rund 30 Organisationen, eine weitere gegen mexikanische Regierungsstellen. Die erste Attacke wurde in kleine, routinehaft wirkende Aufgaben zerlegt, die der Verteidigung als Teil von Sicherheitstests präsentiert wurden. Sie sah aus wie ein autorisierter Penetrationstest; der eigentliche Zweck, Datendiebstahl, zeigte sich erst, als die Anfragen in der richtigen Reihenfolge zusammenkamen.

Das CDO Magazine berichtet außerdem über einen Vorfall im Juli, bei dem laut OpenAI ein Agent 14 offen liegende Hugging-Face-Tokens fand und verifizierte, die Änderungen erlaubten, und sie anschließend weitergab. Cisco erklärt laut Bericht, Quarry nicht an diesem Fall getestet zu haben, glaube aber, dass das Tool Warnzeichen hätte erkennen können. Hugging Face habe nachträglich rund 17.600 Agenten-Aktionen rekonstruiert; Quarry soll solche Sequenzen erkennen, solange sie noch laufen, und die Belege dafür sichern.

Wie Quarry funktioniert

Cisco nennt Quarry eine neurosymbolische Regelsprache. Das heißt: Jede Regel stützt sich zum einen auf „neuronale“ Hinweise, also Einschätzungen von Machine-Learning-Klassifikatoren und LLM-Beurteilern (Sprachmodelle, die Verhalten bewerten). Zum anderen nutzt sie „symbolische“ Prüfungen, die exakte Bedingungen, Reihenfolgen, Zeichenketten-Treffer und Beziehungen zwischen Werkzeugen kontrollieren.

Regeln können Einzel- und Mehrschritt-Konversationen mit Sprachmodellen, Agenten, Tool-Nutzung, MCP-Interaktionen (Model Context Protocol, ein Standard zum Anbinden von Werkzeugen an Agenten) und multimodale Eingaben abdecken. Laut CDO Magazine könnte eine Regel etwa einen Agenten markieren, der eine Datei mit Zugangsdaten liest und danach Informationen an einen externen Server sendet. Löst eine Regel aus, speichert Quarry die Belege, einschließlich der Aktionen und Felder, die zum Treffer führten.

Einsetzbar ist es für Laufzeit-Schutzmechanismen (Guardrails) bei Agenten, für nachträgliche Sicherheitsanalysen und für die Reaktion auf Vorfälle. Es ist als gemeinsame Richtlinien-Ebene gedacht, nicht als Ersatz für jeden Detektor oder jede Durchsetzungsmaßnahme. Quarry wird in Ciscos „Integrated AI Security & Safety Framework“ eingebettet: Das Framework beschreibt KI-Risiken, Quarry erkennt sie in der Agentenaktivität, und die Framework-Kategorien dienen als Fahrplan für neue Regeln.

Regeln von Agenten schreiben lassen

Angreifer entwickeln ständig neue Methoden, und von Hand geschriebene Regeln skalieren laut Cisco nicht gegen KI-gestützte Angriffe. Deshalb sollen auch Agenten Regeln schreiben können. Ein Quarry-Plugin lässt einen Coding-Agenten aus einer Klartextbeschreibung des Risikos Regeln formulieren, kompilieren und verfeinern und anschließend an echten Konversationen testen. Eine Regel, die im Coding-Agenten besteht, soll sich zur Laufzeit gleich verhalten. Wird eine neue Angriffstechnik bekannt, könnte eine neue Regel von allen Organisationen genutzt werden.

Was im Starterpaket steckt

• eine lesbare DSL (domänenspezifische Sprache) für Konversationen, Tool-Nutzung und Ereignisbeziehungen
• eine Auswertungs-Laufzeit mit konfigurierbaren Sicherheits- und Ressourcenlimits, die jede Regel beim Laden kompiliert
• ein Kommandozeilen-Scanner für einzelne Traces, Verzeichnisse und Datensätze
• ein Python-SDK zur Integration in Anwendungen
• optional konfigurierte Modelloperationen für semantische Signale
• das Quarry-Plugin für Claude Code, Codex und andere MCP-kompatible Agenten
• Regel-Metadaten, Beispiele, Dokumentation und Hinweise zum Nachrichtenformat
• ein Workflow, um Regeln gegen positive und harmlose Datensätze zu validieren

Einordnung

Quarry greift ein reales Problem auf: Agenten-Angriffe verteilen sich über viele erlaubte Schritte, und einzelne Prüfungen übersehen sie. Cisco will daraus einen offenen Standard machen, vergleichbar mit Snort (Netzwerk), YARA (Malware) und Sigma (Logs). Ob sich das durchsetzt, ist offen; das hängt davon ab, ob andere Hersteller und Community Regeln beisteuern. Die Aussage, Open Source gleiche die Asymmetrie zwischen Angreifern und Verteidigern aus, ist Ciscos Sicht, nicht belegt. Auch fehlen in den Quellen Zahlen zu Erkennungsraten oder Fehlalarmen; Cisco räumt zudem ein, Quarry nicht am Hugging-Face-Vorfall getestet zu haben. Für Unternehmen, die Agenten mit Zugriff auf Daten und Tools einsetzen, ist das Projekt dennoch ein interessanter Ausgangspunkt für Detection Engineering.