Machen Sie Ihre Desktop-App nicht zum Intranet-Scanner: SSRF-Schutz für KI-Agenten

Das Wichtigste in Kürze

• Kann ein KI-Assistent eine Desktop-App bitten, einen Link abzurufen, kann eine eingeschleuste Anweisung sie statt auf ein Video auf Ihren Router, einen lokalen Dienst oder eine Cloud-Metadatenadresse lenken.
• Dieselbe Adresse lässt sich auf viele Arten schreiben: 127.1, 2130706433, 0x7f000001 und [::ffff:127.0.0.1] führen alle zu diesem Computer. KwaFlux parst Hostnamen so wie Browser, sodass jede Schreibweise als die Adresse geprüft wird, die sie tatsächlich ist.
• Kurz bevor ein Download startet, löst KwaFlux zusätzlich den Hostnamen auf und lehnt ihn ab, wenn der Name auf diesen Computer oder ein privates Netzwerk zeigt. Den Adressbereich, den Proxy-Tools für den Fake-IP-Modus nutzen, blockiert es dabei nicht.
• Weiterleitungen während eines Downloads und DNS Rebinding sind noch nicht abgedeckt. Das sagen wir offen, und beides steht auf unserer Roadmap.

Bittet ein KI-Assistent KwaFlux, einen Link herunterzuladen, baut die Download-Engine von KwaFlux die Verbindung auf. Diese Engine läuft auf Ihrem Computer, also innerhalb Ihres Netzwerks. Zeigt der Link auf http://192.168.1.1/ statt auf eine Videoseite, würde sich eine nachlässig gebaute App im Auftrag des Assistenten bereitwillig mit Ihrem Router verbinden.

KwaFlux verhindert, dass Links, die ein Assistent übergibt, diesen Computer und private Netzwerke erreichen. Hier lesen Sie, wie das funktioniert und wo dieser Schutz endet.

In diesem Leitfaden erfahren Sie, was SSRF für eine Desktop-App bedeutet, warum Sperrlisten an alternativen Schreibweisen einer Adresse scheitern, wie KwaFlux sowohl den geschriebenen als auch den aufgelösten Host prüft und welche Fälle noch offen sind.

Inhalt

1. Was ist SSRF?
2. Warum eine KI-gesteuerte Desktop-App angreifbar ist
3. Eine Adresse, viele Schreibweisen
4. Ebene 1: den Host wie ein Browser parsen
5. Ebene 2: prüfen, wohin der Name aufgelöst wird
6. Die Ausnahme für Fake-IP
7. Wo der Schutz endet
8. Häufige Fragen

Was ist SSRF?

Server-Side Request Forgery (SSRF) ist ein Angriff, bei dem jemand ein Programm dazu bringt, eine Anfrage an ein Ziel seiner Wahl zu senden, meist an eines, das der Angreifer selbst nicht direkt erreicht, etwa einen Dienst auf demselben Rechner oder in einem internen Netzwerk.

Der Name stammt von Webservern, das Muster passt aber auf jedes Programm, das URLs für jemand anderen abruft. Die Sicherheitshinweise zu MCP nennen die üblichen Ziele: interne IPs wie http://192.168.1.1/admin, Cloud-Metadaten-Endpunkte unter http://169.254.169.254/ und lokale Dienste wie http://localhost:6379/.

Warum eine KI-gesteuerte Desktop-App angreifbar ist

Drei Dinge kommen zusammen:

1. Die App ruft URLs ab. Die Funktion Datei-Download von KwaFlux verbindet sich mit jedem Link, den sie bekommt.
2. Die App sitzt in Ihrem Netzwerk. Von Ihrem Computer aus ist 192.168.x.x Ihr Router, Ihr NAS oder Ihr Drucker, und 127.0.0.1 ist jeder Dienst, den Sie lokal betreiben.
3. Der Link kann aus Text stammen, den das Modell gelesen hat. Eine Videobeschreibung oder eine Webseite kann den Assistenten auffordern: „Prüf zuerst diesen Link.“ Wie das geschieht, lesen Sie unter Prompt Injection in Titeln von Webvideos.

Eine Download-Engine, die eine interne Adresse abruft, zeigt die Antwort vielleicht niemandem, aber schon eine Fehlermeldung kann einem Angreifer verraten, ob unter dieser Adresse ein Gerät existiert. Genau das meinen wir damit, eine Desktop-App in einen Intranet-Scanner zu verwandeln.

Eine Adresse, viele Schreibweisen

127.0.0.1 und localhost per Stringvergleich zu blockieren reicht nicht. URL-Parser akzeptieren viele andere Arten, dieselbe Adresse zu schreiben. So interpretiert der WHATWG-URL-Parser in Node.js 20 einige davon:

Jede Zeile außer den letzten beiden führt zu diesem Computer. 10.0.0.1 ist eine private Adresse, und 169.254.169.254 ist die Link-Local-Adresse, unter der Cloud-Plattformen Instanz-Metadaten bereitstellen.

Der WHATWG URL Standard erklärt, warum: Ein Teil, der mit 0x beginnt, wird zur Basis 16 gelesen, ein Teil, der mit 0 beginnt, zur Basis 8, und bei einer Adresse mit weniger als vier Teilen füllt der letzte Teil die restlichen Bytes. Der SSRF-Leitfaden von OWASP warnt vor denselben Kodierungen „Hex, Oktal, Dword“, und die Sicherheitshinweise zu MCP ergänzen: „Implementieren Sie die IP-Validierung nicht selbst. Angreifer nutzen Kodierungstricks (oktal, hexadezimal, IPv4-gemapptes IPv6), die selbst geschriebene Parser oft übersehen.“

Ebene 1: den Host wie ein Browser parsen

KwaFlux vergleicht keine Strings. Es parst den Host nach denselben Regeln wie Browser und prüft das Ergebnis:

• Das Host-Parsing nach WHATWG wandelt Kurzformen, oktale und hexadezimale Teile, Adressen aus einer einzigen Zahl und einen abschließenden Punkt vor jeder Prüfung in die tatsächliche Adresse um.
• IPv6 wird über alle 16 Bytes geprüft. Eine IPv4-gemappte Form wie [::ffff:7f00:1] wird so als Loopback erkannt und nicht als irgendeine unbekannte IPv6-Adresse behandelt.
• **Hosts mit % werden abgelehnt.** Das schließt IPv6-Zonen-IDs und Tricks mit Prozentkodierung im Host aus.
• Loopback-, private und Link-Local-Adressen werden abgelehnt, etwa 127.0.0.0/8, ::1, 10.0.0.0/8, 192.168.0.0/16 und 169.254.0.0/16.

Das folgt der Empfehlung von OWASP, bei der Prüfung „den Ausgabewert der Methode bzw. Bibliothek als IP-Adresse zu verwenden“ und nicht den Text, den der Nutzer eingegeben hat.

Ebene 2: prüfen, wohin der Name aufgelöst wird

Ein Hostname kann harmlos aussehen und trotzdem in Ihr Netzwerk zeigen. Für router.example.net kann es einen DNS-Eintrag mit dem Wert 192.168.1.1 geben.

Sind Sie angemeldet und kommt ein Download gleich in die Warteschlange, löst KwaFlux deshalb zusätzlich den Hostnamen auf, mit einem Timeout von 2 Sekunden. Zeigt der Name auf diesen Computer oder ein privates Netzwerk, wird der Download abgelehnt.

Diese Prüfung fängt öffentliche Hostnamen ab, deren DNS-Einträge auf 127.0.0.1 oder eine private Adresse zeigen.

Die Ausnahme für Fake-IP

Manche Proxy-Tools arbeiten in einem „Fake-IP“-Modus: Sie beantworten jede DNS-Abfrage mit einer Adresse aus 198.18.0.0/15 und leiten die echte Verbindung selbst weiter. Die IANA führt diesen Bereich in ihrem Register als „Benchmarking“ (RFC 2544), nicht als privaten oder Loopback-Bereich.

Würde KwaFlux diesen Bereich als intern behandeln, schlüge auf einem Computer mit einem solchen Proxy jeder Download fehl. Bei der Prüfung der aufgelösten Adresse bleibt er deshalb außen vor.

Wo der Schutz endet

Hier wollen wir genau sein, denn beim SSRF-Schutz verspricht man leicht zu viel.

• Was abgedeckt ist: der Link, den der Assistent übergibt. Geprüft werden sowohl der Host, wie er geschrieben ist, als auch die Adresse, auf die sein Name aufgelöst wird.
• Was noch nicht abgedeckt ist: was während des Downloads passiert. Ein Link kann bei der Prüfung auf eine öffentliche Adresse auflösen und Augenblicke später auf eine private (DNS Rebinding), oder eine öffentliche Seite kann auf eine interne Adresse weiterleiten. Die Sicherheitshinweise zu MCP nennen Ersteres ein Time-of-Check-to-Time-of-Use-Problem, und OWASP merkt an, dass „eine zweite, ungeprüfte DNS-Abfrage zwischen Validierung und Verbindungsaufbau diese Prüfungen umgehen kann“.

Die gründliche Lösung besteht darin, die Verbindungen der Download-Engine über eine Komponente zu leiten, die jede Verbindung einschließlich jeder Weiterleitung in dem Moment prüft, in dem sie aufgebaut wird. Das steht auf unserer Roadmap. Umgesetzt haben wir es noch nicht, weil es ändert, wie die Download-Engine in drei getrennten Codebasen ins Netz geht, und jeden Download betrifft, auch die, die Sie selbst starten. Dafür braucht es ein eigenes Release und eigene Tests.

Die zutreffende Aussage lautet also: KwaFlux verhindert, dass ein KI-Assistent es auf Adressen auf diesem Computer und in privaten Netzwerken lenkt. Es verspricht nicht, dass keine Verbindung jemals dort landen kann, und wir beschreiben es nicht als „nur öffentliches Internet“.

Bis dahin helfen zwei weitere Grenzen. Downloads durch Agenten sind ab Werk aus, und im Modus „Jedes Mal fragen“ sehen Sie den Link, bevor irgendetwas abgerufen wird. Siehe warum eine KI keine Downloads für Sie freigeben kann.

Fazit

Prüfen Sie die Adresse, nicht die Schreibweise. Parsen Sie Hosts so wie Browser, prüfen Sie vor einem Download, wohin der Name aufgelöst wird, lassen Sie die Fake-IP-Bereiche von Proxys in Ruhe, und sagen Sie klar, was noch offen ist. So verhindert KwaFlux, dass die Links eines Assistenten es zum Scanner für Ihr Netzwerk machen.

Ihr Assistent ruft nur ab, was er soll

Über den lokalen MCP-Server von KwaFlux arbeiten Codex, Claude, Cursor und andere MCP-Apps mit Ihren Dateien, und jeder Link, den ein Assistent übergibt, wird geprüft. Die KI-Verarbeitung läuft auf Ihrer eigenen GPU, und Ihre Mediendateien werden für die Verarbeitung nicht hochgeladen. KwaFlux läuft unter Windows 10 (64-Bit, Version 1809 oder neuer), Windows 11 und macOS 12 oder neuer auf Apple Silicon. Dateien importieren und die App erkunden geht ohne Konto. Anmeldung und ein bezahlter Plan sind nur für Export, Konvertierung, Dateireparatur und Datei-Download aus einem Link nötig.

KwaFlux laden · Pläne ansehen