The authoritative text is the English page: English version of this page
Szenariokategorien
Jede Kategorie ist ein Repository mit Szenarien. Die Zuordnungen beziehen sich auf MITRE-ATLAS-Techniken und die OWASP-Listen; die Begründung steht in TTP-MAP.md. Die Werkzeuge rund um den Runner (installieren, ein Transkript bewerten, Bericht, Faktenprüfung) sind in TOOLS.md beschrieben. Die Demo mit einem Befehl und der Vergleich von Läufen im Zeitverlauf stehen in WORKFLOWS.md. Das Wiederholen eines gespeicherten Laufs, die Hinweise für Verteidiger und die CI-Prüfung stehen in AUTOMATION.md.
Angriffe auf MCP-Server (feintkit-mcp)
Loopback-Ports 47100 bis 47199.
| Szenario | Titel | ATLAS | OWASP LLM | OWASP Agentic |
|---|---|---|---|---|
| mcp-01-tool-poisoning | Demo-Server für Tool Poisoning | AML.T0110.000, AML.T0011.002 | LLM01:2025 | ASI01, ASI02 |
| mcp-02-rug-pull | Demo-Server für Rug Pull | AML.T0109, AML.T0110.001 | LLM03:2025 | ASI04 |
| mcp-03-tool-shadowing | Demo-Server für Tool Shadowing | AML.T0110.000, AML.T0074 | LLM01:2025 | ASI02, ASI04 |
| mcp-04-excessive-scope | Demo-Server mit übermäßigem Berechtigungsumfang | AML.T0053 | LLM06:2025 | ASI02, ASI03 |
| mcp-05-resource-injection | Demo-Server für indirekte Injection über Ressourceninhalte | AML.T0051.001 | LLM01:2025 | ASI01 |
| mcp-06-credential-harvest | Demo-Server für das Abgreifen von Zugangsdaten über Parameter | AML.T0110.000, AML.T0086 | LLM02:2025 | ASI03 |
| mcp-07-command-injection-sim | Demo-Server für simulierte Command Injection | AML.T0050, AML.T0102 | LLM05:2025 | ASI05 |
| mcp-08-exfil-sim | Demo-Server für die Simulation von Datenabfluss | AML.T0086, AML.T0025 | LLM02:2025 | ASI02 |
| mcp-09-impersonation | Demo-Server für Server-Identitätsvortäuschung / Typosquatting | AML.T0074, AML.T0073, AML.T0010.005 | LLM03:2025 | ASI04 |
| mcp-10-sampling-abuse | Demo-Server für MCP-Sampling-Missbrauch | AML.T0051.001, AML.T0053 | LLM01:2025, LLM06:2025 | ASI01, ASI02 |
| mcp-11-elicitation-phish | Demo-Server für MCP-Elicitation-Phishing | AML.T0052, AML.T0073 | LLM02:2025 | ASI09 |
| mcp-12-oauth-confused-deputy | Demo für MCP OAuth Confused Deputy / Token-Durchreichen | AML.T0091.000 | keine | ASI03 |
| mcp-13-exposed-local-server | Demo für einen offen erreichbaren lokalen MCP-Server | AML.T0132, AML.T0006.002, AML.T0049 | keine | keine |
| mcp-14-cross-tool-poisoning | Demo für werkzeugübergreifende Kontextvergiftung (zwei Server) | AML.T0110.002, AML.T0080.001, AML.T0051.001 | LLM01:2025 | ASI01, ASI06 |
Angriffe auf Agent-Skills (feintkit-skills)
Loopback-Ports 47200 bis 47299.
| Szenario | Titel | ATLAS | OWASP LLM | OWASP Agentic |
|---|---|---|---|---|
| skill-01-prompt-injection | Demo-Skill für Prompt Injection über einen Skill | AML.T0115.002, AML.T0110.000, AML.T0051.001 | LLM01:2025 | ASI01, ASI04 |
| skill-02-rug-pull | Demo-Skill für Skill-Rug-Pull | AML.T0109, AML.T0115.002 | LLM03:2025 | ASI04 |
| skill-03-impersonation | Demo-Skill für Skill-Identitätsvortäuschung/Typosquatting | AML.T0074, AML.T0073, AML.T0010.005 | LLM03:2025 | ASI04 |
| skill-04-bundled-script | Demo-Skill mit mitgeliefertem bösartigem Skript | AML.T0110.001, AML.T0050, AML.T0011.002 | LLM03:2025 | ASI04, ASI05 |
| skill-05-trigger-hijack | Demo-Skill für Skill-Trigger-Hijacking | AML.T0110.000 | LLM01:2025 | ASI01, ASI02 |
| skill-06-shadowing | Demo-Skill für Skill-Shadowing / Vorrang nach Geltungsbereich | AML.T0074, AML.T0110.000 | LLM03:2025 | ASI04 |
| skill-07-allowed-tools | Demo-Skill mit zu weit gefassten allowed-tools | AML.T0053 | LLM06:2025 | ASI03 |
| skill-08-poisoned-references | Demo-Skill mit vergifteten Referenzdateien | AML.T0051.001, AML.T0110.000 | LLM01:2025 | ASI01 |
Prompt- und Kontext-Injection (feintkit-injection)
Loopback-Ports 47300 bis 47399.
| Szenario | Titel | ATLAS | OWASP LLM | OWASP Agentic |
|---|---|---|---|---|
| inj-01-web-page | Demo für indirekte Injection über eine Webseite | AML.T0051.001, AML.T0093 | LLM01:2025 | ASI01 |
| inj-02-document | Demo für indirekte Injection über E-Mail/Dokument/PDF | AML.T0051.001, AML.T0093 | LLM01:2025 | ASI01 |
| inj-03-scm-text | Demo für indirekte Injection über PR-/Issue-Kommentar | AML.T0051.001, AML.T0093, AML.T0119 | LLM01:2025 | ASI01 |
| inj-04-invisible-text | Demo für Injection über unsichtbaren Text | AML.T0068, AML.T0051.001 | LLM01:2025 | ASI01 |
| inj-05-image-ocr | Demo für Bild-/OCR-Injection | AML.T0129, AML.T0051.001 | LLM01:2025 | ASI01 |
| inj-06-config-file | Demo für das Vergiften der Agent-Konfigurationsdatei | AML.T0081, AML.T0051.001 | LLM01:2025 | ASI01, ASI06 |
| inj-07-memory | Demo für das Vergiften des Agentengedächtnisses | AML.T0080.000 | LLM01:2025 | ASI06 |
| inj-08-rag | Demo für das Vergiften von RAG / Vektorspeichern | AML.T0070, AML.T0071, AML.T0066 | LLM08:2025, LLM04:2025 | ASI06 |
| inj-09-jailbreak-corpus | Prompt-Korpus für Jailbreaks und Extraktion des System-Prompts | AML.T0054, AML.T0056, AML.T0051.000 | LLM01:2025, LLM07:2025 | keine |
| inj-12-multi-turn-split | Nutzlast, auf Gesprächsrunden verteilt | AML.T0051.000, AML.T0080.001 | LLM01:2025 | ASI01 |
| inj-13-delayed-trigger | Ruhende Anweisung, die mehrere Runden später ausgelöst wird | AML.T0051.001, AML.T0080.001 | LLM01:2025 | ASI01, ASI06 |
Exfiltration und Ausgabeverarbeitung (feintkit-exfil)
Loopback-Ports 47400 bis 47499.
| Szenario | Titel | ATLAS | OWASP LLM | OWASP Agentic |
|---|---|---|---|---|
| exf-01-markdown-image | Demo für Exfiltration über Markdown-Bilder/Links | AML.T0077 | LLM02:2025, LLM05:2025 | keine |
| exf-02-ansi-escape | Demo für Injection über ANSI-/Terminal-Escape-Sequenzen | AML.T0067, AML.T0068 | LLM05:2025 | keine |
| exf-03-insecure-output | Demo für unsichere Ausgabeverarbeitung (Dry-Run-Senken) | AML.T0050, AML.T0102 | LLM05:2025 | ASI05 |
Agentenvertrauen und Multi-Agent-Angriffe (feintkit-agents)
Loopback-Ports 47500 bis 47599.
| Szenario | Titel | ATLAS | OWASP LLM | OWASP Agentic |
|---|---|---|---|---|
| agt-01-approval-fatigue | Demo für Freigabemüdigkeit / UI-Täuschung | AML.T0067 | LLM06:2025 | ASI09 |
| agt-02-a2a-spoofing | Demo für das Fälschen von Agent-zu-Agent-Nachrichten | AML.T0118.001, AML.T0073 | keine | ASI07 |
| agt-03-computer-use-injection | Demo für Injection bei Browser-/Computer-Use-Agenten | AML.T0100, AML.T0051.001 | LLM01:2025 | ASI01 |
| agt-04-argument-smuggling | Demo für Freigabe mit eingeschmuggelten Argumenten | AML.T0053, AML.T0050 | LLM06:2025 | ASI02, ASI09 |
| agt-05-approval-bypass | Demo für das Umgehen von Freigaberegeln | AML.T0053, AML.T0050 | LLM06:2025 | ASI02, ASI05 |
| agt-06-subagent-handoff | Demo für die Übergabe an Sub-Agenten | AML.T0118.001, AML.T0053 | LLM06:2025 | ASI07, ASI01 |
| agt-07-tool-chain-relay | Demo für Weiterreichen über eine Werkzeugkette | AML.T0053, AML.T0051.001 | LLM01:2025, LLM06:2025 | ASI02, ASI01 |
KI-Lieferkette (feintkit-supplychain)
Loopback-Ports 47600 bis 47699.
| Szenario | Titel | ATLAS | OWASP LLM | OWASP Agentic |
|---|---|---|---|---|
| sup-01-slopsquat | Demo mit Canary-Paket für Slopsquatting | AML.T0060, AML.T0011.001, AML.T0010.001 | LLM03:2025, LLM09:2025 | ASI04 |
| sup-02-model-file | Demo für Nutzlastmarkierung in Modelldateien | AML.T0018.002, AML.T0011.000, AML.T0010.003 | LLM03:2025, LLM04:2025 | ASI04 |
| sup-03-marketplace-typosquat | Demo für Typosquatting im Plugin-/Erweiterungs-Marktplatz | AML.T0074, AML.T0111, AML.T0115.002 | LLM03:2025 | ASI04 |
Ressourcenmissbrauch und Forschung (feintkit-abuse)
Loopback-Ports 47700 bis 47799.
| Szenario | Titel | ATLAS | OWASP LLM | OWASP Agentic |
|---|---|---|---|---|
| abu-01-denial-of-wallet | Demo für Denial-of-Wallet durch außer Kontrolle geratene Werkzeugschleife | AML.T0034.002, AML.T0029 | LLM10:2025 | keine |
| abu-02-deferred-research | Zurückgestellte Forschung: Vergiftung von Trainingsdaten und Modellextraktion (Entscheidungsprotokoll) | AML.T0020, AML.T0018.000, AML.T0024.002 | LLM04:2025 | keine |