PyRIT Assess
Überblick
PyRIT (Python Risk Identification Toolkit) von Microsoft automatisiert Multi-Turn-Red-Teaming und Angriffsstrategien gegen generative AI-Systeme (PyRIT).
Assess zur Operationalisierung von Red Teaming in CI oder Scheduled Jobs. Menschliche Experten interpretieren Ergebnisse und priorisieren Fixes.
Adoptionssignale
- Das Microsoft AI Red Team berichtet, dass seine Operatoren PyRIT beim Red Teaming von mehr als 100 generativen AI-Produkten intensiv nutzen und damit Schwachstellen schneller finden und mehr von der Angriffsfläche abdecken (arXiv 2501.07238).
- Version 1.0.0 erschien am 24. Juli 2026 mit einer registry-basierten Architektur für Angriffstechniken, Targets, Converter und Scorer; 1.1.0 folgte am 4. September 2026 (Releases).
- Das Projekt ist von der GitHub-Organisation
Azurezumicrosoftumgezogen und hat dort rund 4.500 Stars und 900 Forks unter MIT-Lizenz (GitHub), dazu rund 80.000 PyPI-Downloads in den 30 Tagen bis zum 30. September 2026 (PyPI Stats). - Der AI Red Teaming Agent in Microsoft Foundry setzt PyRIT-Angriffsstrategien ein und weist eine Attack Success Rate aus; Cloud-Red-Teaming läuft unter anderem in den Regionen France Central, Sweden Central und Switzerland West (Microsoft Learn).
- Das Design ist in einem Paper des Microsoft AI Red Team von 2024 beschrieben (arXiv 2410.02828); v1.0.0 übernahm Techniken aus garak, etwa Web Injection (v1.0.0 Release Notes).
Risiken
- Migrationsaufwand mit v1.0. v1.0.0 benannte Kernkonzepte um (Strategies wurden zu Techniques,
PromptConverterzuConverter), entfernte die Pre-v1-Kompatibilitätspfade und verlagerte den Konversationszustand in ein neues Speichermodell mit eigenem Migrations-Runbook (v1.0.0 Release Notes). - Nicht deterministische Bewertung. Microsofts eigene Dokumentation warnt, dass generatives Scoring False Positives erzeugen kann und Ergebnisse vor Gegenmaßnahmen zu prüfen sind (Microsoft Learn). Ein Pass/Fail-Ergebnis taugt nicht als stabiles CI-Gate.
- Red Teaming ist kein Benchmarking. Das Microsoft AI Red Team betont, dass AI Red Teaming kein Safety-Benchmarking ist und der menschliche Anteil auch mit Automatisierung entscheidend bleibt (arXiv 2501.07238). Eine niedrige Attack Success Rate beweist nicht, dass ein System sicher ist.
- Umgang mit Angriffsmaterial. PyRIT kann unzensierte Modelle nutzen, um Targets zu jailbreaken (arXiv 2501.07238); der Speicher enthält schädliche Prompts, Antworten und möglicherweise abgeflossene Daten. Läufe, Credentials und gespeicherte Transkripte gehören in eine isolierte Umgebung mit Zugriffskontrollen.
Vorteile & Nachteile
Vorteile
- Entwickelt und eingesetzt vom Microsoft AI Red Team, das dem Tool zuschreibt, seine Arbeit an mehr als 100 generativen AI-Produkten von rein manuellem Testen auf automatisierungsgestütztes Red Teaming umgestellt zu haben.
- MIT-lizenziert und modellunabhängig, mit Multi-Turn-Angriffen wie Crescendo und TAP, Prompt-Convertern und LLM-basierten Scorern, die sich gegen beliebige Modelle oder Anwendungsendpunkte richten lassen.
- Seit Juli 2026 in Version 1.0 mit stabiler Architektur; die Angriffsstrategien des AI Red Teaming Agent in Microsoft Foundry basieren auf PyRIT.
Nachteile
- Das Release 1.0 entfernte die Pre-v1-APIs und änderte das Speicherschema; Skripte und gespeicherte Ergebnisse aus 0.x müssen migriert werden.
- Ob ein Angriff erfolgreich war, bewerten generative Modelle. Ergebnisse sind daher nicht deterministisch und enthalten False Positives, die jemand prüfen muss.
- Es ist ein Werkzeugkasten für Red-Team-Fachleute, kein schlüsselfertiger Scanner: Ziele, Targets und Scorer auszuwählen erfordert Security-Expertise, und jeder Lauf verbraucht Aufrufe von Angreifer- und Scorer-Modellen.
Empfehlung
PyRIT ist mit Assess bewertet, weil die v1-API erst wenige Monate alt ist und die Bewertungen weiterhin menschliche Triage brauchen. Sinnvoll ist ein zeitlich begrenzter Spike an einer generativen AI-Anwendung, die bereits einen Staging-Endpunkt hat. Zuerst werden konkrete Ziele festgelegt (etwa Leaks des System-Prompts, schädliche Inhalte, Datenabfluss über Tools, indirekte Prompt Injection), dann laufen PyRIT-Szenarien regelmäßig gegen Staging, und die Befunde werden mit manuellen Tests und mit garak verglichen. Erfolgskriterien: neue, reproduzierbare Befunde, die manuelle Tests übersehen haben, eine beherrschbare False-Positive-Rate nach menschlicher Triage und bekannte Kosten pro Lauf.
Solange die Bewertung nicht deterministisch ist, sollte PyRIT kein blockierendes CI-Gate sein; besser sind nächtliche Läufe oder Läufe vor einem Release, deren Befunde ein Security Engineer prüft. Der Einstieg sollte direkt mit v1.x erfolgen, um eine Migration zu vermeiden. Teams auf Azure können den verwalteten AI Red Teaming Agent in Foundry mit selbst betriebenem PyRIT vergleichen, bevor sie in eigenes Tooling investieren. PyRIT ergänzt deterministische Evaluation-Suites in CI, ersetzt sie aber nicht.
Quellen
Beratung
Vom Radar zur Umsetzung
Du hast Technologien bewertet — wir helfen dir, sie sicher und messbar in produktive Systeme zu bringen.
