KI-Agenten als neue Sicherheitslücke

KI-Agenten werden zur Sicherheitslücke, wenn sie mit weitreichenden und dauerhaften Berechtigungen eigenständig handeln können. Unternehmen müssen deshalb nicht nur Zugriffe, sondern auch die konkreten Aktionen von KI-Agenten in Echtzeit kontrollieren.

Der Sicherheitsvorfall bei Hugging Face im Juli 2026 markiert eine neue Qualität des Risikos. Nach Angaben von Hugging Face begann der Angriff in der Datenverarbeitungspipeline, führte über Codeausführung und Privilegienausweitung zu seitlicher Bewegung in interne Cluster und zog den Missbrauch mehrerer Zugangsdaten nach sich. OpenAI teilte ergänzend mit, dass der Vorfall während einer internen Evaluierung cyberfähiger Modelle ausgelöst wurde und die Systeme aus einer isolierten Testumgebung heraus einen Weg in reale Infrastruktur fanden. Damit ist klar: Die Sicherheitsfrage lautet nicht mehr nur, ob ein Modell zuverlässig begrenzt ist. Entscheidend ist, welche Rechte ein KI-Agent erhält, was er damit tun kann und ob Unternehmen diese Handlungen in Echtzeit kontrollieren.

Solange KI als Assistenzsystem betrachtet wird, richtet sich der Blick vor allem auf Halluzinationen, Bias oder Guardrails. Sobald ein Agent aber auf Daten, APIs, Ticketsysteme, Cloud-Ressourcen oder produktive Workflows zugreifen darf, wird er aus Sicht der IT-Sicherheit zu einer nicht-menschlichen Identität mit operativer Wirkung. Er liest nicht nur Informationen, sondern handelt. Und jedes Handeln braucht Berechtigungen.

Das eigentliche Risiko beginnt nach dem Zugriff

Klassische Sicherheitsmodelle sind stark auf den Moment des Zugangs ausgerichtet. Ein Nutzer oder System authentifiziert sich, erhält Zugriff und wird später über Logs, Reviews oder Audits überprüft. Für agentische Systeme reicht das nicht mehr aus. KI-Agenten arbeiten schnell, verketten mehrere Schritte autonom und können in einer laufenden Sitzung Entscheidungen treffen, die niemand einzeln freigegeben hat.

Deshalb greift die rein modellzentrierte Debatte zu kurz. Selbst wenn ein Modell keine Schwachstelle im engeren Sinne hat, bleibt ein hohes Risiko, wenn es mit dauerhaften Tokens, breit vergebenen API-Keys oder überdimensionierten Servicekonten arbeitet. Dann genügt ein legitimer Login, um großen Schaden anzurichten. Das Problem beginnt in dem Moment, in dem ein Agent mit formal erlaubtem Zugang Dinge tut, für die er im jeweiligen Kontext nie hätte autorisiert sein dürfen.

KI-Agenten sind privilegierte Identitäten

Viele Unternehmen behandeln agentische KI noch wie ein Innovationsprojekt mit Sonderstatus. In der Praxis ist ein KI-Agent jedoch ein Akteur im Identity-Ökosystem des Unternehmens. Er nutzt Anmeldedaten, erbt Berechtigungen, greift auf Systeme zu und kann privilegierte Aktionen auslösen. Damit gehört er in dieselbe Sicherheitslogik wie Administratoren, Servicekonten oder andere sensible nicht-menschliche Identitäten.

Dass hier erhebliche Lücken bestehen, zeigen auch aktuelle Delinea-Daten: 90 Prozent der befragten Unternehmen berichten von Druck auf Security-Teams, Identitätskontrollen zugunsten von KI-Initiativen zu lockern. 59 Prozent sehen bei nicht-menschlichen Identitäten und KI-Agenten noch keine tragfähige Alternative zu dauerhaften privilegierten Rechten. Und 80 Prozent sagen, dass sie nicht immer nachvollziehen können, warum eine nicht-menschliche Identität eine privilegierte Aktion ausgeführt hat. Genau diese Mischung aus Beschleunigungsdruck, stehenden Rechten und fehlender Transparenz macht KI-Agenten zum Sicherheitsproblem.

Was Unternehmen jetzt anders machen müssen

Der erste Schritt ist ein Perspektivwechsel. Unternehmen sollten nicht versuchen, jede einzelne Agenteninstanz vollständig zu katalogisieren. Diese Zahl verändert sich zu schnell. Wichtiger ist, kritische Systeme, Daten und administrativen Funktionen konsequent an der Zugriffsstelle zu schützen – unabhängig davon, ob ein Mensch, ein Skript oder ein KI-Agent zugreifen will.

Zweitens müssen privilegierte Rechte konsequent reduziert werden. KI-Agenten sollten keine dauerhaften Generalschlüssel besitzen, sondern nur aufgabenbezogene, eng abgegrenzte Berechtigungen erhalten. Just-in-Time-Zugriffe, kurzlebige Secrets und kontextbasierte Freigaben verkleinern die Angriffsfläche erheblich.

Drittens braucht es Sichtbarkeit während der Sitzung, nicht erst danach. Wenn ein Agent beginnt, seine vorgesehenen Grenzen zu überschreiten, lateral zu gehen oder ungewöhnliche Aktionen auszuführen, muss dies in Echtzeit erkennbar und stoppbar sein. Nachträgliche Forensik bleibt wichtig, reicht aber nicht aus, wenn in Sekunden produktive Systeme verändert werden können.

Schließlich müssen Unternehmen sauber zwischen menschlichen und nicht-menschlichen Identitäten unterscheiden. Ein Credential allein sagt nichts darüber aus, wer oder was gerade handelt. Wer KI-Agenten sicher einsetzen will, braucht deshalb eine Governance, die Identität, Kontext, Handlung und Verantwortung zusammenführt.

Die neue Sicherheitsfrage lautet: Was darf der Agent jetzt tun?

KI-Agenten werden bleiben, und mit ihnen der Druck, Prozesse stärker zu automatisieren. Das ist kein Argument gegen agentische KI. Es ist ein Argument gegen Sicherheitsmodelle, die nur den Eintritt kontrollieren, aber nicht die Wirkung. Unternehmen müssen KI-Agenten deshalb als das behandeln, was sie technisch längst sind: nicht-menschliche Identitäten mit potenziell privilegierten Rechten, hoher Geschwindigkeit und direktem Einfluss auf kritische Systeme.

Wer diese Realität akzeptiert, verschiebt seine Verteidigung vom statischen Zugang zur dynamischen Autorisierung. Dann steht nicht mehr die Frage im Zentrum, ob ein Agent grundsätzlich ins System darf. Die entscheidende Frage lautet: Was darf er in diesem Moment, in diesem Kontext und für genau diese Aufgabe tun? Erst wenn Unternehmen darauf eine belastbare Antwort haben, wird aus agentischer KI ein Produktivitätsgewinn – und keine neue Sicherheitslücke.