Hilfreich, aber gefährlich: KI-Agenten werden zur ernsten Cyberbedrohung

Agenten sind der nächste bedeutende Meilenstein in der KI: Sie recherchieren, entscheiden und handeln weitgehend ohne Aufsicht.

Gleichzeitig stellen sie jedoch das wohl bislang gravierendste Sicherheitsproblem dar – von dem noch zu wenige wissen.

Die KI entwickelt sich schnell von „Hilf mir beim Schreiben“ hin zu „Erledige die Arbeit“. Dieser Wandel verändert jedoch nachhaltig bisherige Sicherheitsansätze: Es ist nicht mehr ein Mitarbeitender, der sich bei einer SaaS-Anwendung anmeldet oder eine Datenbank abfragt. Es ist vielmehr ein Agent, der diese Aufgaben im Namen des Mitarbeitenden ausführt. Innerhalb der nächsten 12 bis 24 Monate werden die meisten Unternehmen über mehr maschinelle als menschliche Identitäten verfügen. Allerdings sind die meisten nicht darauf vorbereitet, diese auch entsprechend zu schützen.

Wenn wir es mit nicht-menschlichen Identitäten zu tun haben, wird aus „Wer hat auf was zugegriffen?“ nun: „Welcher Agent hat auf was zugegriffen, mit wessen Befugnis und unter welchen Einschränkungen?“ Die neue Zeit benötigt also eine neue Klasse digitaler Mitarbeitender, die über eigene Identitäten, Zugangsdaten und Prüfpfade verfügen. Wenn Unternehmen ihre Agenten nicht kennen, können sie diese nicht steuern. Und diese fehlende Kontrolle führt dazu, dass sich die Risiken wesentlich schneller vergrößern als die Produktivität steigt.

Wie Agenten Sicherheitssysteme umgehen

Die meisten Sicherheitsarchitekturen wurden für Menschen entwickelt und nicht für autonome Systeme, die mit Maschinen-Geschwindigkeit agieren. Sie sind für den Datenverkehr zwischen Menschen und Anwendung optimiert: Browser, Laptops und Netzwerke. Die typischen Datenströme werden durch Sicherheitsansätze wie Zero Trust oder SASE effektiv kontrolliert und die Systeme geschützt.

Agentenbasierte Systeme laufen jedoch oft serverseitig. Sie rufen Modell-APIs direkt auf und greifen dann über Service-Anmeldedaten auf interne Tools zu. Wenn diese Pfade die Kontrollpunkte nicht durchlaufen, entfallen die Durchsetzung von Richtlinien, die Protokollierung und der konsistente Schutz vor Datenverlust.

Einfach ausgedrückt: Wenn Agenten agieren können, ohne dass sie dabei von den Sicherheitsteams gesehen werden, ist man mit einer neuen, enorm gefährlichen Schatten-IT konfrontiert. 

Das Gehirn und die Hände schützen

Die meisten schwerwiegenden Vorfälle mit KI-Agenten folgen demselben Muster: Das Modell wird manipuliert und die Werkzeuge führen die (bösartigen) Befehle aus. Ein praktischer Ansatz für die Sicherheit von Agenten besteht darin, das Denken vom Handeln zu trennen. Die KI ist das Gehirn, in dem das Denken und Entscheiden stattfinden. Die Tools sind die Hände, mit denen die Handlungen in der Umgebung ausgeführt werden. Schützt man nur das Gehirn, bleiben die Hände angreifbar. Eine effektive Durchsetzung muss deshalb stets auf beiden Ebenen erfolgen.

Fünf Schritte zur wirkungsvollen Kontrolle von KI-Agenten

1. Weisen Sie jedem Agenten eine eindeutige Identität zu! Agenten benötigen ebenso wie Workloads eigene Anmeldedaten. Vermeiden Sie gemeinsam genutzte API-Schlüssel pro Team oder pro Umgebung. Anhand der Identität sollte erkennbar sein, welcher Agent, welche Anwendung und welcher Benutzer den Vorgang ausgelöst hat und in welcher Umgebung er ausgeführt wurde. Dies bildet die Grundlage für Untersuchungen und die Durchsetzung des Least-Privilege-Modells.
   
2. Setzen Sie das Least-Privilege-Prinzip in drei Dimensionen durch: Modelle, Daten und Tools! Das Prinzip der geringsten Berechtigungen für Agenten ist kein leeres Schlagwort. Es bildet die Grundlage für den kompletten Einsatz. Agenten sollten nur Zugriff auf die Modelle, Daten sowie Tools und Aktionen haben, die zur Ausführung ihrer Aufgaben notwendig sind. Ohne diese Einschränkung können Agenten unbeabsichtigt zu Instrumenten für den Datenexport werden.
   
3. Führen Sie KI-Gateways ein! Ohne eine zentrale Kontrollstelle wird jedes Team KI-Modelle unterschiedlich aufrufen, verschieden protokollieren und Schlüssel uneinheitlich verwalten. Ein KI-Gateway wird zum einheitlichen Einstiegspunkt für den Datenverkehr und sorgt für die Durchsetzung von genehmigten Modell-Listen, identitätsgebundenem Zugriff, Kontingenten, Protokollierung und Schwärzungsregeln.
   
4. Überprüfen Sie Eingabeaufforderungen, Tool-Ausgaben und Antworten! Prompt-Injection und Datenlecks gehen selten nur auf Benutzereingaben zurück. Ihr Ursprung sind häufig nicht vertrauenswürdige Inhalte, die beispielsweise in Dokumenten, Ticketverläufen oder Chat-Protokollen eingebunden sind. Bei der Laufzeitüberprüfung muss entschieden werden, ob etwas zugelassen, abgelehnt, geschwärzt oder eskaliert werden soll. Eine Protokollierung ohne Durchsetzung ist lediglich eine nachträgliche Analyse.
   
5. Schalten Sie eine Sicherheitsschicht vor die Tools! Sobald ein Agent Tools nutzen kann, können Eingaben zu Aktionen werden. Behandeln Sie deshalb den Zugriff auf Tools wie die Verwaltung aller privilegierter Zugriffsrechte. Genehmigen Sie Tools ausdrücklich. Setzen Sie das Prinzip der geringsten Berechtigungen pro Tool und pro Agenten durch. Schränken Sie risikoreiche Aktionen ein und verlangen Sie (menschliche) Genehmigungen für Schreibvorgänge mit erheblichen Auswirkungen. Dies ist der effektivste Weg, um zu verhindern, dass eine einzige fehlerhafte Anweisung zu einem Cybervorfall wird.

KI-Agenten sind der neue Perimeter. Wenn man den Agenten keine Identitäten zuweist, den Modellzugriff nicht zentralisiert und die Tool-Nutzung nicht durch Genehmigungen regelt, schafft man eine neue Klasse von Insider-Risiken: unermüdlich, schnell und unsichtbar. Sollten Unternehmen deshalb auf den Einsatz von KI-Agenten verzichten? Keinesfalls, denn die Vorteile sind enorm. Unternehmen, die Agenten als identitätsgebundene, mit minimalen Berechtigungen ausgestattete und kontinuierlich verifizierte digitale Mitarbeitende behandeln, werden von den Vorteilen der Technologie profitieren – ohne die Angriffsfläche wesentlich zu vergrößern.

Autor: Pantelis Astenburg, Vice President Global Sales DACH von Versa