KI-Agenten können eigenständig Penetrationstest-Ergebnisse erzielen, auswerten und autonom weitere Prüfschritte ableiten. Doch wie weit darf ihr Handlungsspielraum reichen?
Entscheidend sind technische Grenzen, risikogerechte Freigaben und wirksame menschliche Kontrolle an den richtigen Stellen.
Agentische KI verändert Penetrationstests. Statt vorgegebene Angriffe abzuarbeiten, kann ein Agent technische Ergebnisse erzielen, auswerten, neue Angriffshypothesen entwickeln und weitere Prüfschritte ableiten. Das macht den Einsatz interessant: Denn auch Angreifer ändern ihre Vorgehensweise, wenn ein Weg nicht zum Ziel führt.
Doch was geschieht, wenn der nächste Schritt nicht mehr vom vereinbarten Prüfauftrag gedeckt ist oder weitreichende Folgen haben könnte? Je eigenständiger ein KI-Agent agiert, desto wichtiger wird, was er selbstständig entscheiden darf. Für KI-gestütztes Pentesting wird die Grenze zwischen Autonomie und Kontrolle zu einer zentralen Frage.
Der Prüfauftrag muss zur technischen Grenze werden
Auch menschliche Pentester bewegen sich innerhalb eines vereinbarten Scopes. Der legt fest, welche Systeme, Anwendungen oder Funktionen untersucht werden dürfen und welche explizit ausgeschlossen sind. Für KI-Agenten müssen diese Vorgaben in technische Handlungsgrenzen übersetzt und bereits bei der Konzeption des agentischen Pentesting-Tools berücksichtigt werden.
Sobald der Agent neue Angriffspfade entdeckt, wird das besonders relevant. Ein Beispielszenario: Bei der Analyse einer Webanwendung entdeckt der KI-Pentest-Agent eine bislang unbekannte Administrationsoberfläche oder eine zusätzliche API, die einen möglichen Angriffspfad eröffnet. Gehört die entdeckte Komponente nicht zum Scope des Tests, darf er sie nicht eigenmächtig untersuchen. Innerhalb des freigegebenen Bereichs entscheidet er dagegen selbst, welche Angriffsfläche er als Nächstes untersucht, welche Werkzeuge er nutzt und ob er einen Ansatz weiterverfolgt oder verwirft. Den Prüfauftrag darf er dabei nicht eigenständig erweitern.
Der Handlungsspielraum muss deshalb neben Zielsystemen auch zulässige Aktionen und Testbedingungen umfassen. Erreicht der Agent eine Grenze, darf die Fortsetzung nicht von seiner eigenen Interpretation abhängen. Technisch lässt sich das etwa durch mehrere Subagenten umsetzen, die nach jeder Ausführungsrunde die Kontrolle an den Hauptagenten zurückgeben. Der Hauptagent entscheidet anhand festgelegter Bedingungen, ob eine weitere Runde startet. Zusätzlich lässt sich der Netzwerkzugriff auf die vereinbarten Ziele über einen unabhängig vom Agenten konfigurierten Proxy technisch begrenzen oder unterbrechen. So kann der Agent innerhalb seiner Vorgaben eigenständig handeln, ohne selbst über deren Grenzen oder die Fortsetzung des Tests zu bestimmen.
Autonomie ist kein An/Aus-Schalter
Wie weit diese Grenzen reichen, hängt vom Schadenspotenzial einer Aktion ab. Die Analyse bereits zugänglicher Informationen birgt andere Risiken als ein aktiver Eingriff in ein System. Deshalb sollten vor dem Test die zulässigen Aktionen anhand ihrer Eingriffstiefe, der benötigten Berechtigungen und möglicher Auswirkungen auf Daten und Systeme definiert werden.
Bei agentischen Pentesting-Systemen kann das Ergebnis eines Prüfschritts unmittelbar die Grundlage der nächsten Entscheidung bilden. Ein neu entdeckter Zugang kann etwa weitere Berechtigungen oder Angriffspfade eröffnen, die der Agent anschließend untersuchen könnte. Deshalb müssen die möglichen Folgen aufeinanderfolgender Aktionen berücksichtigt werden.
Testaktionen können Einstellungen verändern, Benutzerkonten oder Datensätze hinterlassen, deren anschließende Bereinigung aufgrund fehlender Berechtigungen nicht so einfach möglich ist. Im Rahmen eines agentischen Pentest kann es – wie bei einem manuellen Pentest auch – beispielsweise zur Sperrung von Benutzerkonten durch fehlgeschlagene Anmeldeversuche kommen.
Irreversible oder destruktive Eingriffe sowie Aktionen, die die Verfügbarkeit von Produktivsystemen gefährden könnten, sollten deshalb grundsätzlich eine menschliche Freigabe erfordern. Nicht jeder technisch erfolgsversprechende Angriffsschritt darf automatisch autorisiert sein.
Allerdings muss auch nicht jeder Prüfschritt von einem Menschen bestätigt werden. Das würde die Geschwindigkeits- und Skalierungsvorteile agentischer Systeme zunichtemachen oder zu routinemäßigen Freigaben führen. Menschliche Entscheidungen sollten sich deshalb auf risikoreiche Aktionen konzentrieren und auf überprüfbaren Informationen über die geplanten Schritte und ihre möglichen Folgen beruhen. Dafür braucht es menschliche Pentester, die sich mit dem agentischen Testtool auskennen.
Wo menschliche Expertise unverzichtbar bleibt
Ein technisch bestätigter Angriffspfad sagt für sich genommen noch wenig über das konkrete Risiko für das betroffene Unternehmen aus. Geschäftsprozesse, Schutzbedarf, vorhandene Sicherheitsmaßnahmen und betriebliche Auswirkungen bestimmen mit, wie kritisch ein Fund ist. Bewertung und Priorisierung erfordern daher die Einordnung der Ergebnisse in den Unternehmenskontext.
Gleiches gilt für Konsequenzen. Nicht jede technisch naheliegende Gegenmaßnahme ist im konkreten System sinnvoll oder mit vertretbarem Aufwand umsetzbar. Erfahrene Pentester müssen die Ergebnisse daher in konkrete Handlungsempfehlungen übersetzen und dabei Risiko, Aufwand und betriebliche Auswirkungen gegeneinander abwägen.
Der Einsatz agentischer KI verändert so die Aufgaben menschlicher Pentester. Während sich technische Prüfschritte zunehmend automatisieren lassen, gewinnen die Definition von Guardrails, Risikobewertung und Beratung an Bedeutung.
Kontrollierte Autonomie als Ziel
Mit leistungsfähigeren KI-Agenten wächst der Anteil automatisierbarer Prüfschritte. Schon bei der Entwicklung eines solchen Agenten ist festzulegen, welche Aktionen agentische KI eigenständig ausführen darf, wann eine menschliche Freigabe erforderlich ist und wie sich laufende Prüfungen unabhängig vom Agenten stoppen lassen.
Wie wichtig das ist, zeigte beispielsweise der Fall PocketOS im April 2026: Nach Angaben des Unternehmens löschte ein KI-Coding-Agent eigenständig eine Datenbank samt Backups, ohne zuvor eine menschliche Freigabe einzuholen. Technisch durchgesetzte Befugnisgrenzen für KI-Agenten sind deshalb unverzichtbar.
