Autonome KI-Agenten: Bewährte Sicherheitsprinzipien für neue Akteursklasse 

Agentenbasierte KI etabliert sich als wichtiger Transformationshebel für Unternehmen. Da KI-Agenten autonom handeln und bestehende Informationssysteme ergänzen, dürfte ihre Zahl rasch steigen. Laut Gartner wird ein durchschnittliches Fortune-500-Unternehmen bis 2028 mehr als 150.000 KI-Agenten einsetzen, gegenüber weniger als 15 im Jahr 2025. Damit wächst die Komplexität der IT-Landschaften erheblich und es entstehen neue Herausforderungen für die Cybersicherheit.

KI-Agenten handeln selbstständig, greifen auf kritische Ressourcen zu und verarbeiten sensible Daten. Deshalb brauchen sie eigene, angepasste Schutzstrategien, die konsequent umgesetzt werden. Unternehmen müssen KI-Agenten nun als eigenständige Einheiten ihres Informationssystems betrachten, mit eigener Identität, streng kontrollierten Zugriffsrechten und kontinuierlicher Überwachung. So lassen sich die Vorteile agentenbasierter KI nutzen und zugleich die Risiken durch Cyberangriffe, Modellschwachstellen und Missbrauch begrenzen.

Agentische KI: neue Akteure mit spezifischen Schwachstellen

Die größte Herausforderung ist, dass agentenbasierte Systeme oft in einer Grauzone agieren. Sie nutzen regelmäßig bestehende Servicekonten oder übernehmen die Identität menschlicher Benutzer, um Aktionen in Cloud-Umgebungen oder Datenbanken auszuführen. Aus Sicht der IT-Governance geht dadurch die Nachvollziehbarkeit von Verantwortlichkeiten verloren.

Eine sichere Integration erfordert daher, KI-Agenten als „Security Principal“ zu behandeln, also als eindeutig identifizierbare und überprüfbare Einheit auf Systemebene. Dazu zählen auch Personen, Geräte oder Dienste. Sie bilden die Grundlage für das Vertrauen in jede IT-Architektur. Jeder KI-Agent braucht somit eine eigene, unveränderliche Identität, eine Art digitale Staatsbürgerschaft, die auf einer eindeutigen Sicherheits-ID (SID) basiert.

Doch selbst mit einem soliden Identitätsmanagement bleiben die technologischen Grundlagen der KI, insbesondere die großen Sprachmodelle (LLM), angreifbar. „Jailbreaking“, also das gezielte Manipulieren von Eingabeaufforderungen (Prompts), um die internen Schutzmechanismen eines Modells zu umgehen, zählt zu den größten Bedrohungen. Dies verdeutlicht den Widerspruch, der in KI-Modellen liegt: Sie müssen flexibel genug sein, um natürliche Sprache zu verstehen, und gleichzeitig streng genug, um Sicherheitsrichtlinien einzuhalten. Angreifer nutzen genau diese Flexibilität aus, um die Modelle zu manipulieren.

Auch indirekte Angriffe stellen ein erhebliches Risiko dar. In diesem Fall wird das Modell nicht direkt vom Benutzer manipuliert, sondern über die Daten, die es verarbeitet. Fasst ein KI-Agent etwa Diskussionen in öffentlichen Foren zusammen oder analysiert externe Websites, können diese Quellen versteckten Schadcode enthalten, etwa Links, die unbemerkt Downloads auslösen. Der KI-Agent gibt diese Inhalte dann in seinen Ergebnissen wieder und wird so unbeabsichtigt zu einem Einfallstor für Cyberangriffe.

Angesichts dieser Bedrohungen stoßen herkömmliche Sicherheitsmethoden an ihre Grenzen. Klassische Software verhält sich deterministisch, KI-Modelle nicht: Dieselbe Eingabe kann je nach Kontext oder Zeitpunkt unterschiedliche Ergebnisse liefern. Eine einmalige Analyse reicht daher nicht mehr aus. Kontinuierliche Angriffssimulationen ermöglichen die Identifizierung von Fehlermustern. Frameworks wie MITRE ATLAS oder die OWASP Top 10 für LLM-Risiken bieten die notwendige Struktur, um KI-Sicherheit in bestehende Verteidigungsprozesse zu integrieren.

Die Grundlagen für eine effektive Absicherung von KI-Agenten

Die Lösung liegt nicht in einer Neugestaltung der Cybersicherheit, sondern in der konsequenten Umsetzung bewährter Prinzipien wie Zero Trust, Identitätsmanagement und kontinuierlicher Überwachung. Sobald die Identität des KI-Agenten feststeht, kann das Unternehmen verschiedene Sicherheitsmechanismen anwenden. Die Berechtigungen müssen granular sein, um dem Prinzip der minimalen Rechtevergabe zu entsprechen. Zudem sollten sie zeitlich begrenzt und kontextbezogen sein, um das Risiko der lateralen Ausbreitung im Falle eines Sicherheitsvorfalls zu verringern.

Die kontinuierliche Protokollierung ist ebenfalls ein wesentlicher Bestandteil. Jede Entscheidung und jede Handlung des KI-Agenten muss aufgezeichnet werden. Nur so ist eine lückenlose Rückverfolgbarkeit in Echtzeit gewährleistet, die für Fehleranalysen und umfassende Untersuchungen unerlässlich ist.

Generell profitieren Organisationen von einer umfassenden Strategie, die auf mehreren, aufeinander abgestimmten Säulen beruht. 

1. Benennung einer verantwortlichen Person, die für die Überwachung der KI-Agenten zuständig ist.
2. Implementierung von systematischen Zugriffsbeschränkungen sowie eines zentralen Mechanismus zur Unterbrechung verdächtigen Verhaltens.
3. Sicherstellung, dass die Berechtigungen regelmäßig überprüft werden und adaptive Vertrauensmodelle zum Einsatz kommen, die das jedem KI-Agenten gewährte Vertrauensniveau dynamisch anpassen können.

Im Mittelpunkt steht der Schutz der Daten, denn sie sind das Hauptziel von Jailbreak-Versuchen und unangemessenem autonomen Verhalten. Eine moderne Sicherheitsarchitektur muss daher Interaktionen in Echtzeit kontrollieren und gleichzeitig die Datenströme innerhalb KI-gesteuerter Workflows überwachen. Wer KI-Agenten als eigenständige Einheiten innerhalb einer Zero-Trust-Architektur betrachtet, kann ihr Potenzial zur Autonomie nutzen und behält gleichzeitig die Kontrolle über sensible Daten.

Mit der zunehmenden Verbreitung agentenbasierter KI müssen Unternehmen ihre Cybersicherheitsstrategien überarbeiten. Neben eindeutigen Identitäten für KI-Agenten und der kontinuierlichen Evaluierung der Modelle braucht es eine umfassende Sicherheitsstrategie auf Basis einer strengen Governance. KI-Systeme sind Angriffstechniken wie Jailbreaking ausgesetzt, die für Angreifer relativ einfach durchzuführen sind. Nur ein proaktiver und skalierbarer Ansatz sichert den Einsatz agentenbasierter KI und schützt gleichzeitig kritische Unternehmensdaten und -ressourcen.

Über den Autor
Steve Riley ist Vice President und Field CTO bei Netskope und verfügt über 25 Jahre Branchenerfahrung mit Fokus auf Cloud- und Cybersicherheit. Seine Arbeit umfasst die Gestaltung langfristiger Technologiestrategien sowie die Beratung von Führungskräften und Kunden. Zuvor war Herr Riley fünf Jahre lang führender Analyst bei Gartner, wo er die wichtigsten Studien im Bereich Cloud-Sicherheit verantwortete, darunter den Magic Quadrant for Cloud Access Security Brokers (CASB) und den Market Guide for Zero Trust Network Access (ZTNA). Außerdem war er in leitenden Positionen bei Riverbed Technology (stellvertretender CTO), Amazon Web Services (AWS) und Microsoft tätig, wo er verschiedene Rollen in der Sicherheitsstrategie und im technischen Programmmanagement innehatte. Steve Riley ist Fachreferent, Autor und Forscher.