100 KI-Agent-Sicherheitsevaluierungsergebnisse zeigen: Unternehmen müssen vor der beschleunigten Einführung ihre Kontrollgrenzen neu überprüfen

Die Sicherheitsbewertung von 100 AI Agents zeigt: Unternehmen müssen ihre Kontrollgrenzen vor einer beschleunigten Einführung neu überdenken

Im vergangenen Jahr haben Unternehmen ihre Investitionen in AI Agents deutlich hochgefahren, doch Sicherheitsforscher warnen den Markt: Je leistungsfähiger der Agent, desto größer ist oft die Angriffsfläche. Laut einem von SecurityWeek zitierten Bericht von Adversa AI wurden 100 AI Agents einer Sicherheitsbewertung unterzogen und anhand des „AI Risk Quadrant“ entlang von drei Dimensionen verglichen: verwundbare Angriffsfläche, potenzielle Schadensauswirkung und Stärke der Verteidigungskontrollen. Das Ergebnis ist nicht ermutigend – unter den 100 getesteten Agents wurden nur 11 als „capable well-defended“ (leistungsfähig und zugleich gut abgesichert) eingestuft.

Die Bedeutung dieser Studie liegt nicht darin, ob ein bestimmtes Produkt „sicher“ ist, sondern darin, dass sie eine breitere unternehmerische Realität offenlegt: Agentic AI bündelt traditionelle Software-Risiken, Identitätsrisiken, Datenrisiken und Risiken automatisierter Ausführung auf derselben Kontrollebene. Für CISOs, IT-Leiter und Sicherheitsarchitekten bedeutet das: AI Agents sollten nicht nur als Produktivitätsfunktion betrachtet werden, sondern als hochvertrauenswürdige Systeme und risikoreiche Automatisierungssysteme verwaltet werden.

Kernergebnis: Fähigkeiten und Schutz geraten in eine „Umkehrung“

Adversa AI führt in der Analyse ein zentrales Konzept ein: power-protection inversion (Umkehrung von Fähigkeiten und Schutz). Vereinfacht gesagt gilt: Je eher ein Agent komplexe Aufgaben bewältigen kann und je näher er an geschäftskritischen Prozessen arbeitet, desto mehr Berechtigungen, desto mehr Zugriff auf Daten und desto mehr externe Handlungsmöglichkeiten benötigt er in der Regel. Genau diese Fähigkeiten vergrößern jedoch die Schäden, falls der Agent missbraucht oder übernommen wird.

Die Studie fasst das Problem als „lethal trifecta“ (tödliche Dreierkombination) von AI Agents zusammen:

1. die Fähigkeit, auf private Daten zuzugreifen 2. die Fähigkeit, mit nicht vertrauenswürdigem Inhalt in Kontakt zu kommen 3. die Fähigkeit, ausgehende Aktionen auszuführen

Wenn diese drei Faktoren zusammen auftreten, lassen sich Agents leichter durch Prompt-Injection, Kontextverschmutzung, Berechtigungsmissbrauch oder Aktionsübernahme ausnutzen. Nach der Formulierung der Studie erfüllen 98 % der getesteten Systeme diese Struktur. Das bedeutet nicht, dass diese Systeme zwangsläufig kompromittiert werden, aber es bedeutet, dass Unternehmen sie bei der Bereitstellung standardmäßig als hochriskante Automatisierungsgrenze und nicht als gewöhnliche Anwendungsgrenze behandeln müssen.

Welche Arten von Agents sind riskanter? Computer- und Coding-Agents verdienen besondere Aufmerksamkeit

Die Studie hebt zwei besonders risikobehaftete Kategorien hervor: computer agents (Computer-Agents) und coding agents (Coding-Agents).

1）Computer-Agents: Wenn sie außer Kontrolle geraten, geht es um mehr als nur „eine falsch bediente Anwendung“

Computer-Agents verfügen typischerweise über die Fähigkeit, Desktop-Umgebungen, Browser, Systemoberflächen und sogar ganze Betriebssysteme zu bedienen.Computer-Agents verfügen in der Regel über die Fähigkeit, Desktop-Umgebungen, Browser, Systemoberflächen und sogar vollständige Betriebssysteme zu bedienen. Ihr ursprünglicher Zweck ist es, Aufgaben im Namen der Nutzer zu erledigen, doch um diese Aufgaben auszuführen, benötigen sie oft weitreichende Berechtigungen auf Systemebene.

Das führt zu zwei Problemen auf Unternehmensebene:

• Angreifer können eine größere Endgeräte-Kontrollfläche erlangen: Wenn ein solcher Agent dazu gebracht wird, bösartige Schritte auszuführen, kann sich das Risiko von einer einzelnen Anwendung auf das gesamte Endgerät ausweiten.
• Unzureichende Sichtbarkeit für Nutzer: Studien weisen darauf hin, dass Menschen meist nur die „Aufgabeneingabe“ und die „Ergebnisausgabe“ sehen, jedoch nicht, worauf der Agent dazwischen tatsächlich zugegriffen, welche Ressourcen er aufgerufen oder welche Systemzustände er verändert hat.

Für Unternehmen bedeutet das: Wenn solche Agents in Büroumgebungen, Finanzprozesse, HR-Abläufe oder IT-Operations-Konsolen integriert werden, besteht das Risiko nicht nur in einem „falschen Klick“ oder einer Fehlbedienung, sondern darin, Terminalberechtigungen, Datenzugriff und automatische Ausführung zu einem einzigen, kapernbaren Pfad zu bündeln.

2）Coding-Agents: direkter Einstieg in die Software-Lieferkette

Die Risiken von Coding-Agents sind näher an der Entwicklungs- und Bereitstellungskette von Unternehmenssoftware angesiedelt. Die Analyse von Adversa betont, dass solche Agents nicht nur Codevorschläge erzeugen, sondern möglicherweise auch mit Shell, Abhängigkeiten, Tokens, Konfigurationsdateien und Deploy-Pipelines in Berührung kommen.

Das bedeutet: Wird ein Coding-Agent missbraucht, sind die potenziellen Folgen nicht nur die Generierung unsicheren Codes, sondern auch:

• Zugriff auf Entwicklungsschlüssel oder Tokens
• Änderung von Build- und Testprozessen
• Einbringen risikoreicher Abhängigkeiten
• Beeinflussung von Vorab- oder Produktionsumgebungen
• Zugriff auf sensible Assets schon vor der Codeprüfung

Für Organisationen, die DevOps, Plattformengineering oder interne Low-Code-/„Vibe-Coding“-Ansätze nutzen, ist der Wirkungsbereich solcher Agents besonders groß, weil sie das Risiko direkt in die Software-Lieferkette hinein verlagern. Unternehmen dürfen daher nicht nur den finalen Code-Diff prüfen, sondern müssen auch kontrollieren, welche Aktionen der Agent ausgeführt, auf welche Geheimnisse er zugegriffen und welche externen Verbindungen er durchlaufen hat.

Geschäftliche Auswirkungen: kein einzelnes „Modellsicherheits“-Problem, sondern ein Problem der Geschäftssteuerung

Aus Unternehmenssicht wirkt sich die Sicherheit von AI Agents mindestens auf vier Ebenen aus.

1）Operatives Risiko

Wenn ein Agent falsch autorisiert ist oder über Prompt-Injection ausgenutzt wird, kann er direkt falsche Aktionen ausführen, etwa fehlerhafte E-Mails versenden, auf Systeme zugreifen, auf die er nicht zugreifen sollte, Ticket-Status ändern, Automatisierungsabläufe auslösen oder in integrierten Umgebungen versehentlich externe APIs aufrufen. Für Unternehmen, die auf Automatisierung angewiesen sind, kann dies zu Prozessunterbrechungen, manuellen Rückrollen und Geschäftsverzögerungen führen.

2）Finanzielles Risiko

Ein Agent mit hohen Rechten kann zu Fehlverwendung von Ressourcen, stark steigenden Cloud-Kosten, missbräuchlicher Nutzung von Lizenzen oder – in Code- und Bereitstellungsszenarien – zu teuren Behebungsmaßnahmen führen. Wenn ein Agent in Kundenservice-, Vertriebs- oder Transaktionsprozessen eingesetzt wird, können Fehlhandlungen zudem unmittelbar zu Umsatzverlusten führen.

3）Compliance- und Audit-RisikoWenn KI-Agenten mit personenbezogenen Daten, Finanzdaten, regulierten Daten oder grenzüberschreitenden Daten in Berührung kommen, müssen Unternehmen folgende Fragen beantworten:

• Wer hat den Agenten autorisiert?
• Auf welche Daten hat er zugegriffen?
• Ist jeder einzelne seiner Schritte auditierbar?
• Entspricht dies den Anforderungen an Least Privilege, Datenminimierung und Nachvollziehbarkeit?

Wenn Unternehmen keine klaren Protokolle bereitstellen können, wird der KI-Agent zu einem blinden Fleck im Audit. Für Organisationen aus den Bereichen Finanzwesen, Gesundheitswesen, öffentlicher Sektor und kritische Infrastruktur ist dies besonders sensibel.

4）Marken- und Vertrauensrisiken

Nutzer interessiert nicht, wie „theoretisch intelligent“ der Agent ist, sondern ob er Informationen preisgibt, Fehlbedienungen ausführt oder schwer nachvollziehbare Entscheidungen trifft. Ein einzelner sichtbarer Fehler kann das Vertrauen von Kunden, Partnern und internen Mitarbeitenden in Automatisierungssysteme untergraben. Für Unternehmen, die eine KI-Transformation vorantreiben, führt ein solcher Vertrauensverlust oft dazu, dass nachfolgende Einführungen verzögert werden.

Dies spiegelt einen Branchentrend wider, kein isoliertes Phänomen

Der bemerkenswerteste Aspekt dieser Studie ist, dass sie nicht einen einzelnen Sicherheitsvorfall beschreibt, sondern einen strukturellen Trend offenlegt – die Geschwindigkeit des Wachstums von KI-Fähigkeiten übertrifft die Geschwindigkeit, mit der traditionelle Sicherheitskontrollen an automatisierte Systeme angepasst werden.

Die Schlussfolgerung von Adversa weist auch auf ein Marktphänomen hin: Viele Anbieter betonen „Fähigkeiten“ und „Effizienz“ stärker, bieten aber zu verifizierbaren Schutzmechanismen unzureichende öffentliche Erläuterungen. Für Unternehmen als Käufer bedeutet dies, dass bei der Bewertung von KI-Agenten nicht nur gefragt werden darf: „Was kann er tun?“, sondern auch:

• Muss er auf private Daten zugreifen?
• Kommt er mit nicht vertrauenswürdigen Inhalten in Berührung?
• Kann er ausgehende Aktionen auslösen?
• Unterstützt er verifizierbare Berechtigungsgrenzen, Audit-Logs und Genehmigungen für Aktionen?
• Kann er bei Fehlfunktionen sicher heruntergestuft werden?

Mit anderen Worten: Die Sicherheit von KI-Agenten verlagert sich von einem „Modellproblem“ hin zu einem „Problem der Geschäftskontrollen und der Laufzeit-Governance“.

Handlungsempfehlungen für Unternehmen: Den Agenten wie ein System mit hohen Berechtigungen steuern

Auf Unternehmensebene

• Ein Einstufungssystem für die Nutzung von KI-Agenten etablieren und nach Datensensibilität, Aktionsberechtigung und geschäftlichen Auswirkungen klassifizieren
• Für externen Inhalt, interne Systeme und automatische Ausführung getrennte Risikobewertungen durchführen
• Klare Grenzen festlegen: „Welche Aufgaben dürfen automatisch erledigt werden und welche müssen manuell bestätigt werden?“

Identitäts- und Zugriffssteuerung

• Das Prinzip der geringsten Rechte zwingend anwenden
• Den Agenten mit einer separaten Identität statt mit gemeinsam genutzten menschlichen Konten betreiben
• Für risikoreiche Aktionen MFA, bedingten Zugriff und schrittweise Genehmigungen einführen
• Kritische Aktionen und irreversible Vorgänge zusätzlichen Prüfungen unterziehen

Technische Kontrollen

• Verwenden Sie SIEM, um das Verhalten von Agenten und Systeminteraktionen zentral zu protokollieren
• Verwenden Sie EDR/XDR, um Anomalien im Endpunkt- und domänenübergreifenden Verhalten zu überwachen
• Beschränken Sie ausgehenden Datenverkehr, API-Aufrufe und Datenabfluss
• Bewahren Sie für Ausführungspfade von Agenten überprüfbare Audit-Logs auf, nicht nur Ergebnis-Logs
• Überwachen Sie in Entwicklungsszenarien Shell-, Abhängigkeits-, Token- und CI/CD-Interaktionen

Management und Governance

• Binden Sie Incident Response-Pläne für AI Agents ein
• Bewerten Sie die Risiken von Drittanbieter-Agents, Plugins, MCP-Servern und externen Toolchains
• Etablieren Sie einen Prozess für Third-party Risk Management
• Legen Sie für „Black-Box-Automatisierung“ Eintrittsbarrieren und Ausstiegsmechanismen fest
• Überprüfen Sie regelmäßig die Berechtigungen von Agents, statt sie standardmäßig langfristig gültig zu lassen

SecurityPost Insight

Die Tests von Adversa AI an 100 AI Agents erinnern Unternehmen daran: Sicherheitsprobleme von AI Agents sind keine Zukunftsfrage, sondern ein bereits wachsendes reales Risiko. Die eigentliche Herausforderung ist nicht nur, ob das Modell „falsche Dinge sagt“, sondern ob es nach Erhalt von Datenzugriff, Inhaltszugriff und der Fähigkeit zu ausgehenden Aktionen einen einmaligen Fehler in ein ausführbares Sicherheitsereignis verwandelt. Für Unternehmen ist das Gefährlichste nicht der Einsatz von KI, sondern der Einsatz von AI Agents ohne Grenzen, Auditierung und Zugriffstrennung.

Für die Zukunft sind drei Trends besonders relevant: Erstens werden Agents weiter in Büro-, Entwicklungs-, Kundenservice- und Betriebsprozesse vordringen; zweitens werden Prompt-Injection, Berechtigungsmissbrauch und Supply-Chain-Angriffe gegen Agents systematischer; drittens werden Unternehmen schrittweise von der „Modellbewertung“ hin zu „Runtime-Governance“ und „verifizierbarem Schutz“ übergehen. Für CISOs lautet die nächste Priorität nicht, ob Agents eingesetzt werden, sondern wie sich bei ihrem Einsatz Identität, ausgehende Verbindungen, Auditierung und irreversible Aktionen weiterhin kontrollieren lassen.