Warum Software-Schutz für KI-Agenten nicht ausreicht Bei Agentic AI wiederholt die IT-Branche alte Fehler

Anbieter zum Thema

Aagon GmbH

FAST LTA GmbH

FTAPI Software GmbH

Autonome KI-Agenten arbeiten schon heute in Produktivumgebungen mit Datenbankzugriff, API-Schlüsseln und Systemberechtigungen. Doch ihre Absicherung basiert auf denselben softwarebasierten Guardrails, die schon 2023 bei ChatGPT-Jailbreaks versagt haben. Nur ist das Risiko diesmal ungleich größer. Es wird Zeit, dass die IT-Branche aus ihren alten, kostspieligen Fehlern lernt.

Wenn Filtermechanismen versagen und eine böswillige Manipulation der KI durchlassen, bleibt menschlichen Nutzern keine Zeit mehr zum Eingreifen. Der autonome Agent führt die eingeschleusten Angriffsbefehle direkt und mit Maschinengeschwindigkeit aus. Die Dimension dieses Risikos zeigte sich deutlich, als Anthropic im November 2024 das Model Context Protocol (MCP) veröffentlichte, das KI-Agenten die standardisierte Verbindung mit Datenbanken, Dateisystemen und Unternehmensanwendungen ermöglicht.

Bereits acht Monate nach seiner Einführung wurde eine kritische Schwachstelle entdeckt, die zu branchenweiten Notfallreaktionen führte. So startete die Cloud Security Alliance ein eigenes MCP-Sicherheitsprojekt; OWASP hat derweil Sicherheitsleitlinien für Agenten bereitgestellt.

OWASP LLM Security Top 10

Die größten KI-Risiken – und wichtigsten Schutzmaßnahmen

Acht Monate klingt rasant, vor allem im Vergleich mit der Einführung früherer Technologien. Doch das Muster ist altbekannt. Wir beobachten dieselbe Entwicklung nur im Zeitraffer: schnell implementieren, Schwachstellen entdecken, hektisch patchen. Die Frage ist, ob die Branche aus drei Jahrzehnten vergangener Sicherheitsverletzungen lernen kann, bevor autonome Agenten einen schwerwiegenden Sicherheitsvorfall verursachen.

Software kann Software nicht perfekt absichern

Bei technologischen Innovationen stehen meist die schnelle Bereitstellung und ein schlankes Design im Vordergrund. Sicherheitslücken werden geschlossen, wenn sie auftreten. Diese Strategie hat der Industrie unglaubliche Agilität verliehen. Sie hat uns gleichzeitig aber auch eine ununterbrochene Kette von Cyberrisiken und Angriffen beschert. Der Zyklus wiederholt sich in jeder Sicherheitsdomäne identisch.

Netzwerksicherheitsansätze etwa nutzten in den 1990er- und 2000er-Jahren Software-Firewalls zum Schutz der Perimeter. Angreifer kompromittierten die Firewalls durch Software-Exploits. Die Antwort der Hersteller darauf war, weitere Softwareschichten hinzuzufügen – darunter Angriffserkennung, Intrusion-Prevention-Systeme sowie Lösungen für das Security Information and Event Management (SIEM). Die Cybervorfälle setzten sich dennoch fort, bis Unternehmen schließlich hardwarebasierte Netzwerksegmentierung und dedizierte Sicherheits-Appliances implementierten.

HashJack

Neue Angriffsmethode trickst KI-gestützte Browser aus

Die Endpunktsicherheitsstrategien der 2000er- und 2010er-Jahre setzten vor allem auf signaturbasierte Antivirensoftware. Aber Cyberkriminelle entwickelten ihre Malware immer weiter, um die Erkennungsmechanismen zu umgehen. Die Reaktion der Sicherheitsbranche bestand darin, Verhaltensanalysen, Sandboxing und Endpoint Detection and Response hinzuzufügen – allesamt weitere Softwareschichten. Erst TPM-Chips und hardwaregestütztes Secure Boot als Standard stärkten die Endpoint-Sicherheit merklich.

Und auch beim Thema Cloud-Sicherheit in den 2010er- und 2020er-Jahren ließ sich dieser Zyklus beobachten. Trotz softwarebasierter Hypervisor-Isolation gelangen Akteuren VM-Escapes und Container-Breakout-Angriffe. Weitere Softwaremaßnahmen wie Kubernetes-Richtlinien, Service-Mesh-Architekturen und Zero-Trust-Frameworks konnten die Sicherheitslücken nicht beseitigen, bis Hardware-Enklaven wie Intel SGX und AMD SEV eine Isolierung auf Chip-Ebene ermöglichten.

Der gemeinsame Nenner: Software-Sicherheitsgrenzen werden immer wieder kompromittiert. Hardware – also die Ebene, auf der die Daten tatsächlich gespeichert sind – bleibt verwundbar, bis die Branche entsprechende Schutzmaßnahmen entwickelt. Mit jeder neuen Technologie beginnt der Kreislauf von vorn. Jetzt führen viele Unternehmen KI-Agenten mit Systemzugang ein, abermals geschützt durch Software-Leitplanken.

KI wird wie ein Werkzeug behandelt, wirkt aber wie kritische Infrastruktur

KI trifft falsche Entscheidungen und niemand merkt es rechtzeitig

Bei KI-Agenten wiederholt sich das alte Muster

KI-Agenten stellen einen grundlegenden architektonischen Wandel dar. Schon ein einzelner Agent mit autonomen Rechten kann ohne menschliche Kontrolle infrastrukturweite Schäden verursachen. Damit verändert sich das Bedrohungsmodell grundlegend. Wenn es keinen menschlichen Kontrollpunkt zwischen Entscheidung und Ausführung gibt, drohen im schlimmsten Fall autonome Datenexfiltration und Systemkompromittierung, und das über mehrere Umgebungen hinweg.

Leider folgen die derzeitigen Bemühungen, KI-Agenten abzusichern, dem etablierten Muster, dem Problem vor allem mit zusätzlicher Software zu begegnen. So bieten die NVIDIA NeMo Guardrails programmierbare Leitplanken für Agenten. Anthropics Constitutional AI implementiert eine wertorientierte Filterung; OpenAI bietet Moderationsendpunkte zur Inhaltskontrolle. Diese Tools zielen darauf ab, bösartige Anweisungen von vornherein von Agenten fernzuhalten. Doch es handelt sich dabei um heuristische Systeme, die auf Mustern basieren, nicht um Sicherheitsgarantien.

Andere Projekte konzentrieren sich auf die Themen Berechtigung und Überwachung. Das A2AS-Konsortium entwickelt Autorisierungsstandards für den Agentenzugriff. Unternehmen implementieren API-Ratenbegrenzung, Verhaltensanalysen und MCP-Server-Authentifizierungsprotokolle mit dem Ziel, zu begrenzen, worauf kompromittierte Agenten zugreifen können. Die Herausforderung ist, dass Agenten umfangreiche Berechtigungen benötigen, um überhaupt nützlich zu sein, und dass kompromittierte Agenten ihren legitimen Zugang missbrauchen können. Verhaltensüberwachung erkennt Anomalien zudem erst nach ihrem Auftreten.

Beide Maßnahmen – also Leitplanken und beschränkte Berechtigungen – sind notwendig, doch beide operieren innerhalb der Software-Zone. Echte und tiefgehende Verteidigung erfordert ein drittes Sicherheitslevel, das die Hardware-Ebene überwacht, also dort wirkt, wo Daten physisch gespeichert sind.

Agentenbasierte Cyberkriminalität

Warum KI-Agenten Cyberangriffe schneller und gefährlicher machen

Hardware als letzte Verteidigungslinie

Die letzten 30 Jahre haben immer wieder bewiesen, dass ein rein softwarebasierter Ansatz für die Cybersicherheit zwar schnell und leichtgewichtig, aber letztlich unzureichend ist. Wenn Sicherheitsverletzungen trotz Softwareschutzmaßnahmen an der Tagesordnung bleiben, dann ist die Lösung nicht, mehr Software einzuführen, sondern die Sicherheit schon auf Hardware-Ebene zu verankern.

Für Unternehmen bedeutet das, in den Aufbau eines ganzheitlichen Sicherheitskonzepts zu investieren, das starke Hardware-Sicherheitsmaßnahmen in Kombination mit speziell entwickelten Softwarelösungen nutzt. Es sind bereits intelligente hardwarebasierte Lösungen im Markt erhältlich, die zusammen mit Software-Sicherheitsvorkehrungen eingesetzt werden können, um die KI-Sicherheit zu verbessern.

Bei der Geschwindigkeit, mit der agentische KI eingeführt wird, hat die Branche jetzt keine Zeit mehr zu verlieren. Agenten haben bereits Zugang zu Kundendaten, Finanzsystemen und kritischen Infrastrukturen. Der potenzielle Schadensradius ist also beträchtlich. Die Frage ist, ob es erst einen bedeutenden Sicherheitsvorfall geben muss, bevor Unternehmen und Hersteller die Risiken einer reinen Softwareverteidigung für autonome KI-Systeme erkennen.

Über die Autorin: Camellia Chan ist CEO und Mitbegründerin von X-PHY Inc., einem Pionier im Bereich der hardwarebasierten Cybersicherheit. Sie leitet die Mission des Unternehmens, KI-gestützte Schutzmaßnahmen in die physische Ebene einzubetten und so proaktive, autonome Sicherheit zu ermöglichen. Mit über 40 Patenten setzt sie sich für Innovation und Inklusion in der Cyberabwehr ein.

Sicherheitspraktiken für Softwareentwicklung mit KI-Hilfe

KI-Tools in der Entwicklung schaffen neue Angriffsflächen

(ID:50880700)