Agentic AI Security: Wenn KI-Agenten selbst zum Angriffsziel werden

KI-Agenten handeln autonom: Sie rufen APIs auf, schreiben in Datenbanken, senden E-Mails und treffen Entscheidungen ohne menschliche Freigabe. Laut Gartner werden bis Ende 2026 über 40 Prozent der Enterprise-Anwendungen solche Agenten integrieren. Gleichzeitig fehlen 68 Prozent der Organisationen Identity-Security-Controls für KI-Systeme (CyberArk 2025). Die Angreifer haben das verstanden: EchoLeak, eine Zero-Click-Schwachstelle in Microsoft 365 Copilot mit CVSS 9.3, brauchte nur eine gesendete E-Mail, um auf alle verbundenen Datenquellen zuzugreifen.

Warum Agents ein anderes Risikoprofil haben

Klassische LLMs sind Frage-Antwort-Systeme. Sie generieren Text. Ein KI-Agent dagegen handelt: Er kann Dateien löschen, Passwörter ändern, Code ausführen, andere Systeme aufrufen und weitere Agenten beauftragen. Ein kompromittierter Agent ist kein Chatbot der Unsinn redet. Er ist ein kompromittierter Mitarbeiter mit API-Zugang.

McKinsey dokumentiert im State of AI 2025: 23 Prozent der Unternehmen skalieren bereits mindestens einen Agentic-AI-Use-Case. Weitere 39 Prozent experimentieren. Gartner prognostiziert, dass über 40 Prozent der Enterprise-Anwendungen bis Ende 2026 task-spezifische AI Agents integrieren werden, verglichen mit weniger als 5 Prozent in 2025. Die Verbreitung explodiert. Die Absicherung nicht.

CyberArk beziffert die Lücke: 68 Prozent der Organisationen haben keine Identity-Security-Controls für KI-Systeme. 47 Prozent können Shadow AI nicht absichern. Machine Identities übersteigen menschliche Identitäten um den Faktor 82 zu 1. Jeder Agent ist eine weitere Machine Identity mit potenziell privilegiertem Zugang.

Quellen: CyberArk 2025, Gartner Juni 2025

Die vier gefährlichsten Angriffsvektoren

1. Prompt Injection. Angreifer manipulieren den Agent über versteckte Anweisungen in Dokumenten, E-Mails oder Webseiten, die der Agent verarbeitet (Indirect Prompt Injection). OWASP listet Prompt Injection seit zwei Jahren als Nr. 1-Risiko. Die Erfolgsraten sind alarmierend: NIST dokumentiert 57 Prozent über fünf verschiedene Injection-Tasks. Bei KI-Coding-Editoren wie GitHub Copilot erreichen spezialisierte Frameworks bis zu 84 Prozent. Google Gemini zeigt selbst nach Anwendung aller Schutzmaßnahmen noch 53,6 Prozent Anfälligkeit.

Realer Vorfall: EchoLeak (CVE-2025-32711). Microsoft 365 Copilot enthielt eine Zero-Click-Schwachstelle mit CVSS-Score 9.3. Ein Angreifer musste lediglich eine E-Mail senden. Der Angriff funktioniert ohne Klick und ohne Phishing-Link. Die Schwachstelle kombinierte einen CSP-Bypass mit einer LLM Scope Violation und ermöglichte den Zugriff auf alle mit dem Agenten verbundenen Datenquellen.

2. Tool Poisoning und MCP-Angriffe. Das Model Context Protocol (MCP) ist der neue Standard, über den AI Agents externe Tools anbinden. Angreifer verstecken maliöse Anweisungen in Tool-Beschreibungen, sichtbar für das LLM, aber nicht für den Nutzer. Invariant Labs demonstrierte 2025, wie ein maliöser MCP-Server die gesamte WhatsApp-Historie eines Nutzers exfiltrierte. Eine Studie auf arxiv zeigt: 5 Prozent aller Open-Source-MCP-Server sind bereits mit Tool-Poisoning-Angriffen präpariert.

3. Excessive Agency. Agenten haben mehr Berechtigungen als sie brauchen. OWASP beschreibt drei Ursachen: zu viele Funktionen (der Agent kann mehr als nötig), zu breite Berechtigungen (Tools operieren mit Admin-Rechten statt Least Privilege) und zu viel Autonomie (Hochrisikoaktionen ohne Human-in-the-Loop). Das Prinzip der minimalen Berechtigung, in der Cloud-Security längst Standard, wird bei Agents systematisch ignoriert.

4. Supply-Chain-Angriffe auf Agent-Infrastruktur. Im August 2025 wurden maliöse Versionen des NX-Pakets über NPM verbreitet, nachdem das GitHub-Konto des Herstellers kompromittiert wurde. Der Angreifer nutzte lokal installierte AI-Tools wie Claude und Gemini, um sensible Daten aus den Entwicklungsumgebungen zu exfiltrieren. KI-Agents werden damit sowohl Ziel als auch Werkzeug von Supply-Chain-Angriffen.

„Agenten erhalten nur die minimal notwendige Autonomie für klar abgegrenzte Aufgaben.“
OWASP Top 10 for Agentic Applications, Kernprinzip „Least Agency“ (Dezember 2025)

OWASP Agentic Top 10: Der neue Rahmen

Im Dezember 2025 veröffentlichte OWASP eine eigene Top-10-Liste für Agentic Applications, separat von der klassischen LLM Top 10. Über 100 Security-Forscher haben über ein Jahr daran gearbeitet. Die Liste definiert zehn Risikokategorien spezifisch für autonome Agenten: von Agent Goal Hijack (über Prompt Injection das Ziel des Agenten umlenken) über Tool Misuse (legitime Tools unbeabsichtigt missbraucht) bis zu Cascading Failures (Fehler kaskadieren durch automatisierte Pipelines) und Human-Agent Trust Exploitation (Agents täuschen Operatoren durch überzeugende Erklärungen).

Für IT-Security-Teams ist die OWASP Agentic Top 10 der wichtigste Referenzrahmen für die Bewertung von Agent-Deployments. Sie liefert konkrete Mitigations pro Risikokategorie und basiert auf dokumentierten Vorfällen, nicht auf Theorie.

Was IT-Security-Teams jetzt tun sollten

1. Agent-Inventar erstellen. Welche KI-Agenten laufen in der Organisation? Welche Tools können sie aufrufen? Welche Daten können sie lesen und schreiben? 47 Prozent können Shadow AI nicht absichern. Bevor man schützen kann, muss man wissen was existiert.

2. Least Agency durchsetzen. Jeder Agent bekommt nur die Berechtigungen, die er für seine spezifische Aufgabe braucht. Admin-Tokens, Vollzugriffs-API-Keys und uneingeschränkter Dateisystemzugang bleiben tabu. Bei jeder Hochrisikoaktion: Human-in-the-Loop erzwingen.

3. MCP-Server auditieren. Welche externen Tools sind über MCP angebunden? Wer betreibt sie? Sind die Tool-Beschreibungen geprüft? 5 Prozent der Open-Source-MCP-Server sind bereits kompromittiert. Nur verifizierte, selbst gehostete oder auditierte MCP-Server verwenden.

4. Identity Controls für Agents implementieren. Jeden Agent als Machine Identity behandeln: eigene Credentials, eigene Rotation, eigenes Monitoring. Nicht die Credentials des menschlichen Nutzers durchreichen.

5. Incident Response für Agent-Kompromittierung definieren. Was passiert wenn ein Agent manipuliert wird? Wie wird er isoliert? Welche Aktionen müssen rückgängig gemacht werden? Agent-Incidents eskalieren schneller als menschliche, weil Agents schneller handeln als Menschen reagieren.

Fazit: Agents sind Mitarbeiter mit API-Zugang

KI-Agenten sind keine Chatbots. Sie sind autonome Akteure mit Systemzugang. Jeder Agent braucht die gleiche Security-Behandlung wie ein privilegierter Mitarbeiter: Identitätskontrolle, minimale Berechtigungen, Überwachung und Incident-Response-Pläne. Wer 2026 Agents deployt ohne diese Grundlagen, baut damit Angriffsfläche auf.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Was unterscheidet einen KI-Agenten von einem Chatbot?

Ein Chatbot generiert Text. Ein Agent handelt: Er ruft APIs auf, schreibt in Datenbanken, sendet E-Mails und trifft Entscheidungen autonom. Ein kompromittierter Agent kann realen Schaden anrichten, nicht nur falschen Text produzieren.

Was ist Prompt Injection?

Angreifer schleusen Anweisungen in Daten ein, die der Agent verarbeitet (Dokumente, E-Mails, Webseiten). Der Agent führt diese Anweisungen aus, als kämen sie vom Nutzer. Erfolgsraten liegen bei 57 bis 84 Prozent je nach System und Methode.

Was ist das Model Context Protocol (MCP)?

Ein Standard, über den AI Agents externe Tools anbinden. Angreifer können maliöse Anweisungen in MCP-Tool-Beschreibungen verstecken. 5 Prozent der Open-Source-MCP-Server sind bereits kompromittiert.

Gibt es einen Security-Standard für AI Agents?

OWASP hat im Dezember 2025 die Top 10 for Agentic Applications veröffentlicht. NIST arbeitet am Cybersecurity AI Profile (IR 8596). Beide sind die aktuell besten Referenzrahmen für die Absicherung von Agent-Deployments.

Was muss ich als Erstes tun?

Agent-Inventar erstellen (welche Agents laufen, welche Tools nutzen sie), dann Least Agency durchsetzen (minimale Berechtigungen) und MCP-Server auditieren. Ohne Inventar gibt es keine Absicherung.