Sicherheit von AI-Agenten: Wo sie in den Stack passt

Was ist die Sicherheit von AI-Agenten?

Die Sicherheit von AI-Agenten ist die Gesamtheit der Kontrollen, die begrenzen, worauf ein AI-Agent zugreifen und was er tun kann, und die ihn stoppen, wenn er gekapert wird. Sie umfasst das Modell, die Tools und MCP-Server, die der Agent aufruft, die Identität, unter der er handelt, und den Host, auf dem er ausgeführt wird.

MITRE ATT&CKs Campaign C0062 dokumentiert einen wahrscheinlichen, mit China verbundenen Spionageakteur, der Claude Code-Agenten und MCP-Tools für Aufklärung, Ausnutzung, das Ernten von Anmeldedaten und Exfiltration gegen etwa 30 Organisationen bei minimaler menschlicher Beteiligung einsetzt. Wenn Ihre Entwickler Coding-Agenten ausführen oder Ihre Teams Agenten in Salesforce integrieren, entscheiden diese Kontrollen darüber, wie weit ein gekaperter Agent kommt. Wenn Sie sie richtig umsetzen, ist schnell Schluss für ihn.

Was sind die größten Sicherheitsrisiken bei AI-Agenten?

Die größten Sicherheitsrisiken bei AI-Agenten sind Zielentführung, Tool-Missbrauch, Identitäts- und Privilegienmissbrauch, Kompromittierung der Lieferkette und Rogue Agents, alles Einträge in den OWASP Top 10 für Agentic Applications 2026.

EchoLeak (ASI01) zeigt Ziel-Hijacking ohne einen einzigen Klick: der National Vulnerability Database (NVD)-Eintrag für CVE-2025-32711 beschreibt KI-Befehlsinjektion, die es einem nicht autorisierten Angreifer ermöglichte, über ein Netzwerk Informationen aus einem KI-Assistenten für Unternehmen offenzulegen, ohne dass eine Benutzerinteraktion erforderlich war. Der Assistent verfügte über private Daten, las nicht vertrauenswürdige Inhalte und konnte Daten nach außen senden. Entfernen Sie nur eine dieser Fähigkeiten, und der Exfiltrationspfad wird geschlossen.

Bei der Salesloft-Drift-Verletzung, einem Beispiel für Identitäts- und Berechtigungsmissbrauch (ASI03) im großen Maßstab, berichtete das FBI, dass UNC6395 kompromittierte OAuth-Tokens für die Salesloft Drift-Anwendung verwendete, um auf die Salesforce-Instanzen der Opfer zuzugreifen und Daten zu exfiltrieren. Die Financial Industry Regulatory Authority (FINRA) bestätigte, dass die Verletzung mehr als 700 Organisationen betraf, und die gestohlenen Tokens ermöglichten es Angreifern, sich innerhalb von Salesforce und Google Workspace als Drift auszugeben.

Jeder Agent, der OAuth-Tokens für SaaS-Apps hält, ist derselben Gefährdung ausgesetzt, weil die Angreifer gestohlene Tokens verwendeten, nicht Prompt Injection. Diese Unterscheidung bestimmt, an welcher Stelle im Sicherheits-Stack für KI-Agenten Sie durchsetzbare Kontrollen platzieren.

Wo gehört Sicherheit in den KI-Agenten-Stack?

Sicherheit gehört in zwei Arten von Kontrollen im gesamten Sicherheits-Stack für KI-Agenten: Verhaltenskontrollen formen, was Ihr Agent versucht, während Infrastrukturkontrollen durchsetzen, was er tun kann. Erstellen Sie die Infrastrukturebene als Grenze, die Bestand hat, wenn Verhaltensleitlinien versagen.

Die Regel ist auf jeder Ebene dieselbe: Die Kontrolle muss an einem Ort liegen, den der Agent selbst mit seinen eigenen Anmeldedaten nicht erreichen oder umschreiben kann.

NISTs Beitrag zu agentischer Identität erklärt, warum eine Schicht die Last nicht allein tragen kann. Reine Modell-Schutzmechanismen sind für agentische Sicherheitsherausforderungen noch nicht gerüstet, und ein Agent, der ein Ziel verfolgt, kann mehrere Pfade sondieren, unerwartete Tools oder Daten erreichen oder verwaiste Anmeldedaten finden, um Berechtigungen zu erweitern.

Verhaltenskontrollen steuern, was ein Agent versucht

Verhaltenskontrollen verringern, wie oft Ihr Agent versucht, etwas Schädliches zu tun. Zu den Optionen gehören gehärtete System-Prompts, Prompt-Injection-Filterung an der Ingestion-Grenze, Genehmigungsschranken für Maßnahmen mit hoher Auswirkung und eine schriftlich festgelegte Governance-Richtlinie. Sie können kein sicheres Verhalten garantieren, weil das Modell Anweisungen und Daten als einen einzigen Token-Stream liest. 

Die OpenClaw-Untersuchung von MITRE ATLAS zeigt die Kosten einer fehlenden Schranke: destruktive Operationen, einschließlich der Verwendung von Anmeldedaten und externer Datenübertragung, erforderten keine Genehmigung, selbst wenn alter, nicht vertrauenswürdiger Speicher den Agenten beeinflusste. Behalten Sie die menschliche Genehmigung für diese Maßnahmen bei, aber binden Sie die Identität des Genehmigenden an die des Agenten, ein offenes Problem, das das Konzeptpapier des National Cybersecurity Center of Excellence (NCCoE) aufwirft.

Infrastrukturkontrollen entscheiden, was ein Agent tun kann

Infrastrukturkontrollen legen die tatsächliche Reichweite des Agenten über den Infrastruktur-Stack für AI-Agenten hinweg fest. Geben Sie jedem Agenten eine eindeutige nicht-menschliche Identität mit kurzlebigen, begrenzten Anmeldedaten. Beschränken Sie ihn auf zugelassene Tools und APIs. Begrenzen Sie ihn auf sandboxed Ausführung mit standardmäßig verweigerter ausgehender Netzwerkkommunikation. Verlangen Sie von MCP-Servern, die Token-Zielgruppe zu validieren, und führen Sie signierte, identitätsverknüpfte Aktionsprotokolle. Selbst ein vollständig übernommener Agent kann diese Grenzen nicht überschreiten.

NISTs Entwurf des Cyber AI Profile, NIST IR 8596, gibt Ihrem Team die Identitätsregel: „Weisen Sie jedem AI-Agenten eine eindeutige Identität und Anmeldedaten zu und behandeln Sie sie mit denselben Sicherheitsvorkehrungen wie privilegierte Benutzer.“ NIST IR 8587 wendet seine Leitlinien zum Token-Schutz immer dann an, wenn Agenten signierte Tokens verwenden, um Systeme, Daten, Tools oder APIs zu erreichen.

Auf der Tool-Ebene beginnt MCP-Sicherheit mit der MCP-Autorisierungsspezifikation, die verlangt, dass jeder MCP-Server validiert, dass Zugriffstokens speziell für ihn als vorgesehene Zielgruppe ausgestellt wurden. Das Überspringen dieser Prüfung setzt den Server den Confused-Deputy-Angriffen aus, die von den Sicherheitsanforderungen der Spezifikation abgedeckt werden.

Genehmigungsschranken benötigen denselben Schutz vor Manipulationen: in CVE-2026-25253, dokumentiert in der OpenClaw-Untersuchung, führte Cross-Site Request Forgery gegen das lokale Gateway des Agenten zu einer Konfigurationsänderung, die die Benutzerbestätigung deaktivierte. Genehmigungsschranken zählen nur dann als Infrastruktur, wenn der Agent und jeder, der ihn übernimmt, den Schalter nicht erreichen können. Ordnen Sie diese Grenzen Ihrer AI-Agenten-Architektur zu, bevor Sie entscheiden, wie Sie AI-Agenten einzeln absichern. Jeder Agent erbt die schwächste Grenze unter den Schichten, die er berührt.

Wie sichern Sie AI-Agenten ab?

Sichern Sie Ihre AI-Agenten ab, indem Sie sie inventarisieren, jede Identität eingrenzen, Allowlisting von Tools durchführen, Ausführung sandboxen, Aktionen protokollieren und irreversible Schritte mit Schranken versehen. Diese Best Practices für die Sicherheit von AI-Agenten stimmen mit CISAs Leitlinien vom Mai 2026 überein, die zusammen mit dem Australian Cyber Security Centre (ACSC) des Australian Signals Directorate (ASD) und internationalen Partnern verfasst wurden: „Beginnen Sie mit agentischen AI-Anwendungsfällen, die risikoarm und nicht sensibel sind“ und „Vermeiden Sie die Gewährung eines breiten oder uneingeschränkten Zugriffs, insbesondere auf sensible Daten oder kritische Systeme.“

1. Inventarisieren und identifizieren: Beginnen Sie mit der Erkennung, denn lokal oder außerhalb der IT-Prüfung bereitgestellte Agenten erscheinen selten in einem zentralen Identitäts-Repository. Beziehen Sie Entwickler-Workstations ein, deren MCP-Konfigurationsdateien Zugriff auf interne Services gewähren, und stellen Sie dann pro Agent eine Identität mit kurzlebigen, begrenzten Tokens bereit.
2. Ausführung einschränken: Setzen Sie erforderliche Tools und APIs auf eine Zulassungsliste, entfernen Sie unnötige Fähigkeiten vor der Produktion, sandboxen Sie die Ausführung, verweigern Sie ausgehenden Datenverkehr standardmäßig und injizieren Sie Anmeldedaten nur für die Sitzung.
3. Aktionen aufzeichnen und absichern: Aktivieren Sie signierte, identitätsverknüpfte Protokolle von Prompts, abgerufenem Kontext, Tool-Aufrufen und Ausgaben, bevor Sie Schreibzugriff gewähren. Verlangen Sie eine ausdrückliche Bestätigung für destruktive oder irreversible Maßnahmen und verwenden Sie gestufte oder rückgängig zu machende Löschungen.
4. Vor Erweiterung des Umfangs erneut ausführen: Führen Sie aufgezeichnete Aktionen in einem isolierten Produktionsklon erneut aus und erhöhen Sie die Berechtigungen eines Agenten erst, nachdem die ersten drei Schritte umgesetzt sind und die erneute Ausführung innerhalb der Blast-Radius-Grenzen bleibt.

Nicht jeder Agent benötigt diese Kontrollen in voller Stärke. Die richtige Tiefe hängt von den Berechtigungen ab, die jeder Agent besitzt.

Kontrollen an die Berechtigungen jedes Agenten anpassen

Passen Sie die Kontrollebene an die Berechtigungen an, die jede Maßnahmenklasse mit sich bringt. AWSs Agentic AI Security Scoping Matrix, wie die Cloud Security Alliance (CSA) sie erweitert hat im Dezember 2025, ordnet Agenten nach Handlungsfähigkeit und Autonomie ein.

Die Erweiterung der CSA bewertet jeden Agenten nach Berechtigungsstufe und Risikoexposition, von schreibgeschützt und risikoarm bis zu Lese-/Schreibzugriff und hohem Risiko. Ein schreibgeschützter Agent, der eigenständig handelt, birgt andere Risiken als ein schreibfähiger Agent, der eine Genehmigung erfordert. 

Wenden Sie das Modell pro Aktionsklasse in Ihrer AI-Agent-Architektur an, sodass ein Agent Protokolle eigenständig lesen kann und jedes Schreiben, Senden, Ausgeben oder Löschen auf eine Person wartet. Die Eindämmung hängt davon ab, genau zu wissen, worauf ein kompromittierter Agent zugreifen könnte. Erfassen Sie daher jetzt den Umfang jedes Agenten.

Wie finden und begrenzen Sie einen kompromittierten AI-Agenten?

Erkennen Sie kompromittierte Agenten anhand semantischer, infrastruktureller und identitätsbezogener Indikatoren und begrenzen Sie sie dann in einer Reihenfolge, die Beweise erhält. Wenn der Pod vor der Erfassung entfernt wird, geht der Rest der Kette verloren.

Semantische Indikatoren umfassen Abweichungen zwischen der ursprünglichen Anfrage und den Tool-Call-Parametern oder zwischen einem deklarierten Tool-Call und dem, was ausgeführt wurde. Eine Zusammenfassungsaufgabe, die mit einem ausgehenden Aufruf endet, ist ein weiterer Indikator. Infrastrukturindikatoren stammen aus dem Infrastruktur-Stack des AI-Agenten: ein Inference-Container, der eine Shell startet, ein Paket installiert, in unbekannte Pfade schreibt oder unerwartete ausgehende Verbindungen öffnet. Identitätsindikatoren umfassen Anmeldeinformationen, die außerhalb der genehmigten Herkunft erstellt wurden, blockierte Aufrufe, die über einen anderen Connector erneut versucht werden, deaktivierte Protokollierung oder Genehmigungen, die gesammelt eingehen.

Sobald ein Indikator auslöst, führen Sie die Incident-Response-Phasen in dieser Reihenfolge aus:

1. Einfrieren und erfassen: Entziehen Sie dem Agenten seine Berechtigungen und stoppen Sie gleichzeitig die Ausführung. Erfassen Sie vor dem Abbau den Prompt-Verlauf mit Zeitstempeln, den abgerufenen Kontext mit Herkunftsnachweis, die Tool-Call-Sequenz, Identitätsannahmen, Aufrufe nachgelagerter Agenten und den Large Language Model (LLM)-Output-Trace. Lassen Sie die Erfassung auf Kernel-Ebene weiterlaufen.
2. Entziehen und isolieren: Entziehen Sie Tokens, API-Schlüssel und Zertifikate für die gesamte Identität, da gleichzeitige Sitzungen und MCP-Verbindungen gleichzeitig getrennt werden müssen. Isolieren Sie den Host, Container oder Workload und bestimmen Sie den Blast Radius über den Identitätsgraphen. 
3. Vertrauen unter Quarantäne stellen: Entfernen Sie den Tool- und Protokollzugriff des Agenten, während der Identitätsdatensatz erhalten bleibt. Benachrichtigen Sie nachgelagerte Systeme, die Vertrauensbeziehungen zu ihm unterhalten.
4. Beseitigen und neu bereitstellen: Stellen Sie bekannte, vertrauenswürdige Modellversionen und Konfigurationen wieder her, beheben Sie die fehlgeschlagene Grenze und stellen Sie neue Anmeldedaten erst aus, nachdem Sie verifiziert haben, dass die Umgebung sauber ist. Fordern Sie für Fälle mit hohem Schweregrad eine menschliche Validierung an.

Üben Sie die Eindämmung, bevor Sie sie benötigen: Die Notfallleitlinien der CSA CISO Community empfehlen Tabletop-Übungen für agentische KI, einschließlich eines Rogue-Agenten, der einen Dritten angreift. Ordnen Sie jeden Schritt einem der folgenden Frameworks zu, damit ein Agentenvorfall jedes Mal auf dieselbe Weise behandelt wird.

Welche Sicherheits-Frameworks für AI-Agenten sind anwendbar?

Ordnen Sie jedes Framework der Frage zu, die es beantwortet: Die OWASP Top 10 for Agentic Applications 2026 benennen, was schiefgehen kann, MITRE ATLAS zeigt, wie Angreifer es tun, CSA MAESTRO strukturiert das Bedrohungsmodell, NIST IR 8596 und IR 8587 legen Identitäts- und Token-Regeln fest, und die Leitlinien der CISA vom Mai 2026 grenzen das Einführungsrisiko ein. Für die Absicherung agentischer KI innerhalb eines Compliance-Programms liefern ISO/IEC 42001 und der EU AI Act den Governance-Rahmen.

OWASP Top 10 for Agentic Applications und Agent Control Standard

Die OWASP Top 10 for Agentic Applications 2026, veröffentlicht am 9. Dezember 2025, geben Security-Engineering- und AI-Plattform-Teams ein gemeinsames Vokabular für die zehn zuvor zugeordneten Agentenrisiken, von Zielübernahme bis zu Rogue-Agenten. Im September 2026 ergänzte das OWASP GenAI Security Project den Agent Control Standard, der diese Leitlinien in Richtung Runtime-Durchsetzung erweitert.

MITRE ATLAS

MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) ist die Wissensdatenbank zu gegnerischen Taktiken, Techniken und Fallstudien gegen KI-Systeme, strukturiert wie ATT&CK und inzwischen mit agentenspezifischen Techniken wie AI agent context poisoning und Credential Harvesting über Agenten-Tools. Threat Hunter verwenden sie, um Agentenvorfälle benannten Techniken zuzuordnen. MITRE veröffentlicht monatliche Inhaltsupdates, und v2026.09 ist mit Stand September 2026 aktuell.

CSA MAESTRO und die AI Controls Matrix

Veröffentlicht von der Cloud Security Alliance am 6. Februar 2025, CSA MAESTRO ist ein für agentische KI entwickeltes Bedrohungsmodellierungs-Framework, das ein Agentensystem in sieben Schichten unterteilt, von Basismodellen bis zum Agenten-Ökosystem. Sicherheitsarchitekten kombinieren es mit der AI Controls Matrix v1.1, veröffentlicht am 22. Juni 2026, und ihren 247 Kontrollzielen in 18 Domänen für Governance-, Risiko- und Compliance-(GRC-)Zuordnung.

NIST IR 8596 und IR 8587

Die Leitlinien von NIST für Agenten konzentrieren sich auf Identitäten und Tokens, und die beiden Dokumente befinden sich in unterschiedlichen Stadien. IR 8596, das Cyber AI Profile hinter der obigen Identitätsregel, ist weiterhin ein erster vorläufiger Entwurf vom Dezember 2025. IR 8587 zum Schutz von Tokens wurde im September 2026 finalisiert. Das NCCoE hat ein Projekt für Agentenidentität und -autorisierung vorgeschlagen, das IR 8587 zusammen mit NIST SP 800-207 und SP 800-63-4 anwendet.

CISA-Leitfaden für agentische KI

CISAs Leitfaden Careful Adoption of Agentic Artificial Intelligence (AI) Services, veröffentlicht am 1. Mai 2026 mit ASDs ACSC und anderen Partnern, gibt Entwicklern, Anbietern und Betreibern Best Practices für die Einführung agentischer Systeme an die Hand. Er nennt Privilegienausweitung, Verhaltensfehlanpassung und unklare Ereignisaufzeichnungen als Risiken, die agentische Systeme zusätzlich mit sich bringen, und fordert Organisationen auf, agentische KI in ihrem Sicherheitsmodell und ihrer Risikoposition zu berücksichtigen.

ISO/IEC 42001

ISO/IEC 42001 ist ein zertifizierbarer Standard für KI-Managementsysteme, der erstmals im Dezember 2023 veröffentlicht wurde und GRC-Teams und CISOs die Governance-Struktur vorgibt, innerhalb derer ein Agentenprogramm arbeitet. Er enthält keine agentenspezifischen Kontrollen, daher sollte er mit einem der oben genannten technischen Frameworks kombiniert werden.

EU AI Act

Der EU AI Act, Verordnung (EU) 2024/1689, ist für Anbieter und Betreiber von KI-Systemen im Geltungsbereich verpflichtend, definiert jedoch keine Kategorie für KI-Agenten. Ein Agent fällt im Rahmen des Gesetzes als KI-System darunter. Der Digital Omnibus 2026 verschob die Pflichten für Hochrisiko-Systeme ohne Einbettung auf den 2. Dezember 2027. Wählen Sie ein Sicherheits-Framework für KI-Agenten als Kontrollbasis, ordnen Sie die Verpflichtungen des Gesetzes darauf zu und verbinden Sie beides mit Tools zur Steuerung von Prompts, Identitäten, Cloud-Ressourcen, Untersuchungen und Reaktionen.

Sichern Sie KI-Agenten mit SentinelOne

Agenten handeln mit Maschinengeschwindigkeit. Die Kontrollen um sie herum müssen Schritt halten, von einem Ort aus, den der Agent nicht erreichen kann. SentinelOne Prompt Security steuert Agenten, MCP-Server und Prompts, während Singularity™ Identity den Diebstahl von Anmeldedaten und die Ausweitung von Berechtigungen zur Laufzeit stoppt. Singularity Endpoint schützt die Hosts, auf denen Agenten ausgeführt werden, und Purple AI mit Singularity Hyperautomation beschleunigt Untersuchung und Reaktion.

Prompt Security findet jeden KI-Agenten und MCP-Server in Ihrer Umgebung über ein MCP Gateway, eine Browser-Erweiterung, Sicherheits-Plugins und API-Integrationen und ordnet dann jeden Connector, jedes Tool und jedes Plugin zu, das jeder Agent berührt. Es bewertet jeden Agenten und MCP-Server hinsichtlich des Risikos, schützt vor Jailbreak-Versuchen, setzt Richtlinien dafür durch, worauf Agenten zugreifen und was sie tun können, und führt ein durchsuchbares, mit Zeitstempeln versehenes Protokoll jeder Sitzung, Aktion und jedes Tools. Singularity Identity blockiert laterale Bewegungen, automatisiert Abhilfemaßnahmen, die kompromittierte Identitäten deaktivieren, und scannt kontinuierlich nach schwachen, offengelegten oder kompromittierten Anmeldedaten in Active Directory und Cloud-Identitätsanbietern einschließlich Entra ID, Okta, Ping, Duo und SecureAuth.

Singularity Endpoint wendet Behavioral AI auf den Workstations und Cloud-Workloads an, auf denen Coding- und Desktop-Agenten ausgeführt werden. Es stoppt dateilose Malware, Supply-Chain-Angriffe und Zero-Day-Exploits in Echtzeit, online oder offline. Es kann einen kompromittierten Host autonom eindämmen, ohne auf einen manuellen Isolationsschritt zu warten, und 1-Click rollback macht nicht autorisierte Änderungen rückgängig. AI Security Posture Management in Singularity Cloud Security erkennt KI-Pipelines und Modelle in Cloud-Konten.

Purple AI™ Agentic Investigation führt Alarmanalysen durch, stellt die Beweise bereit und sagt Ihrem Security Operations Center (SOC), was als Nächstes zu tun ist. Die Business-Value-Studie von IDC ergab, dass Kunden Bedrohungen 63 % schneller identifizierten und diese 55 % schneller behoben. Singularity Hyperautomation, integriert in die Singularity Platform, führt No-Code-Response-Workflows aus, einschließlich der oben genannten Eindämmungsschritte.

Fordern Sie eine SentinelOne-Demo an und sehen Sie, wie Ihr Team jedem KI-Agenten eine Grenze setzen kann, die er nicht überschreiten kann.

Entfesseln Sie AI-gestützte Cybersicherheit

Verbessern Sie Ihre Sicherheitslage durch Echtzeit-Erkennung, maschinelle Reaktion und vollständige Transparenz Ihrer gesamten digitalen Umgebung.

Demo anfordern

Fazit

Jede Sicherheitskontrolle für KI-Agenten folgt einer Regel: Sie muss an einem Ort leben, den der Agent nicht erreichen oder umschreiben kann, selbst mit seinen eigenen Anmeldedaten. Verhaltensbasierte Kontrollen reduzieren, wie oft ein Agent etwas Schädliches versucht. Infrastrukturkontrollen setzen die harte Grenze dafür, was ein gekaperter Agent tun kann. Beginnen Sie mit der Inventarisierung, denn Sie können keinen Agenten eingrenzen, steuern oder eindämmen, von dessen Existenz Sie nichts wissen.

Von dort aus gleichen Sie die Kontrollen jedes Agenten mit der Autorität ab, die er besitzt, dokumentieren seinen Umfang, lange bevor Sie ihn eindämmen müssen, und proben die Reaktion, bevor ein Vorfall sie erzwingt. Die Frameworks benennen die Risiken bereits, und die Kontrollen zu ihrer Eindämmung existieren bereits. Errichten Sie die Grenzen jetzt, und ein kompromittierter Agent stößt auf Beschränkungen, die Ihr Team im Voraus festgelegt hat.