Agentic AI in der Sicherheit: Fehlender Kontext führt zu falschen Entscheidungen

Der Beitrag unterscheidet klar zwischen klassischen Large Language Models und agentischer KI. Für LLMs ist der Kontext im Wesentlichen das Eingabefenster aus Anfrage und Antwort; er ist zustandslos. Agentische KI verfolgt dagegen ein Ziel und arbeitet mit einem zustandsbehafteten Kontext, der alles umfassen kann, was das System sehen und nutzen darf, um dieses Ziel zu erreichen.

Das hat unmittelbare Folgen für Sicherheitsentscheidungen. Wenn der Kontext etwa nicht abbildet, welche Bedeutung ein bestimmtes Gerät für die Geschäftskontinuität hat, kann ein System das sofortige Abschalten als sinnvolle Reaktion einstufen, ohne die geschäftlichen Folgen zu berücksichtigen. Der Artikel beschreibt, dass ein Agent so lange auf sein Ziel hinarbeitet, bis Vorschlag und Rückmeldung des LLM zueinander passen. Ist das System dafür ausgelegt, kann es die vorgeschlagene Maßnahme anschließend automatisch und, soweit erlaubt, auch autonom umsetzen – bis hin zur Isolation oder Abschaltung von Geräten.

Salmona beschreibt darin die zentrale Gefahr: Automatisierung ohne verifizierten Kontext sei letztlich nur ein schnellerer Weg, sich im großen Maßstab zu irren. Zu wenig Kontext sei dabei besonders problematisch. Wie Menschen bei Wissenslücken Annahmen treffen, könne auch ein Agent Informationen erfinden, um Lücken in seinem Kontext zu schließen. Das erhöhe das Risiko von Halluzinationen und damit von falschen Entscheidungen, die mit hoher Sicherheit vorgetragen werden.

Aber auch zu viel Kontext ist laut Beitrag keine Lösung. Dann drohten langsamere Schlussfolgerungen, nachlassende Leistung, ein Abdriften vom eigentlichen Ziel, das Pendeln zwischen unvereinbaren Handlungen und potenzielle Halluzinationen, wenn lose zusammenhängende Daten künstlich miteinander verknüpft werden. Hinzu kommt, dass sich die reale Umgebung fortlaufend verändert. Der Kontext eines Agenten muss deshalb ständig aktualisiert werden.

Als besonders anschauliches Beispiel dient der Einsatz im SOC. Dort ist nicht das Sammeln von Daten das Problem, sondern deren Interpretation. Analysten erhalten bereits heute große Mengen an Warnmeldungen aus EDR, NDR, XDR, SIEM, SOAR, IAM und Bedrohungsinformationsplattformen; hinzu kommen laut Beitrag auch SBOMs mit Schwachstellendetails. Agentische KI könnte diese Warnungen in Maschinengeschwindigkeit priorisieren. Das spart Zeit und Kosten, birgt aber laut SecurityWeek einen gravierenden Nachteil: Rohwarnungen werden ohne vorgelagerte Einordnung durch SOC-Experten in den Agenten eingespeist, und daraus abgeleitete Entscheidungen werden vom Management akzeptiert, obwohl die Begründung oft nicht sichtbar ist.

Adam Irwin, Managing Partner bei Heligan Strategic Advisory, formuliert das zugespitzt: Kein Vorstand würde reine Zahlen ohne Prüfpfad akzeptieren, dennoch würden viele Organisationen Informationen übernehmen, die Freigaben und Entscheidungen prägen, ohne Einblick in deren Herleitung zu haben. Auch wenn ein Mensch in den Prozess eingebunden ist, bleibt die Empfehlung eines Agenten laut Beitrag oft zu grob – etwa in Form von „kritisch“, „mild“ oder einer simplen Punktbewertung.

Einen anderen Ansatz schildert Obbe Knoop, Gründer und CEO von Lanxit. Sein „Security Decision Intelligence Layer“ nutzt zwar künstliche Intelligenz, ist nach seiner Darstellung aber kein agentisches KI-System. Knoop hält agentische KI derzeit nicht für reif genug, um ihr autonome Maßnahmen anzuvertrauen. Stattdessen sammelt sein Ansatz den jeweils aktuellen Kontext aus Quellen wie VPN-Gateway, Identitätslösung wie Okta, Active Directory, CrowdStrike, Bedrohungsinformationen, CMDB sowie Geschäftsstruktur, Zweck und Mitarbeitern des betroffenen Bereichs.

Das System liefert laut Knoop innerhalb weniger Minuten eine Empfehlung, erklärt aber auch, warum es zu dieser Einschätzung kommt und was der Nutzer tun sollte. Fehlt die Grundlage für eine klare Bewertung, soll es ausdrücklich mitteilen, dass nicht genug Kontext vorhanden ist, statt eine geraten wirkende Maßnahme zu empfehlen. Die endgültige Entscheidung bleibt beim Nutzer. Allerdings nennt der Beitrag auch hier eine Einschränkung: Selbst CMDBs können vom tatsächlichen Zustand abweichen und damit keinen verlässlichen Ist-Zustand garantieren.

Der Text kommt zu dem Schluss, dass der Nutzen agentischer KI stark davon abhängt, wie gut relevanter Kontext für jedes Ziel erfasst, abgeglichen und erklärt wird. Fortschritte sieht der Beitrag sowohl bei der Kontexterhebung als auch bei der Fähigkeit von Systemen, Entscheidungen besser zu begründen. Ob und wo aus autonomen Entscheidungen tatsächlich autonome Maßnahmen werden sollten, lasse sich aber erst belastbar beurteilen, wenn solche Systeme über längere Zeit beobachtet werden.