KI-Agenten: Nicht Prompts, sondern Berechtigungen begrenzen das Risiko

Zusammenfassung

KI-Agenten arbeiten nicht nach starren Abläufen, sondern probabilistisch: Sie wählen den aus ihrer Sicht nächsten sinnvollen Schritt, prüfen das Ergebnis und passen ihr Vorgehen an. Genau diese Improvisationsfähigkeit macht sie nützlich, stellt klassische Sicherheitsmodelle aber vor Probleme. Der vorliegende Beitrag von Token Security beschreibt diese Dynamik als „Raten im großen Maßstab“ und leitet daraus ab, dass sich das Risiko von Agenten weniger über Prompt-Filter als über ihre Zugriffsrechte steuern lässt. Denn sobald ein Agent weitreichende Berechtigungen besitzt, wird jeder Fehlgriff sicherheitsrelevant. Im Zentrum steht dabei die Identität eines Agenten: Jede Aktion läuft laut Token Security über ein Konto, einen API-Schlüssel, eine OAuth-Freigabe, eine Cloud-Rolle oder ein anderes Token. Deshalb sei die Identitätsebene die eigentliche Kontrollinstanz für agentische KI. Statt nur zu fragen, worauf eine Identität zugreifen kann, müsse festgelegt werden, worauf ein Agent zur Erfüllung seines Zwecks zugreifen sollte – und auf nichts darüber hinaus. Der Text ist ein gesponserter Beitrag von Token Security und wirbt für einen auf Sichtbarkeit, Risikoabbildung und automatische Durchsetzung absichtsbasierter Richtlinien ausgerichteten Ansatz.

Der Beitrag zeichnet KI-Agenten als Systeme, deren Verhalten sich nicht präzise vorhersagen lässt. Als Beispiel wird Claude genannt: Das Modell könne mehrere Minuten damit verbringen, eine CSV-Datei zu lesen, dann feststellen, dass es sich um einen Ordner handelt, aufgeben, ein Skript zum Auflisten des Inhalts schreiben und so doch noch ans Ziel kommen. Dieses Vorgehen sei kein Fehler, sondern eine Folge davon, wie große Sprachmodelle arbeiten: probabilistisch, adaptiv und schrittweise.

Gerade diese Eigenschaft kollidiert laut Token Security mit Sicherheitskonzepten, die auf vorhersagbaren Arbeitsabläufen beruhen. In der Praxis stünden Teams bei der Einführung von Agenten immer wieder vor denselben Zugriffsfragen: Welche Konnektoren werden tatsächlich benötigt? Welche davon brauchen Administratorrechte? Und müssen diese Berechtigungen in jeder Sitzung vorhanden sein? Eine saubere Antwort gebe es oft nicht, weil das Prinzip der minimalen Rechte schon bei klassischen Systemen schwer umzusetzen sei – für jeden Agenten und zusätzlich für jede einzelne Sitzung noch deutlich mehr.

Nach Darstellung des Unternehmens führt das häufig dazu, dass Teams den einfachsten Weg wählen und umfassende Berechtigungen vergeben. Agenten erben diese weit gefassten Rechte dann standardmäßig. Viele Organisationen könnten nicht einmal belastbar sagen, welche Agenten in ihrer Umgebung aktiv sind, welche Identitäten dahinterstehen und über welche Zugriffe sie verfügen. Token Security positioniert hier sein eigenes Angebot: Die Plattform finde alle laufenden Agenten, ordne deren riskante Zugriffe zu und setze automatisch absichtsbasierte Richtlinien durch. Zudem warnt der Text, dass „Schatten-KI“ und eine unkontrollierte Vermehrung von Agenten die Fähigkeiten vieler Sicherheitsteams bereits überholen.

Kritisch sieht der Beitrag den bisherigen Schwerpunkt vieler KI-Sicherheitsmaßnahmen. Zwei Jahre lang habe sich ein Großteil der Anstrengungen darauf konzentriert, zu formen, wie Modelle antworten: mit Guardrails, Prompt-Filtern sowie Ein- und Ausgabebeschränkungen. Solche Mechanismen seien in vielen Kontexten nützlich, griffen hier aber auf der falschen Ebene. Bei natürlicher Sprache als Schnittstelle und einer unendlichen Zahl möglicher Eingaben gebe es immer einen weiteren Weg an Filtern vorbei. Selbst ein System, das in 99 Prozent der Fälle funktioniere, scheitere strukturell, weil „ein Prozent von unendlich immer noch unendlich ist“.

Hinzu komme ein grundlegender Nachteil: Guardrails setzen erst an, nachdem der Zugriff bereits gewährt wurde. Wenn ein Agent schon Anmeldedaten für ein Produktionssystem besitzt, liegt die eigentliche Sicherheitsgrenze aus Sicht von Token Security bereits hinter ihm. Ein Filter könne beeinflussen, was ein Agent sagt, aber nicht rückgängig machen, was er tun darf.

Auch traditionelle Identitäts- und Zugriffsverwaltung stoße an Grenzen. Klassisches IAM beantworte die Frage, worauf eine Identität zugreifen kann. Für KI-Agenten reiche das nicht aus, weil zwei Agenten mit identischen Rechten völlig unterschiedlich handeln könnten – je nachdem, welches Ziel sie verfolgen. Der Beitrag illustriert das mit zwei Beispielen: Ein Agent, der eine fehlgeschlagene Bereitstellung analysiert, und ein Agent, der Daten ausschleust, könnten auf niedriger Ebene sehr ähnliche Aktionen ausführen, etwa Protokolle lesen, APIs aufrufen und auf eine Datenbank zugreifen. Im IAM sähen beide zunächst gleich aus, ihre Absicht aber nicht.

Deshalb plädiert Token Security für absichtsbasierte Sicherheit. Nicht die Frage „Worauf kann dieser Agent zugreifen?“ sei entscheidend, sondern „Worauf sollte dieser Agent zugreifen können, um seinen Zweck zu erfüllen – und auf nichts mehr?“ Erst wenn diese Absicht modelliert sei, ließen sich Berechtigungen eng zuschneiden. Alles außerhalb dieses Rahmens werde dann nicht mehr als gewöhnliche Anomalie, sondern als relevantes Sicherheitssignal behandelbar.

Zur Größenordnung verweist der Beitrag auf Palo Alto Networks. Demnach liegt das Verhältnis nicht-menschlicher zu menschlichen Identitäten bei 109 zu 1, darunter 79 KI-Agenten. Agenten beschleunigten diese Entwicklung, weil sie sich in wenigen Minuten aufsetzen ließen und oft ohne Sicherheitsprüfung entstünden. Jede ihrer Aktionen laufe letztlich über eine Identität – etwa ein Service-Konto, einen API-Schlüssel, eine OAuth-Freigabe, eine Cloud-Rolle oder ein Token. Genau deshalb, so die Kernthese des gesponserten Beitrags, sei die Identitätsebene die konsistente Kontrollinstanz für agentische KI.

KI-Agenten: Nicht Prompts, sondern Berechtigungen begrenzen das Risiko

Ähnliche Artikel

Neueste Artikel