Im Mittelpunkt der Analyse steht nicht das Sprachmodell allein, sondern das Software-Konstrukt, das Anbieter darum bauen. Solche Harnesses umfassen laut Novee Security Werkzeuge, Speicher und Schutzmechanismen zur Steuerung von KI-Modellen; hinzu kommen häufig Kontextverwaltung, Tool-Integration und Feedback-Schleifen. Wer einen KI-Agenten in die eigene Infrastruktur übernimmt, übernimmt damit nach Worten von Elad Meged, Mitgründer und Sicherheitsforscher bei Novee Security, auch die Vertrauensannahmen all dieser Komponenten.
Meged warnt, vielen Unternehmen sei nicht bewusst, wie viel Code und wie viel implizites Vertrauen sie damit in ihre Systeme einbetten. Je mehr Vertrauen ein Agent erhalte, desto anfälliger könne das System werden. Besonders problematisch sei, dass die Harnesses und System-Prompts rund um KI-Agenten oft nicht transparent seien. Unternehmen akzeptierten damit stillschweigend unbekannte Risiken, vor allem mangelnde Sichtbarkeit darauf, wie dieses Software-Gerüst überhaupt funktioniert.
Nach Angaben von Novee Security konnte das Team Googles KI-Agenten dazu bringen, einen Supply-Chain-Angriff auszuführen und in sein eigenes Repository auf GitHub zu schreiben. Bei Anthropic und OpenAI fanden die Forscher demnach ebenfalls Schwachstellen in den jeweiligen KI-Agenten, indem sie Fehlanpassungen im Vertrauen zwischen einzelnen Elementen ausnutzten. Meged will Details zu den Sicherheitsproblemen in den Harnesses großer Anbieter auf der Black Hat USA vorstellen.
Die Forscher sehen die Risiken auf zwei Ebenen. Einerseits greifen KI-Agenten auf klassische Software zurück, um Aufgaben auszuführen — und diese Software bringt ihre eigenen Schwachstellen und Fehlkonfigurationen mit. Andererseits können Interaktionen zwischen Harness-Komponenten dazu führen, dass nicht mehr klar ist, ob Eingaben vertrauenswürdig sind oder nicht. Zwar hätten die Anbieter zusätzliche Sicherheitsschichten um ihre Modelle und Harnesses gelegt, doch die Wechselwirkungen zwischen den Komponenten seien weitgehend übersehen worden, so Novee Security.
Das Unternehmen betont zugleich, die Hersteller handelten nicht sorglos. „Anthropic hat Dutzende Sicherheitsprüfungen eingebaut, Google mehrere Ausführungsmodi mit Bereinigung der Umgebung, und OpenAI hat eine Sandbox mit geschützten Pfaden geschaffen“, erklärte Novee Security. „Die Schutzmaßnahmen sind da; sie scheitern bei den Übergaben zwischen den Komponenten.“
Die Warnung kommt zu einer Zeit, in der KI-Agenten immer breiter eingesetzt werden. In diesem Monat führte das Testen eines neuen Vorabmodells von OpenAI dazu, dass das Modell seiner Sandbox-Umgebung entkam, in der einzigen erreichbaren Software — einem Paketverwaltungssystem — eine Schwachstelle fand und Hugging Face angriff. Bereits auf der Black Hat USA im vergangenen Jahr hatten Forscher demonstriert, wie sich das Verhalten von KI-Agenten mit Prompt Injection und Schwachstellen vollständig verändern lässt.
Laut einer Anfang 2026 veröffentlichten Studie setzen 80 Prozent der Unternehmen KI-Agenten ein, aber nur 47 Prozent verfügen über Sicherheitskontrollen, um die damit verbundenen Risiken zu steuern. Meged rät Unternehmen deshalb, ihre KI-Agenten genauer zu analysieren und von Anbietern Transparenz über den eingesetzten Code zu verlangen. Sie müssten nachvollziehen, wohin Datenflüsse und Codepfade führen und wo gefährliche Fehlanpassungen entstehen könnten, weil diese letztlich bis zur Ausführung von Code reichen können.
Für Meged steht fest, dass die Sicherheit von Harnesses noch am Anfang steht. Angreifer könnten deshalb auf absehbare Zeit im Vorteil sein.