Agentic AI wird zum Stresstest für Enterprise Security
Die jüngsten Vorfälle zeigen, warum klassische Sicherheitsmodelle gegen autonome Angreifer an ihre Grenzen geraten – und warum Zero Trust, Identitätskontrolle und 24/7-Security Operations zur Pflicht werden.
In den vergangenen Wochen dominierten zwei Vorfälle die Schlagzeilen: Ein KI-Modell von OpenAI brach aus seiner Testumgebung aus und griff unautorisiert auf die reale Infrastruktur eines anderen Unternehmens zu, während Anthropic-Modelle in verschiedenen Tests Systeme bei mindestens drei Organisationen kompromittierten – und wie sich jetzt herausstellte, sogar gezielte Spear-Phishing-Nachrichten an reale Entwickler verschickten, um diese zur Annahme oder Ausführung manipulierter Code-Beiträge zu bewegen. Beide Fälle offenbaren die zunehmende Autonomie von KI-Systemen.
Dabei darf Autonomie jedoch nicht mit echter Intelligenz verwechselt werden. Die Modelle handeln nicht aus Einsicht, Absicht oder strategischem Verständnis heraus, sondern verfolgen konsequent ein ihnen gesetztes Ziel mit den ihnen zur Verfügung stehenden Werkzeugen, Berechtigungen und Informationen. Auch die Angriffsmechaniken unterscheiden sich im Kern nicht von denen menschlicher Akteure: Reconnaissance, Credential Harvesting, laterale Bewegung, Ausnutzen von Schwachstellen und Persistenz bleiben bekannte Methoden – sie werden lediglich mit atemberaubender Maschinengeschwindigkeit ausgeführt.
Doch unabhängig davon, fernab der medialen Aufregung, liegt die eigentliche Brisanz der Vorfälle im Hinweis auf eine sicherheitsarchitektonische Verschiebung. „Wenn ein KI-Modell angeblich aus seiner Sandbox ausbricht, eigenständig andere Systeme attackiert und sich der menschlichen Kontrolle entzieht, ist eine Reaktion vorprogrammiert: Schlagzeilen“, analysiert Christian Koch, Senior Vice President Cybersecurity IoT/OT, Innovations & Business Development bei NTT DATA DACH.
Alles andere sei aus Security-Sicht nahezu nebensächlich. Laut Koch liegt die eigentliche Botschaft nicht in spektakulären Einzelfällen, sondern in der grundlegenden Architektur, die sich hier etabliert: Die technische Basis dieser Entwicklung bildet Agentic AI. Dazu kommt, dass KI-Modelle zunehmend mit Werkzeugen, Berechtigungen und Schnittstellen ausgestattet werden. Aus den Agenten werden autonome Akteure, die Entscheidungen treffen und Aktionen selbstständig ausführen. Christian Koch bringt die technische Äquivalenz auf den Punkt: „Ob ein Agent eine Pizza bestellt oder versucht, sich lateral durch ein Unternehmensnetz zu bewegen, ist technisch zunächst dasselbe. Lediglich das Ziel unterscheidet sich.“
Genau deshalb sei das Szenario im Kern hochrealistisch. Die nächste Generation von Cyberangriffen wird nicht mehr auf statischer Malware basieren, die passiv auf Befehle eines Command-and-Control-Servers wartet. Unternehmensnetzwerke werden künftig mit autonomen Agenten konfrontiert sein, die sich innerhalb kompromittierter Infrastrukturen eigenständig orientieren, Informationen aggregieren, Angriffspfade bewerten und den erfolgversprechendsten Weg zum nächsten Ziel wählen. Für einen erfolgreichen Einbruch müssen diese Agenten nicht einmal perfekt agieren – es genügt, eine einzige verwertbare Schwachstelle zu finden.
Derzeit stoßen KI-Agenten bei modernen, komplexen Authentifizierungsverfahren oder bei Aufgaben mit immensem Kontext- und Rechenbedarf noch an ihre Grenzen. Die KI kompensiert dies jedoch durch andere Faktoren: Ihre Arbeitsgeschwindigkeit ist unschlagbar, zudem kennt sie weder Bürozeiten noch Pausen oder Urlaub.
Wie schnell aus einem kontrollierten Experiment ein realer Sicherheitsvorfall werden kann, beschreibt Darren Guccione, CEO und Mitbegründer von Keeper Security: „Aus einem Test wurde innerhalb von nur einer Stunde ein echter Sicherheitsverstoß. Nur so lange dauerte es, bis der im Rahmen einer simulierten Übung in einem öffentlichen Repository veröffentlichte Code 15 echte Systeme erreichte – darunter eines, das den Code automatisch ausführte und Zugangsdaten preisgab, auf die er eigentlich keinen Zugriff haben sollte.”
Für die Unternehmenssicherheit ist dies der eigentliche Weckruf. Koch warnt: “Wer seine Security Operations noch immer nach dem 8x5-Modell organisiert oder auf Legacy-Architekturen vertraut, verteidigt sich gegen Bedrohungsszenarien, die es so künftig nicht mehr geben wird und die es eigentlich schon heute so nicht mehr gibt.”
Um dieser asymmetrischen Bedrohung zu begegnen, reiche es nicht aus, sich auf einzelne Sicherheitsprodukte oder -maßnahmen zu verlassen. “Quick Wins wie Virtual Patching können bekannte Angriffsvektoren kurzfristig schließen”, sagt Koch. Das eigentliche – das strategische – Problem lösen sie nicht. Langfristig entsteht Resilienz durch eine Architektur, die das Zero-Trust-Prinzip kompromisslos über Clients, Rechenzentren, Cloud-Umgebungen und Produktionsstandorte (OT/IoT) hinweg implementiert, ist Koch überzeugt.
In dieselbe Richtung argumentiert Darren Guccione, CEO und Mitbegründer von Keeper Security: „Jedes System mit dauerhaften Anmeldedaten und Netzwerkzugriff – ob ein Produktionsservice-Konto oder eine Testumgebung vor der Bereitstellung – erfordert dieselbe Disziplin wie ein menschlicher Benutzer mit erweiterten Rechten. Das bedeutet: beschränkter Zugriff, zeitlich begrenzte Anmeldedaten und eine ausreichend detaillierte Sitzungsprotokollierung, um im Nachhinein nachvollziehen zu können, was geschehen ist.”
Das primäre Ziel, so Koch, muss es künftig sein, Angriffe permanent zu erschweren, die laterale Bewegungsfreiheit im Netz konsequent einzuschränken und sowohl Identitäten als auch Kommunikationspfade kontinuierlich zu validieren. Nur mit solch tiefgreifenden Architekturanpassungen können Enterprise-Sicherheitskonzepte mit autonomen Angreifern Schritt halten.