KI-Agenten Agentic AI: Die dunkle Seite der Autonomie

Anbieter zum Thema

Dell GmbH - Technologies

d.velop AG

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

Agentic AI verändert die Spielregeln der Cybersicherheit nicht, weil plötzlich völlig neue Schwachstellen entstehen. Das Problem ist, dass bekannte Angriffsmethoden eine neue Qualität erreichen. Gelingt es den Kriminellen, die IT-Infrastruktur zu kompromittieren, erlangen sie auch die Kontrolle über die KI-Agenten.

Ein Unternehmen investiert große Summen in Agentic AI. Sicherheitsrichtlinien sind definiert, Identitäten sauber verwaltet und Prompt-Injection-Filter aktiviert. Trotzdem gelingt es einem Angreifer, die Umgebung zu übernehmen – nicht über das Sprachmodell, sondern über eine kompromittierte Firmware tief unterhalb des Betriebssystems. Von dort aus bewegt sich der Angreifer nahezu unbemerkt durch die Infrastruktur, kapert Zugriffsrechte und nutzt schließlich die vorhandenen KI-Agenten, um Angriffe zu automatisieren, Daten zu exfiltrieren oder ganze Prozesse lahmzulegen.

KI macht Angriffe zum Kinderspiel

Noch vor wenigen Jahren benötigte eine professionelle Hackergruppe Wochen oder sogar Monate, um eine Unternehmensumgebung auszukundschaften. Systeme mussten identifiziert, Schwachstellen recherchiert, Berechtigungen analysiert und Angriffspfade manuell aufgebaut werden. Heute erledigen KI-gestützte Werkzeuge große Teile dieser Arbeit innerhalb weniger Minuten. Sie durchsuchen Netzwerke nach verwundbaren Systemen, gleichen Konfigurationen automatisiert mit bekannten CVEs ab, generieren passende Exploits und schlagen den nächsten Angriffsschritt vor. Mit Agentic AI entwickelt sich dieser Prozess zur nahezu autonomen Angriffskette: Mehrere spezialisierte Agenten können parallel Informationen sammeln, Entscheidungen treffen und Aktionen koordinieren.

Genau darin liegt die eigentliche Herausforderung in puncto Sicherheit. Agentic AI erzeugt keine grundlegend neuen Schwachstellen. Im Gegenteil: Eine ungepatchte Firmware stellt nach wie vor die gleiche Schwachstelle dar wie vor fünf Jahren. Ein fehlerhaft konfigurierter Management-Controller oder ein kompromittiertes UEFI waren schon immer attraktive Angriffsziele. Neu ist jedoch die Geschwindigkeit, mit der solche Schwachstellen gefunden, ausgenutzt und für komplexe Angriffe kombiniert werden können.

Agentic AI: Wer einmal drin ist, hat Zugriff auf alles

KI macht Cyberkriminalität skalierbar, wodurch sich zwangsläufig der Blick auf die Verteidigung verändern muss. Unternehmen diskutieren derzeit vor allem über Prompt Injection, Guardrails oder die sichere Entwicklung von KI-Agenten. Diese Themen sind zweifellos wichtig. Häufig wird Agent-Hijacking jedoch „nur“ als Angriff auf das Sprachmodell verstanden. Tatsächlich beginnt eine erfolgreiche Kompromittierung oft deutlich früher. Werden Schwachstellen in der Hardware ausgenutzt, arbeitet der Schadcode unterhalb des Betriebssystems und bleibt für klassische Sicherheitstools in der Regel unsichtbar.

Die Folgen reichen dabei weit über den Zugriff auf einen einzelnen Server hinaus. Von einer kompromittierten Infrastruktur aus lassen sich Identitäten übernehmen, privilegierte Berechtigungen ausweiten und weitere Systeme infiltrieren. Genau an diesem Punkt entsteht die Verbindung zu Agentic AI. KI-Agenten besitzen nämlich häufig weitreichende Zugriffe auf Unternehmensdaten, APIs, Automatisierungsplattformen oder Geschäftsanwendungen. Wer diese Infrastruktur kontrolliert, kann nicht nur Daten stehlen oder Systeme verschlüsseln. Er kann die Agenten auch für eigene Zwecke instrumentalisieren und ihre Fähigkeit zur Automatisierung missbrauchen.

Damit entsteht gewissermaßen ein Botnetz der nächsten Generation. Während klassische Botnetze kompromittierte Rechner für DDoS-Angriffe oder Spam-Kampagnen nutzen, können autonome Agenten künftig komplexere Aufgaben übernehmen: Informationen sammeln, Geschäftsprozesse manipulieren, Finanztransaktionen vorbereiten oder koordinierte Angriffe auf weitere Systeme durchführen.

KI-Strategie

KI-Agenten: Ein ehrlicher und unbequemer Blick auf deren Leistung

Sicherheit bei Agentic AI als Gesamtsystem denken

Genau deshalb gewinnt das Konzept der „Security below the OS“ an Bedeutung. Dabei handelt es sich nicht um ein einzelnes Sicherheitsprodukt, sondern um ein Architekturprinzip. Das Ziel besteht darin, die Integrität einer Plattform bereits vor dem Start des Betriebssystems sicherzustellen. Hardwarebasierte Root-of-Trust-Mechanismen, kryptografisch signierte Firmware, Secure Boot oder Remote Attestation bilden dabei eine durchgängige Vertrauenskette. Bei jedem Bootvorgang wird überprüft, ob Firmware, BIOS beziehungsweise UEFI sowie weitere Systemkomponenten unverändert sind. Manipulierte Software wird erkannt, bevor sie aktiv werden kann. Ebenso wichtig sind kontinuierliche Integritätsprüfungen während des Betriebs. Diese machen unautorisierte Änderungen an Firmware oder sicherheitskritischen Komponenten sichtbar.

Für Unternehmen bedeutet das einen Perspektivwechsel. Die Infrastruktur stellt nicht nur Rechenleistung für KI bereit. Sie wird vielmehr selbst zum Fundament der Sicherheitsarchitektur. Letztlich muss jede autonome Entscheidung eines Agenten auf der Annahme basieren, dass die zugrunde liegende Plattform vertrauenswürdig arbeitet. Fällt diese Annahme weg, verlieren sämtliche darüberliegenden Sicherheitsmaßnahmen an Bedeutung. Die Einführung von Agentic AI verändert deshalb nicht nur technische Architekturen, sondern auch Verantwortlichkeiten. Infrastruktur-, Plattform-, Security- und KI-Teams dürfen nicht länger isoliert arbeiten.

Letztlich muss jede autonome Entscheidung eines Agenten auf der Annahme basieren, dass die zugrunde liegende Plattform vertrauenswürdig arbeitet.

Agentic AI ist nur so sicher wie ihre Infrastruktur 

Das heißt, wer KI-Agenten produktiv einsetzt, muss sicherstellen, dass Firmware, Betriebssystem, Virtualisierung, Identitäten und Anwendungen als zusammenhängende Vertrauenskette abgesichert werden. Dazu gehören selbstverständlich weiterhin etablierte Security-Prinzipien wie Least Privilege, Zero Trust, Netzwerksegmentierung oder eine konsequente Härtung der Plattform. Jede KI-Plattform benötigt aber auch nachvollziehbare Integritätsprüfungen, kontinuierliche Firmware-Updates, kryptografisch abgesicherte Boot-Prozesse sowie die Fähigkeit, Manipulationen an der Infrastruktur zuverlässig zu erkennen. Erst auf dieser Basis lassen sich autonome Systeme sicher betreiben.