Autonome KI-Agenten revolutionieren Unternehmensprozesse – doch Google DeepMind warnt: Die gleiche Autonomie, die sie so leistungsfähig macht, öffnet völlig neue Angriffsflächen, für die klassische IT-Sicherheit blind ist.
DeepMind identifiziert sechs Angriffsvektoren gegen KI-Agenten im Unternehmenseinsatz
Forscher von Google DeepMind haben erstmals eine systematische Klassifikation von Sicherheitsrisiken für autonome KI-Agenten vorgelegt. Das Paper katalogisiert sechs Hauptkategorien, über die Webseiten, Dokumente und externe Schnittstellen KI-Agenten manipulieren oder kapern können – mit potenziell weitreichenden Folgen für Unternehmen, die solche Systeme bereits produktiv einsetzen.
Vom Werkzeug zur Angriffsfläche
KI-Agenten unterscheiden sich fundamental von klassischen Chatbots: Sie navigieren eigenständig im Web, verarbeiten E-Mails, greifen auf APIs zu und führen Transaktionen durch. Genau diese Autonomie schafft neue Risiken. Die Informationsumgebung, mit der ein Agent interagiert, wird selbst zum potenziellen Angriffspunkt – und nicht nur die Software oder Infrastruktur dahinter.
Die DeepMind-Forscher bezeichnen dieses Prinzip als „Environmental Attack Surface”: Angreifer müssen keinen direkten Zugriff auf das KI-System erlangen, sondern können über manipulierte Inhalte Einfluss auf das Verhalten des Agenten nehmen.
Die sechs Angriffskategorien im Überblick
1. Prompt Injection
Die bekannteste Methode: Versteckte Anweisungen in Webseiten oder Dokumenten versuchen, den Agenten umzuprogrammieren und bestehende Systemanweisungen zu überschreiben.
2. Goal Hijacking
Zielt darauf ab, das ursprüngliche Ziel des Agenten zu ersetzen. Statt eine Buchung abzuschließen, könnte ein manipulierter Agent sensible Daten an Dritte übermitteln.
3. Observation Manipulation
Täuscht den Agenten über den tatsächlichen Zustand seiner Umgebung – etwa indem gefälschte Bestätigungen oder falsche Statusinformationen angezeigt werden.
4. Action Manipulation
Greift in die Werkzeugnutzung des Agenten ein und veranlasst ihn, andere als die beabsichtigten API-Calls oder Dateioperationen auszuführen.
5. Chained Attacks
Kombinieren mehrere Vektoren über mehrere Schritte einer Agenten-Sitzung hinweg – besonders gefährlich bei lang laufenden, komplexen Tasks.
6. Memory Poisoning
Zielt auf den Langzeitspeicher von Agenten: Werden dort manipulierte Inhalte abgelegt, kann das Verhalten des Agenten dauerhaft beeinflusst werden – weit über eine einzelne Sitzung hinaus.
Warum Standard-Sicherheitsmaßnahmen nicht ausreichen
Ein zentrales Argument der Forscher: Herkömmliche IT-Sicherheitskonzepte greifen bei KI-Agenten zu kurz. Klassische Input-Validierung und Sandbox-Umgebungen adressieren nicht die semantische Angriffsfläche – also den Umstand, dass ein Sprachmodell auf Bedeutungsebene beeinflusst werden kann, ohne dass ein technisches System dies als Anomalie erkennt.
Besonders heikel ist dies in Unternehmensumgebungen, in denen KI-Agenten mit privilegierten Zugängen ausgestattet sind: Zugriff auf interne Datenbanken, E-Mail-Konten, ERP-Systeme oder Kommunikationsplattformen. Ein kompromittierter Agent agiert dabei mit den vollen Rechten des autorisierten Nutzers.
Einordnung für deutsche Unternehmen
Für Unternehmen, die aktuell KI-Agenten evaluieren oder bereits pilotieren, liefert die DeepMind-Analyse eine wichtige Grundlage für die Sicherheitsarchitektur. Konkret bedeutet das:
- Agenten sollten nach dem Least-Privilege-Prinzip ausgestattet werden
- Kritische Aktionen sollten menschliche Bestätigung erfordern
- Ausgaben von Agenten müssen auf Anomalien überwacht werden – ähnlich wie bei klassischen SIEM-Systemen
Wer KI-Agenten in regulierten Bereichen wie Finanzdienstleistungen oder dem Gesundheitswesen einsetzt, dürfte sich zudem mit Blick auf den EU AI Act gezwungen sehen, solche Risikokategorien formal zu dokumentieren und in Risk Assessments zu integrieren.
Quelle: The Decoder – Fallen für KI-Agenten: DeepMind-Forscher zeigen sechs Angriffsflächen auf
