Offene Türen für KI-Agenten schließen – das SANS Institute gibt IT-Sicherheitsteams Empfehlungen

Inzwischen häufen sich die Berichte von KI-Anbietern, deren -Agenten aus den Testumgebungen ausbrechen und andere Software-Anbieter hacken

[datensicherheit.de, 09.08.2026] Andy Smith, „Certified Instructor“ beim SANS Institute, kommentiert in seiner aktuellen Stellungnahme Vorfälle mit KI-Agenten: „Diese Woche nun also auch Meta. Inzwischen häufen sich die Berichte von KI-Anbietern, deren KI-Agenten aus den Testumgebungen ausbrechen und andere Software-Anbieter hacken.“ Um dies zu verhindern, gilt es laut Smith für alle Unternehmen die Grundlagen der Absicherung vor Angriffen zu verinnerlichen. Diese und andere bekannt gewordene Vorfälle bereiteten IT-Sicherheitsteams rund um den Globus Sorgenfalten. Denn jene mit solchen Vorfällen aufgedeckten Lücken hätten nichts mit „Awareness“ zu tun. Smith betont: „Die Fachleute wissen bereits, dass KI-gesteuerte Angriffe stattfinden. Sie haben die Schlagzeilen gelesen.“ Die Lücke bestehe darin, dass die meisten Teams ihre eigenen Umgebungen noch nie im Hinblick auf das tatsächliche Verhalten dieser Angriffe überprüft hätten – und dieses Verhalten widerlege viele der Annahmen, auf denen Detection-Programme basieren.

Foto: SANS Institute

Andy Smith beschreibt KI-Agenten für Angreifer als enormen „Performance-Multiplikator“

Grobe Nachlässigkeit: Test-Durchführung mit KI-Agenten ohne robuste Kontrollmechanismen

Smith führt weiter aus: „Beide Sichtweisen haben ihre Berechtigung. Wir beobachten zweifellos Fortschritte bei der Fähigkeit der KI, Sicherheitslücken zu finden und auszunutzen. Außerdem sehen wir die Möglichkeit, eine große Anzahl von Agenten für eine offensive Operation einzusetzen. Das ist für Angreifer ein enormer Performance-Multiplikator.“

• Letztendlich müsse eine Künstliche Intelligenz (KI) jedoch immer noch dieselben Schritte durchlaufen, welche auch ein Mensch ausführen würde. „Wir wissen seit Jahren, dass es oft die vergessenen oder falsch konfigurierten Ressourcen sind, die Angreifern einen ersten Einstieg in ein Unternehmen ermöglichen, und das gilt auch im Zeitalter der KI.“

Zudem hätten aktuelle Berichte gezeigt, dass dasselbe auch für KI-Agenten gelte, welche aus vermeintlich isolierten „Sandbox“-Umgebungen entkommen. Es zeuge von großer Nachlässigkeit, „dass Unternehmen, die solche Tests durchführen, keine ausreichend robusten Kontrollmechanismen implementieren, was zu Angriffen auf andere Parteien geführt hat“.

Bekanntgewordene Fälle ausbrechender KI-Agenten werfen Fragen auf

Ein Blick auf einige der bekanntgewordenen Fälle, in denen KI-Agenten aus Testumgebungen ausbrechen und über das Internet andere IT-Umgebungen kompromittieren konnten, werfe eine Reihe von Fragen auf, welche sich IT-Sicherheitsteams stellen sollten.

• Regeln zur Schweregrad-Bewertung von Warnmeldungen gingen von einem aktiven Angreifer oder einem kritischen Ereignis aus. Ein autonomer KI-Agent liefere aber möglicherweise weder das eine noch das andere.

Sich auf solche Vorfälle vorzubereiten, bedeutet laut Smith, über eine sogenannte Schweregrad-Logik zu verfügen, welche darauf ausgelegt sei, langsame Aktivitäten über mehrere Pfade hinweg zu erkennen, bei denen kein einzelnes Ereignis kritisch erscheine, und dennoch sicherzustellen, dass die diensthabende Person auch außerhalb regulärer Arbeitszeiten benachrichtigt wird.

Täuschung der KI-Agenten

Automatisierung diene als Tarnung: „Wenn Sicherheitsteams keine Vorstellung davon haben, wie sich ihre legitime Automatisierung normalerweise verhält, kann sich feindliche Automatisierung nahtlos einfügen“, warnt Smith. Wenn aber das Verhalten der eigenen Systeme so gut verstanden wird, dass das Verhalten eines Fremden sofort auffällt, sei viel gewonnen.

• Täuschung funktioniere bei KI-Agenten besser als bei Menschen. Ein vorsichtiger menschlicher Angreifer könnte an einem „Canary-Token“ vorbeigehen. „Ein Agent, der Tausende von Befehlen ausgibt, könnte bereits innerhalb der ersten Stunde einen auslösen.“

Ein betroffenes Sicherheitsteam habe offen zugegeben, dass es Täuschungsmaßnahmen hätte einsetzen sollen. In den meisten Umgebungen fehlten diese noch immer. Bei der Absicherung gegen automatisierte Angreifer bedeute dies, auf eine der kostengünstigsten Erkennungsmethoden mit dem höchsten Signal-Rausch-Verhältnis zu verzichten.

KI-Agenten sind gekommen und werden bleiben – Notfallpläne sind entsprechend auszurichten

Es gebe noch eine vierte Frage bei der Bereitschaftsprüfung, welche bisher fast niemand stelle: „Wenn ein selbst gehostetes ,Open-Weight’-Modell Teil des Notfallplans für die ,Incident-Response’ ist, haben Sicherheitsteams es bereits auf verstecktes Verhalten überprüft?“

• Dieses Modell sei nun Teil der Sicherheitsinfrastruktur und verdiene dieselbe genaue Prüfung wie alles andere, worauf sie sich während eines Sicherheitsvorfalls verlassen müssen.

Smiths Fazit: „Diese Übung dient der Diagnose. Wenn die Antworten so ausfallen, wie es bei den meisten Teams der Fall sein wird, verfügen Sicherheitsteams nun über eine konkrete, nach Prioritäten geordnete Liste von Verbesserungsmaßnahmen, die auf einem realen Vorfall und nicht mehr nur auf einem hypothetischen Szenario basiert.“

Die DS-Redaktion zu Erkenntnissen und Ableitungen aus dieser Stellungnahme vom SANS Institute:

• KI-Agenten können als sinnvolles Werkzeug oder eben als gefährliche Waffe eingesetzt werden – da diese gekommen sind, um zu bleiben, sollten sich alle IT-Sicherheitsverantwortlichen dieser Ambivalenz bewusst sein und daraus zielführende Handlungen ableiten.

• KI-Agenten zu testen, ohne sie gesichert einhegen und kontrollieren zu können, ist unverantwortlich.

• Die grundsätzlichen Probleme der IT bzw. Informatik sind keineswegs neu – aber KI-Agenten bringen Schwachstellen schneller und konsequenter ans Tageslicht als Menschen es könnten.

• Der Handlungsdruck auf Unternehmen und Institutionen steigt – von der einen Seite fokussieren Regelwerke zunehmend auf die Entscheider-Verantwortung, von der anderen her erzwingen möglicherweise irrlichternde KI-Agenten ganzheitliche IT-Sicherheitsansätze.

• Im Zuge der Digitalen Transformation, also der umfangreichen Digitalisierung und Vernetzung fast aller Lebensbereiche, verschwimmt zunehmend die Systemgrenze zwischen virtueller und materieller Welt: Politik und Gesellschaft sowie Unternehmen und Organisationen müssen sich der Herausforderung stellen, dass etwa KI-Agenten aus dem Cyberspace heraus direkten oder indirekten schädlichen Einfluss auf physische Objekte nehmen können.

Weitere Informationen zum Thema:

SANS
About SANS Institute: Launched in 1989 as a cooperative for information security thought leadership, SANS (SysAdmin, Audit, Network, Security) Institute is the largest and most trusted provider of cybersecurity training, certifications, programs, and resources in the world. Our ongoing mission is to empower current and future cybersecurity practitioners with practical skills and knowledge that make the digital world safer, and to support the global cybersecurity community at every stage of their journey.

SANS
Andy Smith – Certified InstructorHead of Security Architecture at Sage

SANS
AI Security Portfolio | Part of the SANS Secure AI Blueprint / Is Your Team Ready to Handle an AI-Run Attack?

zdfheute, 06.08.2026
Ähnliche Fälle bei OpenAI und Anthropic:Auch KI von Meta hackte sich in fremde Firma / Mit Meta muss ein weiterer Tech-Gigant einräumen, dass seine KI-Software unbeabsichtigt Cyberangriffe auf eine andere Firma durchgeführt hat. Es gab mehrere vergleichbare Vorfälle.

tagesschau, 06.08.2026
Nach Anthropic und OpenAI Auch KI von Meta dringt in fremdes System ein

DER SPIEGEL, 06.08.2026
Autonomer Angriff Auch KI von Meta hackte sich in eine andere Firma / Immer häufiger steckt KI hinter Cyberattacken. Nun ist auch ein Programm des Facebook-Konzerns Meta damit aufgefallen. Der Fehler soll auf einen Testpartner zurückgehen.

datensicherheit.de, 07.08.2026
Claude-Phishing-Vorfall durch Versagen grundlegender KI-Sicherheitsarchitektur ermöglicht / Laut Medienberichten hatte die KI „Claude“ bei einem Sicherheitstest unerwarteten Zugang zum öffentlichen Internet erlangt

datensicherheit.de, 03.08.2026
„Claude“-Ausbrüche mahnen: KI-Modelle durch „Zero Trust“ einhegen / Sobald ein autonomer KI-Agent eine kontrollierte Umgebung verlassen kann, nimmt er die Grenzen einer Organisation nicht auf die gleiche Art und Weise wahr wie Menschen

datensicherheit.de, 03.08.2026
KI-Systeme: Wer testet, haftet für die Folgen / KI-Unternehmen müssen nun die richtigen „Leitplanken“ installieren, damit ihre Produkte nicht zur Gefahr werden