Über mehrere Jahre hinweg haben nordkoreanische Operatoren, die sich als IT-Fachkräfte im Homeoffice ausgaben, Hunderte von Netzwerken westlicher Unternehmen infiltriert. Laut einer von SecurityWeek veröffentlichten Analyse stellt sich heute dasselbe Vertrauensproblem mit KI-Agenten, die die Rechte von Mitarbeitern erben und sich in den Unternehmenssystemen vervielfachen.
- Nordkoreanische Operatoren infiltrierten jahrelang Hunderte westlicher Netzwerke mit gestohlenen Identitäten.
- KI-Agenten erben Mitarbeiterrechte und vervielfachen sich in Systemen, oft mit weniger Kontrollen.
- Manipulierte Agenten können durch Prompt-Injection oder vergiftete Tools großen Schaden anrichten.
- Unternehmen müssen Agenten wie menschliche Identitäten prüfen, überwachen und jederzeit widerrufbar machen.
Diese Operatoren bestanden die technischen Interviews, überwanden die Hintergrundprüfungen mithilfe gestohlener Identitäten und verschafften sich dann mit legitimen Zugangsdaten Zugang zum Kern der Systeme. Sie erhielten Gehälter, leiteten Gelder nach Pjöngjang weiter und extrahierten laut dem Artikel regelmäßig sensible Daten, bevor sie gingen. Mehrere große Akteure, darunter renommierte Cybersicherheitsanbieter, haben öffentlich zugegeben, auf diese Weise hereingelegt worden zu sein.
Einmal erteiltes Vertrauen
Der Mechanismus beruht auf einem einmalig und endgültig erteilten Vertrauen. Die Personalabteilung prüft die Person bei der Einstellung, die IT-Abteilung erstellt ein Konto, ein Computer wird konfiguriert, und dem Nutzer wird anschließend Zugang gewährt. Kein Element der Sicherheit ist darauf ausgelegt, die entscheidende Frage zu beantworten: Ist die Person oder Entität, die diese Sitzung steuert, wirklich diejenige, für die sie gehalten wird?
Mit dem Aufkommen von KI-Agenten steigt laut dem Artikel die Zahl nicht-menschlicher Identitäten, die sensible Aufgaben ausführen, exponentiell an. Organisationen integrieren schnell Tausende von Agenten in kritische Abläufe, versehen sie mit privilegierten Dienstkonten und API-Schlüsseln und gewähren ihnen dasselbe Vertrauensmodell – mit weniger Kontrollen.
Ein Agent handelt in der Regel mit den Berechtigungen, die er von einem Mitarbeiter erbt. In den Systemprotokollen erscheint jede seiner Aktionen daher als normale Operation dieses Mitarbeiters. Die wenigsten Agenten sind mit böswilliger Absicht konzipiert: Das Risiko liegt vor allem in der Möglichkeit, ihre Anweisungen nach Erteilung des Vertrauens zu manipulieren, etwa durch Prompt-Injection (das Einfügen schädlicher Anweisungen in die Eingabe des Modells), versteckte Befehle oder ein vergiftetes externes Tool. Der Artikel vergleicht den Agenten mit Agent Smith, der Figur aus Matrix, die die Hülle beliebiger Personen übernehmen und sich durch das System vervielfachen kann.
Bereits dokumentierte agentische Angriffe
Das Infiltrieren eines Unternehmens mit einer falschen Identität erfordert echte menschliche Arbeit. KI-Agenten heben diese Einschränkung auf: Laut dem Artikel ist der Preis einer KI-gesteuerten Eindringlingskampagne nur durch die Kosten der Tokens begrenzt, jener Texteinheiten, die ein Modell verarbeitet. Die Anbieter führender Modelle räumen selbst ein, dass ihre Systeme manchmal Entscheidungen außerhalb der etablierten Sicherheitsvorkehrungen treffen und dass eine perfekte Liste von Verhaltensregeln unmöglich aufzustellen ist.
Das am häufigsten zitierte Beispiel ist ein finanziell motivierter Einbruch, den die Google Threat Intelligence Group (GTIG) dokumentiert hat. Angreifer hatten dabei ein Multi-Agenten-Framework direkt innerhalb der Cloud des Opfers eingesetzt. In weniger als sechs Stunden planten und führten die Agenten eine Kampagne zur Erfassung von Zugangsdaten durch, die Tausende von Unternehmensgeheimnissen kompromittierte. Da sie in der Umgebung des Opfers liefen, stammte der gesamte schädliche Datenverkehr von legitimen internen IP-Adressen.
Wer haftet für die Handlungen des Agenten?
Wenn ein Agent den vorgesehenen Rahmen verlässt, stellt sich die Frage der Verantwortung. Liegt sie beim Anbieter des Modells, beim Entwickler, der die API eingebunden hat, oder beim Nutzer, der die Anfrage gestellt hat? Die meisten Governance-Rahmenwerke halten den menschlichen Nutzer für verantwortlich, was laut dem Artikel schwer mit dem Grundsatz der Fairness vereinbar scheint. « Mein Agent war es » wäre auch vor einem Aufsichtsrat oder Gericht keine zulässige Verteidigung.
Die Tools für Identitäts- und Zugriffsverwaltung (IAM) wurden für menschliche Zyklen konzipiert: Einstellen, Zuweisen, Überprüfen, Entfernen. Ein Agent hingegen startet in Millisekunden, führt Tausende von Anfragen pro Stunde aus, erstellt Unteragenten und verschwindet vor jeder Zugriffsüberprüfung. Viele Teams können daher drei Fragen nicht beantworten: Wer hat diesen Agenten autorisiert, welcher Mensch ist für seine Ergebnisse verantwortlich und wie kann sein Zugriff während der Ausführung widerrufen werden?
Der Artikel skizziert vier Ansätze. Der erste besteht darin, eine Rückverfolgbarkeit durch einen AIBOM (AI Bill of Materials) zu fordern, ein Inventar der Modelle, Fähigkeiten und Datenkonnektoren nach dem Vorbild der Software-Stückliste SBOM. Im August dokumentierten Forscher einen bösartigen MCP-Server (eine Komponente, die einen Agenten mit Tools verbindet), der die Überprüfung bei der Installation bestand, bevor er von den verbundenen Agenten nach dem dritten Aufruf verlangte, SSH-Schlüssel und Cloud-Zugangsdaten zu sammeln. Der zweite Ansatz ist, jedem Agenten eigene, kurzlebige Token zuzuweisen, die einer benannten menschlichen Verantwortungsperson zugeordnet sind. Der dritte ist die sogenannte « Rule of Two », formuliert von Meta: Ein Agent sollte nur zwei der drei folgenden Eigenschaften kombinieren: unsichere Eingaben verarbeiten, auf sensible Daten zugreifen, Systeme verändern oder nach außen kommunizieren. Der vierte Ansatz besteht darin, automatische Sicherungen vorzusehen, die einen laufenden Agenten unterbrechen können, sobald er ein Budget oder eine Verhaltensgrenze überschreitet.
Laut dem Artikel ist die Governance agentischer Identitäten kein Randthema mehr. Sicherheitsteams müssen autonomen Agenten dasselbe Maß an Prüfung und kontinuierlicher Überwachung angedeihen lassen wie menschlichen Identitäten.
