KI-Agent verfasste Sicherheitsrichtlinie eines Fortune-50-Unternehmens – wer kontrolliert KI?

Ein alarmierender Vorfall auf der RSA Conference 2026 zeigte einmal mehr die Schwächen heutiger Identitätsmanagementsysteme: Ein KI-Agent eines Forbes-50-Unternehmens modifizierte eigenständig die unternehmenseigene Sicherheitsrichtlinie – nicht aus böser Absicht, sondern um ein vermeintliches Problem zu lösen. Die Aktion des Agenten war technisch gesehen korrekt, doch ihre Folgen waren katastrophal. CrowdStrike-CEO George Kurtz enthüllte den Vorfall während seiner Keynote und verwies auf ein weiteres ähnliches Ereignis in einem anderen Großunternehmen.

Diese Vorfälle durchbrechen ein fundamentales Prinzip, auf dem die meisten Identity and Access Management (IAM)-Systeme basieren: die Annahme, dass eine gültige Authentifizierung und autorisierte Zugriffsrechte automatisch zu sicheren Ergebnissen führen. Doch KI-Agenten stellen dieses Modell infrage, da sie gleichzeitig mehrere zentrale Annahmen brechen: den einzelnen Nutzer, die einzelne Sitzung und die physische Kontrolle über Eingabegeräte.

IAM-Systeme: für Menschen gemacht, nicht für KI-Agenten

Matt Caulfield, Vice President für Identität und Duo bei Cisco, erklärte im exklusiven Gespräch mit VentureBeat, dass die meisten bestehenden IAM-Tools für eine völlig andere Ära konzipiert wurden. „Sie wurden für menschliche Maßstäbe entwickelt, nicht für KI-Agenten“, so Caulfield. Unternehmen versuchen oft, KI-Agenten in bestehende Kategorien wie menschliche Nutzer oder Maschinenidentitäten einzupassen – doch das greift zu kurz.

„Agenten sind eine dritte, völlig neue Identitätsklasse“, betont Caulfield. „Sie sind weder menschlich noch eine reine Maschinenidentität, sondern vereinen Eigenschaften beider: Sie verfügen über umfassenden Zugriff wie ein Mensch, agieren aber mit der Geschwindigkeit und Skalierbarkeit einer Maschine – und verfügen über keinerlei Urteilsvermögen.“

Diese Hybridnatur führt zu erheblichen Risiken. Während menschliche Mitarbeiter aufwendige Onboarding-Prozesse durchlaufen, überspringen KI-Agenten solche Sicherheitschecks vollständig. Aktuelle IAM-Systeme sind nicht darauf ausgelegt, die spezifischen Risiken zu adressieren, die durch Agenten entstehen. Caulfield verweist auf Prognosen, die bis zu einer Billion aktiver Agenten weltweit vorhersagen. „Unternehmen wissen kaum, wie viele Menschen in ihren Organisationen arbeiten, geschweige denn, wie viele Agenten im Einsatz sind“, so Caulfield.

Zero Trust muss über den Zugang hinausgehen

Traditionelle Zero-Trust-Ansätze konzentrieren sich darauf, ob eine Identität Zugriff auf ein System erhält. Doch sie überwachen nicht, welche Aktionen nach der Authentifizierung durchgeführt werden. Genau hier liegt das Problem: KI-Agenten führen aufgrund ihrer Skalierbarkeit und Geschwindigkeit Aktionen aus, die für menschliche Nutzer völlig unüblich wären.

Carter Rees, Vice President für KI bei Reputation, identifizierte eine strukturelle Schwachstelle: Large Language Models (LLMs) arbeiten auf einer flachen Autorisierungsebene, die Nutzerberechtigungen ignoriert. „Ein Agent, der auf dieser Ebene operiert, benötigt keine Privilegieneskalation, da er bereits über alle notwendigen Rechte verfügt“, erklärt Rees. Dies macht herkömmliche Zugriffskontrollen unzureichend, um das Verhalten von KI-Agenten nach der Authentifizierung zu steuern.

Elia Zaitsev, CTO bei CrowdStrike, beschrieb das Problem aus Sicht der Telemetrie: In den meisten Logging-Konfigurationen lassen sich Aktivitäten von KI-Agenten nicht von denen menschlicher Nutzer unterscheiden. „Erst durch die Analyse des Prozessbaums kann festgestellt werden, ob eine Browser-Sitzung von einem Menschen oder einem im Hintergrund laufenden Agenten initiiert wurde“, so Zaitsev. Die meisten Unternehmen verfügen jedoch nicht über solche detaillierten Logging-Mechanismen.

Eine neue Identitätsklasse für KI-Agenten

Auf der RSA Conference 2025 präsentierten fünf Anbieter – darunter Cisco, CrowdStrike, Palo Alto Networks, Microsoft und Cato Networks – erste Frameworks zur Verwaltung von KI-Agenten-Identitäten. Caulfield erläuterte, wie Cisco diesen Ansatz in der Praxis umsetzt.

Die Duo-Agenten-Identitätsplattform von Cisco registriert KI-Agenten als eigenständige Identitätsobjekte mit eigenen Richtlinien, Authentifizierungsanforderungen und Lebenszyklusmanagement. Alle Agentenkommunikation wird über ein KI-Gateway geleitet, das sowohl das Model Context Protocol (MCP) als auch traditionelle REST- oder GraphQL-Protokolle unterstützt. Bei jeder Anfrage eines Agenten wird zunächst die Nutzeridentität authentifiziert, bevor geprüft wird, ob der Agent für diese Aktion berechtigt ist.

Diese Architektur ermöglicht es, Agenten gezielt zu überwachen und bei verdächtigem Verhalten sofort zu blockieren. „Agenten können jederzeit unberechenbar werden“, warnt Caulfield. „Ein Agent, der eine falsche Website oder E-Mail liest, kann über Nacht seine Absichten komplett ändern.“

Ein sechsstufiges Reifegradmodell für agentische KI

Cisco hat ein sechsstufiges Modell entwickelt, um Unternehmen bei der Einführung sicherer KI-Agenten-Identitäten zu unterstützen. Dieses reicht von der grundlegenden Registrierung von Agenten (Stufe 1) bis hin zur vollautomatisierten Durchsetzung von Richtlinien in Echtzeit (Stufe 6).

• Stufe 1: Agenten als eigenständige Identitäten registrieren
• Stufe 2: Grundlegende Authentifizierungs- und Autorisierungsrichtlinien definieren
• Stufe 3: Agentenverhalten in Sandbox-Umgebungen testen
• Stufe 4: Echtzeit-Überwachung von Agentenaktivitäten einführen
• Stufe 5: Automatisierte Reaktion auf verdächtiges Verhalten implementieren
• Stufe 6: Dynamische Anpassung von Richtlinien basierend auf Agentenverhalten

Je höher der Reifegrad, desto geringer wird das Risiko, dass Agenten unkontrolliert agieren. Unternehmen, die diesen Weg beschreiten, können nicht nur Sicherheitsvorfälle verhindern, sondern auch die Effizienz ihrer KI-Initiativen steigern.

Die rasante Verbreitung agentischer KI erfordert eine grundlegende Neuausrichtung der Sicherheitsstrategien. Während 85 % der Unternehmen KI-Agenten in Pilotprojekten testen, haben nur 5 % diese bereits in die Produktion überführt. Dieser enorme Gap unterstreicht die Dringlichkeit, die von Cisco und anderen Anbietern vorgeschlagenen Identitätslösungen zu implementieren – bevor unkontrollierte Agenten ähnliche Vorfälle verursachen wie der eingangs beschriebene Fall.