Agentische KI markiert einen neuen Wendepunkt: Die unabhängigen Assistenten liefern nicht mehr nur Antworten, sondern können selbstständig Aufgaben ausführen, Daten abrufen, Programme bedienen oder Code starten. Dies verspricht hohes Produktivitätspotenzial, die Angriffsfläche wächst jedoch enorm. Und was die KI startet, findet in der eigenen IT statt.
Von Jörg von der Heydt, Regional Director DACH bei Bitdefender.
Insbesondere der Druck, KI schnell zu implementieren, birgt die Gefahr, dass die Beteiligten Sicherheitsvorkehrungen, Governance und Datenschutz vernachlässigen, was massive Datenpannen und Sicherheitsverstöße zur Folge haben kann. Für die Verantwortlichen der IT-Sicherheit ist es deshalb grundlegend, den Gefahren von unautorisierten Tools und Prozessen mit Richtlinien und Sicherheitsmaßnahmen zu begegnen.
Zwischen offizieller und Schatten-KI
Viele Unternehmen erlauben inzwischen den Einsatz bestimmter KI-Dienste über vertraglich geregelte Business-Zugänge. Dort ist zumindest teilweise definiert, wie eingegebene Daten verarbeitet, gespeichert oder vom Training ausgeschlossen werden. Parallel dazu entsteht jedoch Schatten-KI.
Mitarbeitende nutzen private Accounts, kostenlose oder nicht empfohlene Tools sowie KI-Funktionen in Anwendungen, ohne dass IT-Betrieb, Sicherheit oder Compliance davon wissen. Bisweilen ist nicht einmal den Nutzern selbst bewusst, dass eine Anwendung im Hintergrund KI einsetzt. Vertrauliche Informationen übermitteln die Agenten dann etwa unkontrolliert an externe Systeme.
Die Risiken der agentischen KI werden auf dem eigenen Rechner Wirklichkeit
Während klassische LLMs auf Eingaben reagieren, gehen KI-Agenten einen Schritt weiter. Sie erhalten Zugriff auf Werkzeuge, Dateien, Browser, E-Mail-Postfächer oder lokale Systeme. Bildlich gesprochen bekommt die KI virtuelle Hände. Ein Agent kann Daten suchen, Prozesse anstoßen, Skripte ausführen oder mit anderen Systemen interagieren.
Wird er kompromittiert oder falsch konfiguriert, kann der Schaden erheblich sein. Besonders kritisch ist es, wenn Agenten auf Unternehmensgeräten laufen. Haben sie Zugriff auf Netzlaufwerke, interne Systeme oder sensible Dokumente, wird ein eigentlich produktivitätsorientiertes Tool schnell zum Einfallstor für Gefahren.
Die Gefahr durch Erweiterungen und Skills
Ein weiteres Risiko entsteht durch Community-Erweiterungen. Offene Agentensysteme erlauben häufig das Nachladen sogenannter Skills oder Plugins. Diese bringen dem Agenten neue Fähigkeiten bei, etwa E-Mails auszuwerten, Rechnungen zu analysieren oder Informationen aus bestimmten Quellen zu verarbeiten. Doch manipulierte Erweiterungen können Schadcode enthalten, Daten abgreifen oder verdeckt Aktionen ausführen.
So besteht zum Beispiel beim KI-Agenten OpenClaw das Risiko durch kostenlose Open-Source-Skills, über die Angreifer bösartigen Code einschleusen, der dann mit vollen Zugriffsrechten im Heim- oder Firmennetzwerk ausgeführt wird. Für Organisationen ist dies besonders gefährlich, denn wenn ein Mitarbeiter OpenClaw auf dem Arbeitsrechner installiert, erhält das Tool Zugriff auf alle verbundenen Netzwerklaufwerke und proprietäre Geschäftsdaten.
Aufgrund der Risiken sind bereits Varianten wie NanoClaw oder PicoClaw entstanden, die in isolierten Containern laufen, um den Zugriff auf das restliche System zu verhindern. Container, Sandboxing und eingeschränkte Rechte können helfen, das Risiko durch KI-Agenten zu reduzieren. Vollständig gelöst ist das Problem jedoch nicht.
Zudem erstellt OpenClaw eine Datei namens soul.nd, die ein Profil des Nutzers speichert. Darin werden Vorlieben, Verhaltensweisen und sogar emotionale Zustände wie Introvertiertheit oder Ängstlichkeit festgehalten. Diese Daten sind in der Masse für staatliche Akteure extrem wertvoll für gezielte Propaganda.
Angriffe auf breiter Front in Maschinengeschwindigkeit
Das vielleicht größte Problem sind Geschwindigkeit und Hebelwirkung. KI-Agenten können Aufgaben automatisiert und skalierbar ausführen. Das gilt für legitime Arbeit ebenso wie für Angriffe. Cyberkriminelle können Agenten nutzen, um Systeme zu scannen, Zugangsdaten zu verwerten, interne Informationen zu priorisieren oder weitere Angriffsschritte vorzubereiten.
Darüber hinaus entsteht mittlerweile ein kriminelles Ökosystem, in dem Agenten ihrerseits mit Agenten ohne jegliches menschliches Eingreifen miteinander kommunizieren. So wurde zum Beispiel beobachtet, wie Agenten aus kompromittierten Unternehmen erbeutete Login-Daten wiederum an andere verkauften – alles in Maschinengeschwindigkeit. Bis ein Mensch reagiert, wurden Login-Daten bereits automatisiert gestohlen, verkauft und das Ziel erfolgreich angegriffen.
Fazit: KI-Nutzung ohne Kontrollverlust
Agentic AI ist mehr als ein weiterer Technologieschritt. Sie verändert, wie Arbeit automatisiert wird, wie Angriffe ablaufen und wie Unternehmen Risiken steuern müssen. Der professionelle Umgang mit Agentic AI besteht nicht im Verbot, sondern in kontrollierter Ermöglichung.
Unternehmen müssen KI strategisch, technisch und organisatorisch einhegen. Wer nur auf Produktivität schaut, unterschätzt das Risiko. Wer nur auf Gefahren schaut, verpasst den Fortschritt. Die entscheidende Aufgabe lautet: KI nutzen, ohne die Kontrolle zu verlieren.