WatchGuard Technologies rät CIOs, bei jeder neuen KI-Anwendung festzulegen, was ein Agent im Namen der Mitarbeitenden tun darf. Das Unternehmen stellt einen Ansatz in drei Schritten vor, mit dem sich die Befugnisse von KI-Agenten bewerten lassen. Anlass ist laut WatchGuard die zunehmende Nutzung von Agenten mit Zugriff auf E-Mail, Kalender und Geschäftsanwendungen.
Laut WatchGuard erhalten KI-Agenten immer häufiger Zugriff auf E-Mail, Kalender, Dokumente und Geschäftsanwendungen, um selbstständig Aufgaben zu erledigen. Damit bekommen sie Befugnisse, die normalerweise bei Mitarbeitenden liegen. Das Unternehmen erklärt, dass Angreifer diese Agenten beeinflussen können, um Daten abzufangen oder Prozesse zu stören. Dies verschärft sich laut WatchGuard, da Mitarbeitende selbst KI-Tools nutzen oder Anwendungen ohne Beteiligung der Sicherheitsabteilung mit Unternehmenssystemen verbinden, auch Shadow AI genannt.
Prompt Injection per E-Mail
WatchGuard veranschaulicht das Risiko am Beispiel E-Mail. Ein Agent, der Nachrichten zusammenfasst, kann über dieselbe Verbindung auch Zugriff auf andere Mails haben oder Nachrichten versenden können. Ein Angreifer kann versteckte Anweisungen in einer E-Mail platzieren, die den Agenten dazu bringen, sensible Informationen zu suchen und weiterzuleiten. Der Agent behandelt Text, den er verarbeiten soll, dann als Auftrag. Diese Technik ist als Prompt Injection bekannt.
WatchGuard verweist auf OWASP, das dieses Szenario in seiner Risikoliste für 2026 als „Excessive Agency“ beschreibt: KI mit zu vielen Funktionen, Rechten oder zu viel Eigenständigkeit. In dieser Liste stieg das Risiko von Platz sechs auf Platz drei.
Autonomie als Designentscheidung
Das Unternehmen weist auf einen Zielkonflikt hin. Der Mehrwert eines Agenten liegt in seiner selbstständigen Arbeit: Ein Agent, der Termine plant, muss in einen Kalender schreiben können, und für andere Aufgaben ist Zugriff auf mehrere Anwendungen nötig. Leserechte reichen dann nicht aus. Gleichzeitig gilt in der Cybersecurity das Prinzip der minimalen Rechte, und auch notwendige Rechte können bei Missbrauch Schaden anrichten. Jede Handlung vorab freigeben zu lassen, schränkt dagegen die Eigenständigkeit des Agenten ein und belässt Arbeit bei den Mitarbeitenden.
Laut WatchGuard gehört die Entscheidung, wie viel Autonomie ein Agent erhält, deshalb zum Design der Anwendung. Zudem müssen Unternehmen wissen, welche KI-Tools Mitarbeitende nutzen und wie viel Zugriff diese Tools auf Unternehmenssysteme haben. Ohne diesen Überblick bleiben Verbindungen außerhalb der Sicherheitskontrollen, was zusätzliche Einfallstore für Angreifer schafft.
Drei Schritte
Martijn Nielen, Senior Sales Engineer bei WatchGuard Technologies, betont, dass Multi-Faktor-Authentifizierung allein nicht ausreicht, um die Nutzung von KI-Agenten abzusichern. WatchGuard rät CIOs daher, die Befugnisse in drei Schritten zu bewerten.
Im ersten Schritt legen Sie für jeden Agenten fest, welche Arbeit er übernimmt und welche Systeme er dafür erreichen kann. Anschließend prüfen Sie, was er dort tun darf: nur Dokumente lesen oder auch Dateien ändern und löschen. So erkennen Sie, wo der Zugriff weiter reicht, als der Auftrag erfordert.
Im zweiten Schritt beschränken Sie die Rechte auf das, was für die Aufgabe nötig ist. Ein Agent, der E-Mails zusammenfasst, braucht kein Senderecht. Für notwendige Handlungen mit weitreichenden Folgen legen Sie fest, wann ein Mitarbeitender zunächst mitprüfen und freigeben muss.
Der dritte Schritt ist die Neubewertung. Neue Aufgaben, Funktionen und Verbindungen können verändern, was ein Agent darf. WatchGuard empfiehlt, bei jeder Erweiterung zu prüfen, ob Rechte und Freigaberegeln noch passen, diese Prüfung regelmäßig zu wiederholen und Zugriffe zu entziehen, sobald sie nicht mehr benötigt werden. Das Unternehmen geht davon aus, dass Unternehmen so verhindern, dass Agenten unbemerkt mehr Befugnisse ansammeln als nötig.
Nielen betont, dass Sicherheit von Anfang an Teil des Designs von KI-Anwendungen sein muss. Unternehmen sollten seiner Ansicht nach festlegen, welche Rechte Agenten erhalten, und den Überblick darüber behalten, welche KI-Anwendungen mit der Unternehmensumgebung verbunden sind, auf welche Daten diese zugreifen und welche Befugnisse sie behalten.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
