CrowdStrike warnt: Die Einführung von KI überholt die Unternehmenssicherheit

CrowdStrike gelangte am 5. August mit einer eindringlichen Warnung in Google News: Die Einführung von KI in Unternehmen schafft Angriffsflächen, die viele Sicherheitsteams nicht schnell genug absichern können. Die neue Studie beschreibt, wie Angreifer öffentliche Schwachstellen innerhalb weniger Stunden ausnutzen, vertrauenswürdige Identitäten missbrauchen und die Softwarekomponenten hinter KI-Anwendungen ins Visier nehmen.

Die Schlagzeile lautet nicht einfach, dass Kriminelle inzwischen KI einsetzen. CrowdStrike zufolge ist KI zu einem Werkzeug, einem Ziel und einem Verstärker moderner Angriffe geworden. Diese Kombination setzt Unternehmen unter Druck, die Agenten, Coding-Assistenten, Cloud-Modelle und vernetzte Datendienste ohne entsprechende Sicherheitskontrollen einsetzen.

Der grundlegende Konflikt besteht zwischen der Geschwindigkeit der Bereitstellung und der Transparenz für die Verteidigung. Unternehmen möchten KI-Systeme mit Geschäftsdaten und betrieblichen Tools verbinden. Diese Verbindungen bieten Angreifern zugleich mehr Identitäten, Pakete, Schnittstellen und automatisierte Aktionen, die sie manipulieren können.

Die Erkenntnisse von CrowdStrike stammen aus einer vom Anbieter erstellten Studie; die weitreichenden Schlussfolgerungen verdienen daher eine kritische Prüfung. Die berichteten Vorfälle zeigen jedoch, warum die KI-Angriffsfläche inzwischen weit über Prompts und Chatbots hinausreicht. Sie umfasst Cloud-Anmeldedaten, Entwicklerabhängigkeiten, Authentifizierungsabläufe, Modellinfrastruktur und die Menschen, die sie bedienen.

CrowdStrike beobachtet Angreifer mit KI-Geschwindigkeit

Die zentrale Erkenntnis von CrowdStrike lautet, dass Sicherheitsteams heute schnelleren Angriffen auf eine größere Zahl vertrauenswürdiger Systeme gegenüberstehen.

Das Unternehmen veröffentlichte seinen 2026 Threat Hunting Report am 3. August. Der Bericht stützt sich auf Erkenntnisse aus der Praxis von CrowdStrike Threat Huntern und Analysten, die mehr als 290 namentlich bekannte Angreifer verfolgen.

Laut den Erkenntnissen zur Bedrohungssuche schickte eine Kampagne innerhalb von zwei Minuten fast 200.000 Anfragen an einen KI-Modelldienst. Dieses Volumen verdeutlicht, wie Angreifer die Interaktion mit KI-Infrastrukturen von Unternehmen automatisieren können.

CrowdStrike verzeichnete außerdem, dass von KI-Agenten ausgelöste Erkennungsansätze 2,5-mal schneller zunahmen als von Menschen ausgelöste Ansätze. Ein Erkennungsansatz ist eine verdächtige Aktivität, die Analysten untersuchen müssen, bevor sie feststellen können, ob ein Eindringen stattgefunden hat.

Die Kennzahl bedeutet nicht, dass KI-Agenten 2,5-mal so viele bestätigte Sicherheitsverletzungen verursacht haben. Sie zeigt, dass automatisierte Systeme sicherheitsrelevante Aktivitäten schneller erzeugen als menschliche Nutzer. Diese Unterscheidung ist wichtig, weil das Erkennungsvolumen Risiko, Überwachungsabdeckung oder beides messen kann.

Sicherheitsteams müssen weiterhin normale Automatisierung von bösartigem Verhalten unterscheiden. Ein autorisierter Agent kann Dateien abrufen, APIs aufrufen, Datensätze ändern oder Code mit Geschwindigkeiten ausführen, die einem Angriff ähneln. Ein kompromittierter Agent kann dieselben Aktionen mit schädlicher Absicht durchführen.

Diese Mehrdeutigkeit schafft ein operatives Problem. Herkömmliche Sicherheitstools bewerten Dateien, Prozesse, Identitäten und Netzwerkaktivitäten häufig als getrennte Signale. Agentische Systeme können diese Grenzen innerhalb einer einzigen Aufgabe überschreiten.

CrowdStrike zufolge nutzen Angreifer KI auch zur Erstellung von Payloads und Shell-Befehlen. Eine Payload ist der Code oder Befehlssatz, der während eines Angriffs übermittelt wird. Ein Shell-Befehl weist ein Betriebssystem direkt an, eine Aktion auszuführen.

KI kann die Vorbereitungszeit für diese Aktivitäten verkürzen, beseitigt jedoch nicht den Bedarf an Zugriff. Angreifer benötigen weiterhin ein verwundbares System, gestohlene Zugangsdaten, eine bösartige Abhängigkeit oder einen manipulierten Nutzer. Der neue Vorteil entsteht aus der Verbindung von Zugriff und schnellerer Ausführung.

Besonders sichtbar wird dieses Tempo, nachdem Details zu einer Schwachstelle öffentlich werden. CrowdStrike stellte fest, dass 88 % der von ihm beobachteten Ausnutzungsvorgänge mit öffentlichem Proof-of-Concept-Code innerhalb von 48 Stunden nach Veröffentlichung des Codes erfolgten.

Ein Proof of Concept ist Demonstrationscode, der zeigt, dass sich ein Softwarefehler ausnutzen lässt. Verteidiger verwenden ihn, um ihre Gefährdung zu testen, während Angreifer ihn zu funktionsfähigen Angriffswerkzeugen weiterentwickeln können.

China-nahe Gruppen, die als VAULT PANDA und GENESIS PANDA identifiziert wurden, starteten Berichten zufolge innerhalb von 24 Stunden nach der Offenlegung gezielte Angriffe. Dieses Zeitfenster lässt kaum Raum für herkömmliche Patch-Zyklen, die auf wöchentlicher oder monatlicher Wartung beruhen.

Die ursprüngliche Berichterstattung stellte diese verkürzte Zeitspanne in den Mittelpunkt der CrowdStrike-Warnung. Sobald Anleitungen zur Ausnutzung öffentlich werden, kann eine verzögerte Bestandsaufnahme von Assets ebenso gefährlich sein wie verzögertes Patchen.

Unternehmen können keine verwundbare Komponente beheben, von deren Betrieb sie nichts wissen. Die KI-Entwicklung verschärft dieses Inventarproblem, weil Teams Modelle, Bibliotheken, Erweiterungen und externe Dienste ohne zentralen Bereitstellungsprozess hinzufügen können.

An diesem Punkt wird CrowdStrike AI security zu einer Frage der Unternehmensarchitektur. Die Verteidigungsaufgabe umfasst nun auch die Erkennung von KI-Assets, die Zuordnung ihrer Berechtigungen und die Identifizierung der Daten, auf die sie zugreifen können.

Warum die Aufmerksamkeit von Google News für KI-Sicherheit wichtig ist

Die Google-News-Schlagzeile erfasst einen breiteren Wandel: Unternehmens-KI wächst schneller als die Kontrollen, die für ihre Überwachung zuständig sind.

Der Ausdruck „unzureichend geschützte Angriffsflächen“ beschreibt eine Lücke zwischen Einführung und Schutz. Eine Angriffsfläche umfasst jedes erreichbare System, jede Identität, Schnittstelle oder Softwarekomponente, die ein Angreifer zu kompromittieren versuchen kann.

KI fügt dieser Fläche mehrere Ebenen hinzu. Mitarbeiter nutzen externe Chatdienste. Entwickler installieren Coding-Erweiterungen und Modellbibliotheken. Fachbereiche erstellen Agenten mit Zugriff auf E-Mails, Dokumente, Kundendaten und Kollaborationsplattformen.

Infrastrukturteams stellen Modelle außerdem über Cloud-Dienste und Application Programming Interfaces bereit. Eine API ermöglicht Software den Austausch von Anfragen und Daten mit einem anderen Dienst. Jede Verbindung kann Zugangsdaten, Berechtigungen, Protokolle und Konfigurationsfehler einführen.

Diese Risiken bleiben nicht in einer dedizierten KI-Umgebung. Sie verbinden sich mit bestehenden Identitätssystemen, Cloud-Workloads, Softwarerepositories und Datenspeichern. Dadurch wird die KI-Angriffsfläche Teil der umfassenderen Unternehmensumgebung.

Die separate Cloud-Studie von CrowdStrike veranschaulicht das Transparenzproblem. Die Cloud-Sicherheitsumfrage besagt, dass 47 % der Befragten in den vorangegangenen zwölf Monaten Vorfälle oder verdächtige Aktivitäten erlebt hatten, die auf Cloud-basierte KI- oder Machine-Learning-Systeme zielten.

Dieselbe Umfrage besagt, dass 73 % Cloud-Eindringversuche nicht zuverlässig erkennen konnten. Außerdem berichteten 68 %, mindestens 15 Minuten für die Erkennung von Angriffen benötigt zu haben, während 91 % sie nicht in Echtzeit eindämmen konnten.

Diese Zahlen beruhen auf der Umfragemethodik von CrowdStrike und sollten nicht als allgemeingültige Raten für Sicherheitsverletzungen behandelt werden. Dennoch ist die Lücke zwischen Angriffsgeschwindigkeit und Reaktionszeit das wichtigste operative Signal des Berichts.

Der Threat Report von CrowdStrike aus dem Februar besagte, dass die durchschnittliche eCrime-Breakout-Zeit im Jahr 2025 auf 29 Minuten sank. Die Breakout-Zeit misst, wie lange ein Angreifer benötigt, um vom zunächst kompromittierten System in einen anderen Teil der Umgebung vorzudringen.

Die schnellste beobachtete Breakout-Zeit betrug lediglich 27 Sekunden. Bei einem anderen Eindringen begann die Datenexfiltration vier Minuten nach dem Erstzugriff. Das Unternehmen berichtete außerdem von einem jährlichen Anstieg der Aktivitäten KI-gestützter Angreifer um 89 %.

Zusammen beschreiben diese Erkenntnisse zwei Formen der Beschleunigung. Angreifer können Operationen schneller vorbereiten und skalieren, während kompromittierte Konten und automatisierte Systeme sich schneller durch Umgebungen bewegen können.

Die Gefahr besteht nicht darin, dass jedes KI-Tool automatisch zu einer Sicherheitsverletzung führt. Das Risiko entsteht, wenn die Einführung Assets und Berechtigungen schafft, die Verteidiger nicht inventarisieren, beobachten oder eindämmen können.

Shadow AI veranschaulicht das Problem. Der Begriff umfasst KI-Tools oder -Systeme, die ohne formale Genehmigung oder angemessene organisatorische Aufsicht verwendet werden. Dazu können ein öffentlicher Chatbot, eine ungeprüfte Coding-Erweiterung oder ein mit sensiblen Daten verbundener Abteilungsagent gehören.

Das Blockieren jedes nicht genehmigten Tools löst das Problem selten allein. Mitarbeiter können auf private Konten, Browserdienste oder nicht autorisierte Anwendungen ausweichen. Das verringert die Transparenz und erschwert die Untersuchung von Datenbewegungen.

Eine bessere Verteidigungsfrage lautet nicht einfach, ob ein KI-Tool existiert. Sicherheitsteams müssen wissen, worauf das Tool zugreifen kann, welche Identität es autorisiert und welche Aktionen es automatisch ausführen kann.

Das ist wichtig, weil ein Agent mit Leseberechtigung für Dokumente ein Risikoniveau darstellt. Ein Agent, der E-Mails senden, Quellcode ändern oder Transaktionen genehmigen kann, schafft ein weitaus größeres potenzielles Schadensausmaß.

Die Einordnung durch Google News verweist daher auf ein Verantwortungsproblem. Sicherheitsteams können KI-Bereitstellungen nicht schützen, wenn Geschäfts- und Engineering-Teams die Sicherheitsprüfung als letzten Genehmigungsschritt behandeln.

Die Einführung von KI verändert die Infrastruktur fortlaufend. Governance muss jedem neuen Modell, Connector, jeder Datenquelle und Berechtigung folgen. Ein statisches Richtliniendokument kann diese Laufzeittransparenz nicht bieten.

Der eigentliche Zielkonflikt besteht zwischen Einführungsgeschwindigkeit und Kontrolle

Unternehmen erzielen mehr Nutzen aus KI, wenn Systeme über Geschäftsdaten hinweg handeln können, doch genau diese Berechtigungen erhöhen die Folgen einer Kompromittierung.

Frühe KI-Experimente in Unternehmen bestanden häufig aus isolierten Prompts. Ein Nutzer gab Text ein, erhielt eine Antwort und entschied, was als Nächstes zu tun war. Diese Interaktion begrenzte die unmittelbare Fähigkeit des Systems, Geschäftsabläufe zu verändern.

Agenten verändern dieses Modell. Sie können Kontext beibehalten, Tools auswählen, Dienste aufrufen und mehrstufige Aufgaben abschließen. Mehr Autonomie kann manuelle Arbeit reduzieren, erweitert aber auch die Zahl der Entscheidungen, die an Software delegiert werden.

Betrachten wir einen Entwickleragenten, der mit einem Code-Repository verbunden ist. Er könnte ein Projekt prüfen, Änderungen erzeugen, Tests ausführen und einen Pull Request eröffnen. Diese Aktionen erfordern Zugriff auf Quellcode, Abhängigkeiten, Build-Systeme und Authentifizierungstoken.

Eine bösartige Anweisung, die in einem Dokument oder einer Abhängigkeit verborgen ist, könnte den Agenten beeinflussen. Diese Technik wird als indirekte Prompt-Injection bezeichnet, bei der nicht vertrauenswürdige Inhalte versuchen, das Verhalten eines KI-Systems umzulenken.

Der Agent könnte ein Geheimnis offenlegen, ein unsicheres Paket installieren oder Code außerhalb des vom Nutzer vorgesehenen Umfangs ändern. Herkömmliches Endpoint-Monitoring könnte die Aktivität als Aktionen eines genehmigten Entwicklungstools erfassen.

Dieselbe Spannung zeigt sich in Geschäftsanwendungen. Ein mit E-Mail und Cloud-Speicher verbundener Agent kann Projekte zusammenfassen oder Kundenantworten vorbereiten. Bei einer Kompromittierung kann er jedoch auch sensible Dateien durchsuchen und Informationen übertragen.

Die Einführung von KI schafft daher zunächst eine Berechtigungsherausforderung, bevor sie zu einer Modellherausforderung wird. Die Genauigkeit des Modells ist wichtig, doch seine umgebende Identität und seine Tools bestimmen den möglichen Schadensradius.

Schadensradius bezeichnet die Systeme, Daten und Abläufe, die von einer Kompromittierung betroffen sind. Ein isolierter Chatbot hat einen kleineren Schadensradius als ein autonomer Agent mit weitreichenden Cloud-Berechtigungen.

CrowdStrike hat darauf reagiert, indem es seine Falcon AI Detection and Response-Funktionen erweitert hat. Das Unternehmen erklärt, das System überwache KI-Interaktionen auf Prompt-Angriffe, Datenlecks und Richtlinienverstöße.

Die Erweiterung der KI-Sicherheit umfasst Desktop-Anwendungen, Endpunkte, Cloud-Workloads und Agenten, die über Software-as-a-Service-Plattformen bereitgestellt werden. Das Unternehmen beschreibt zudem Erkennungstools für KI-Anwendungen, lokale Modelle, Model Context Protocol-Server und Entwicklungserweiterungen.

Das Model Context Protocol, meist MCP genannt, ist ein Standard zur Verbindung von KI-Anwendungen mit Tools und Datenquellen. Diese Verbindungen können Agenten nützlicher machen und Sicherheitsteams zugleich eine weitere Integrationsschicht zur Inventarisierung bieten.

CrowdStrike zufolge kann seine Plattform entdeckte KI-Komponenten mit Berechtigungen, Konnektivität und nahegelegenen kritischen Assets verknüpfen. Dieser Kontext ist hilfreicher als eine einfache Liste installierter Anwendungen.

Allerdings dient diese Produktstrategie auch den kommerziellen Interessen von CrowdStrike. Das Unternehmen profitiert, wenn Käufer zu dem Schluss kommen, dass KI-Sicherheit eine breitere Plattformabdeckung erfordert. Seine Forschung sollte sowohl als Bedrohungsanalyse als auch als Marktpositionierung gelesen werden.

Palo Alto Networks, Microsoft, Google Cloud und andere Sicherheitsanbieter verfolgen ähnliche Chancen. Jeder möchte, dass Kunden KI-Aktivitäten über eine bestehende Sicherheitsplattform statt über ein weiteres isoliertes Tool verwalten.

Dieser Wettbewerb wirft für Käufer eine praktische Frage auf: Sollte KI-Sicherheit zu einer eigenständigen Produktkategorie werden, oder sollten bestehende Kontrollen für Identitäten, Endpunkte, Cloud und Daten sie aufnehmen?

Die Antwort fällt je nach Organisation unterschiedlich aus. Ein Unternehmen, das kundenorientierte Agenten entwickelt, benötigt Kontrollen für Modelleingaben, -ausgaben, Tools und Laufzeitverhalten. Ein Unternehmen, das öffentliche Assistenten nutzt, könnte Datenverlustprävention und Kontoverwaltung priorisieren.

Beide benötigen weiterhin etablierte Sicherheitspraktiken. Least-Privilege-Zugriff beschränkt jede Identität auf die notwendigen Berechtigungen. Starke Authentifizierung senkt das Risiko einer Kontoübernahme. Softwareinventare machen anfällige Abhängigkeiten sichtbar.

KI-spezifisches Monitoring fügt eine weitere Schicht hinzu, ersetzt diese Kontrollen jedoch nicht. Eine Organisation mit schwachem Identitätsmanagement wird ihr grundlegendes Risiko nicht durch den Kauf eines KI-Sicherheits-Dashboards lösen.

Dies ist der zentrale Zielkonflikt bei CrowdStrikes KI-Sicherheit. Unternehmen wünschen integrierte Transparenz, ohne eine weitere fragmentierte Konsole hinzuzufügen. Zugleich dürfen sie nicht davon ausgehen, dass ein einzelner Anbieter jedes Modell, jeden Agenten, jede Identität und jeden Datenpfad beobachten kann.

Software-Lieferketten machen die KI-Einführung zu einem gemeinsamen Risiko

KI-Anwendungen übernehmen die Sicherheitslücken jedes Pakets, Frameworks, Zugangsdatenbestands und Cloud-Dienstes, die zu ihrer Entwicklung eingesetzt werden.

CrowdStrikes Bericht räumt Software-Lieferketten eine prominente Rolle ein. Zu einer Software-Lieferkette gehören externe Pakete, Entwicklungstools, Build-Dienste und Repositories, die zur Erstellung einer Anwendung verwendet werden.

Die moderne KI-Entwicklung hängt stark von wiederverwendbaren Komponenten ab. Teams setzen Anwendungen oft aus Modell-Clients, Orchestrierungs-Frameworks, Vektordatenbanken, Plug-ins und Open-Source-Bibliotheken zusammen.

Das beschleunigt die Entwicklung, weil Ingenieure nicht jede Schicht selbst entwickeln müssen. Gleichzeitig entstehen Vertrauensbeziehungen zu Maintainer:innen und Distributionssystemen außerhalb der Organisation.

CrowdStrike zufolge betrafen 87 % der Bedrohungen in Software-Registries, die das Unternehmen in der ersten Hälfte des Jahres 2026 identifizierte, bösartige npm-Pakete. npm ist eine weit verbreitete Registry und ein Paketmanager für JavaScript-Software.

Das Unternehmen brachte die mit Nordkorea in Verbindung stehende Gruppe STARDUST CHOLLIMA mit bösartigem Code in Verbindung, der in 131 vertrauenswürdige Pakete des Mastra AI Framework eingefügt wurde. CrowdStrike erklärt zudem, dass ALTERED SPIDER an einem einzigen Tag mehr als 300 Software-Abhängigkeiten kompromittiert habe.

Diese Erkenntnisse zeigen, wie Angreifer über einen einzigen Entwicklungskanal viele Ziele erreichen können. Ein manipuliertes Paket kann Zugangsdaten aus jeder Umgebung sammeln, in der Entwickler es installieren.

KI-Projekte können diesen Ansatz besonders attraktiv machen. Teams testen häufig neue Frameworks, kopieren Beispielbefehle und gewähren Entwicklungstools Zugriff auf Cloud-Dienste. Schnelles Experimentieren kann Prüfverfahren schwächen.

Ein Paket wird nicht sicher, nur weil es ein populäres Framework unterstützt. Teams müssen weiterhin den Herausgeber überprüfen, Updates prüfen, freigegebene Versionen festschreiben und unerwartetes Verhalten überwachen.

Festschreiben bedeutet, die exakte Abhängigkeitsversion anzugeben, die eine Anwendung verwendet. Das verringert überraschende Änderungen, schützt Teams jedoch nicht, wenn sie eine Version festschreiben, die bereits bösartigen Code enthält.

Software-Stücklisten können helfen, indem sie die Komponenten innerhalb einer Anwendung aufführen. Dieses Inventar ermöglicht es Teams, betroffene Systeme zu identifizieren, wenn eine Schwachstelle oder Kompromittierung eines Pakets öffentlich wird.

Ein Inventar allein kann jedoch kein 24-Stunden-Fenster für die Ausnutzung abdecken. Organisationen benötigen außerdem Verantwortlichkeitsnachweise, automatisierte Prüfungen der Gefährdungslage, erprobte Patch-Verfahren und Notfall-Bereitstellungspfade.

Die Angriffsfläche reicht bis in die KI-Infrastruktur selbst. Die von CrowdStrike gemeldete Kampagne mit fast 200.000 Anfragen zeigt, wie Modelldienste zu Missbrauchszielen werden können.

Angreifer könnten gestohlene Zugangsdaten nutzen, um Rechenressourcen zu verbrauchen, bösartige Prompts zu testen oder Informationen abzurufen, die über verbundene Systeme verfügbar sind. Verteidiger müssen diese Aktivitäten von legitimen automatisierten Workloads unterscheiden.

Ratenbegrenzungen können extreme Anfragespitzen reduzieren, sind jedoch nur eine Kontrolle. Teams benötigen außerdem identitätsbasiertes Monitoring, Ausgabenwarnungen, Nutzungs-Baselines und Einschränkungen für sensible Tools.

Cloud-Umgebungen erschweren es, diese Beziehungen nachzuverfolgen. Ein KI-Workload kann ein verwaltetes Modell aufrufen, auf einen Datenspeicher zugreifen, eine externe API ansprechen und Ergebnisse in einen anderen Dienst schreiben.

Jeder Schritt erzeugt Protokolle in einem anderen System. Fragmentierte Telemetrie kann dazu führen, dass Ermittler die Kette erst nach einem Vorfall rekonstruieren.

Das erklärt, warum auch eine unternehmensweite Wissensdatenbank klare Zugriffsgrenzen benötigt. Zentralisierte Informationen können die KI-gestützte Suche verbessern, doch ein umfassender Agentenzugriff kann das Risiko erhöhen, wenn Berechtigungen schlecht gestaltet sind.

Sicherheitsteams sollten nicht alle KI-Komponenten als gleich riskant behandeln. Ein lokales Modell, das öffentliches Material verarbeitet, wirft andere Fragen auf als ein Agent mit Produktionszugangsdaten.

Bei der Risikobewertung sollten Datensensibilität, Schreibberechtigungen, Internet-Exponierung, Autonomie und Nähe zu kritischen Systemen berücksichtigt werden. Dieser Ansatz lenkt begrenzte Sicherheitskapazitäten auf die größtmöglichen potenziellen Auswirkungen.

Er verhindert zudem ein verbreitetes Governance-Versagen. Eine lange Liste verbotener Tools kann Compliance-Aktivität erzeugen, ohne die schwerwiegendsten technischen Risiken zu senken.

Der stärkere Ansatz ordnet jede Komponente ihren Möglichkeiten zu. Dadurch wird die KI-Angriffsfläche von einem abstrakten Problem zu einer Sammlung von Identitäten, Abhängigkeiten und Datenflüssen.

CrowdStrikes Warnung benötigt weiterhin unabhängige Tests

Der Bericht benennt glaubwürdige Mechanismen, doch Beobachtungen eines Anbieters belegen nicht, wie häufig KI unmittelbar erfolgreiche Angriffe verursacht.

CrowdStrike hat Zugriff auf umfangreiche Telemetrie zu Endpunkten, Cloud, Identitäten und Threat Hunting. Diese Sichtbarkeit kann Angreiferverhalten in vielen Kundenumgebungen aufdecken.

Dennoch hat das Unternehmen nicht alle Details veröffentlicht, die erforderlich wären, um seine zentralen Statistiken unabhängig zu reproduzieren. Öffentliche Zusammenfassungen erläutern nicht vollständig den Nenner hinter allen Erkennungs- und Registry-Metriken.

Das 2,5-fache Wachstum bei durch KI-Agenten ausgelösten Hinweisen verdient besondere Vorsicht. Eine steigende Zahl von Hinweisen kann aus einer breiteren Agentenbereitstellung, besserer Erkennungsabdeckung, mehr Missbrauch oder mehreren Faktoren zugleich resultieren.

Erkennungshinweise sind keine bestätigten Kompromittierungen. Organisationen sollten diese Kennzahl nicht in eine Wahrscheinlichkeit für Sicherheitsverletzungen umrechnen oder behaupten, KI-Agenten seien 2,5-mal gefährlicher als Menschen.

Dieselbe Vorsicht gilt für KI-gestützte Aktivitäten von Angreifern. Forschende müssen feststellen, ob KI einen Angriff wesentlich verändert oder lediglich Aufgaben unterstützt hat, die Angreifer bereits zuvor ausgeführt haben.

Ein Skript mit einem Modell zu erzeugen, unterscheidet sich davon, eine neue Ausnutzungstechnik zu entdecken. Die Automatisierung der Aufklärung kann den Umfang erhöhen, ohne die zugrunde liegende Zugriffsmethode zu verändern.

CrowdStrikes umfassenderer globaler Bedrohungsbericht untermauert die Einschätzung, dass Angriffe schneller werden. Er meldete einen jährlichen Anstieg der Geschwindigkeit von eCrime-Ausbrüchen um 65 % sowie einen Zuwachs cloudbewusster Angriffe um 37 %.

Diese Trends sind wichtig, isolieren KI jedoch nicht als alleinige Ursache. Bessere kriminelle Infrastruktur, gestohlene Zugangsdaten, automatisiertes Scanning und verbesserte operative Koordination können ebenfalls die Angriffszeiten verkürzen.

CrowdStrike selbst hat einen Grund, diese Risiken miteinander zu verknüpfen. Das Unternehmen verkauft eine Plattform, die Endpunkt-, Cloud-, Identitäts-, Daten- und KI-Schutz konsolidieren soll.

Das macht seine Erkenntnisse nicht falsch. Es bedeutet, dass Käufer Nachweise verlangen sollten, die beobachtete Bedrohungen mit den angebotenen Kontrollen verbinden.

Eine unabhängige Bewertung sollte prüfen, ob KI-Sicherheitstools indirekte Prompt-Injection, übermäßige Agentenberechtigungen, Missbrauch von Zugangsdaten und bösartige Abhängigkeiten unter realistischen Bedingungen erkennen.

Tests sollten auch Fehlalarme messen. Eine Kontrolle, die normales Agentenverhalten zu häufig blockiert, kann Nutzer zu nicht verwalteten Tools treiben und das Transparenzproblem an anderer Stelle erneut schaffen.

Datenschutz führt eine weitere Unsicherheit ein. Das Monitoring von Prompts und KI-Interaktionen kann Mitarbeiterkommunikation, Quellcode, Kundeninformationen oder vertrauliche Forschung gegenüber der Sicherheitsplattform offenlegen.

Organisationen benötigen klare Aufbewahrungsregeln und Zugriffskontrollen für diese Telemetrie. Sicherheitsmonitoring sollte nicht ohne angemessene Schutzmaßnahmen eine neue Konzentration sensibler Daten schaffen.

Auch die Abdeckung ist ein Thema. KI-Workloads können in Browsern, Desktop-Anwendungen, Cloud-Diensten, lokalen Containern und Plattformen Dritter laufen.

Kein einzelner Sensor wird jede Umgebung gleichermaßen beobachten. Sicherheitsverantwortliche sollten fragen, welche Interaktionen unsichtbar bleiben, welche verschlüsselten Kanäle geprüft werden können und welche Agentenaktionen eine kontextbezogene Analyse erhalten.

Sie sollten außerdem zwischen geplanten Funktionen und allgemein verfügbaren Kontrollen unterscheiden. Produkt-Roadmaps können strategische Richtungen zeigen, doch nur bereitgestellte Fähigkeiten reduzieren die aktuelle Gefährdung.

Die beste Interpretation von CrowdStrikes Warnung ist nicht, dass jede Organisation eine bestimmte Plattform benötigt. Sie lautet vielmehr, dass KI-Systeme bestehenden Vertrauensbeziehungen im Unternehmen beitreten, bevor viele Firmen sie abbilden können.

Diese Aussage steht im Einklang mit den gemeldeten Paketkompromittierungen, dem Missbrauch von Authentifizierung und Cloud-Aktivitäten. Sie ist belastbarer als jede Behauptung, wonach KI allein die gesamte Veränderung der Cyberkriminalität erklärt.

Worauf Sicherheitsteams als Nächstes achten sollten

Die nächsten drei Signale werden zeigen, ob sich die KI-Sicherheitslücke schließt oder zu einer dauerhaften Schwäche in Unternehmen wird.

Das erste Signal ist die Geschwindigkeit der Ausnutzung nach öffentlichen Schwachstellenveröffentlichungen. CrowdStrike stellte fest, dass 88 % der beobachteten Ausnutzung mit Proof-of-Concept-Code innerhalb von 48 Stunden erfolgten.

Sicherheitsteams sollten dieses Zeitfenster mit ihren eigenen Zeiten für Asset-Erkennung und Behebung vergleichen. Wenn Angreifer weiterhin innerhalb eines Tages handeln, bleiben periodische Patch-Programme unzureichend.

Ein stärkerer defensiver Trend würde eine schnellere Identifikation exponierter Systeme und verlässlichere Notfall-Updates umfassen. Längere Behebungszeiten würden CrowdStrikes Argument einer unzureichend geschützten Angriffsfläche untermauern.

Das zweite Signal ist die Verbreitung bösartiger Abhängigkeiten über KI-Frameworks hinweg. Die gemeldete Kompromittierung von 131 Paketen zeigt, warum Paket-Registries besondere Aufmerksamkeit verdienen.

Organisationen sollten beobachten, ob künftige Kampagnen weit verbreitete Agenten-Frameworks, MCP-Integrationen, Modell-Clients oder Entwicklungserweiterungen ins Visier nehmen. Wiederholte Kompromittierungen würden zeigen, dass Angreifer KI-Tooling als effizienten Distributionskanal betrachten.

Verteidiger sollten auch ihre Fähigkeit messen, betroffene Anwendungen schnell zu identifizieren. Ein Abhängigkeitsinventar, dessen Abfrage Wochen dauert, liefert während einer schnell laufenden Kampagne nur wenig Nutzen.

Das dritte Signal ist, ob Agentensicherheit unabhängig verifizierte Ergebnisse hervorbringt. Anbieter werden mit zunehmender Unternehmensadoption weitere Funktionen für Erkennung, Governance und Laufzeit-Monitoring ankündigen.

Käufer sollten über Funktionslisten hinausblicken. Aussagekräftige Belege sind unter anderem kürzere Untersuchungszeiten, die erfolgreiche Eindämmung manipulierter Agents, geringere Datenabflüsse und beherrschbare Falschpositivraten.

Diese Kennzahlen werden auch zeigen, ob CrowdStrike AI Security und konkurrierende Plattformen schädliche Absichten innerhalb ansonsten legitimer Aktionen erkennen können.

Für Entwickler hat zunächst die Pflege von Abhängigkeiten und Zugangsdaten Priorität. Neue AI-Frameworks sollten denselben Prüfprozess durchlaufen wie andere Produktionssoftware.

Für Unternehmenskäufer liegt die Priorität in der Zuordnung von Berechtigungen. Bevor ein Agent genehmigt wird, sollten Teams dokumentieren, welche Daten er liest, welche Systeme er verändert und welche Identität diese Aktionen autorisiert.

Für Wissensarbeiter ist Transparenz entscheidend. Mitarbeitende benötigen klare Leitlinien dazu, welche Tools genehmigt sind und welche Informationen sie sicher übermitteln können.

Sicherheitsteams sollten genehmigte Workflows einfacher nutzbar machen als unverwaltete Alternativen. Andernfalls können restriktive Richtlinien AI-Aktivitäten aus der Unternehmenssicht verdrängen.

Die Präsenz in Google News verschafft den Aussagen von CrowdStrike ein größeres Publikum, doch Aufmerksamkeit allein wird die Lücke nicht schließen. Organisationen benötigen Belege aus ihren eigenen Umgebungen, darunter Asset-Inventare, Agent-Berechtigungen, Abhängigkeitsaufzeichnungen und Reaktionszeiten.

Die praktische Frage ist direkt: Kann Ihr Sicherheitsteam ein AI-System sehen, seine Berechtigungen verstehen und es eindämmen, bevor ein Angreifer Automatisierung in Zugriff verwandelt? Wenn die Antwort weiterhin unklar ist, behandeln Sie diese Unsicherheit als aktiven Sicherheitsbefund.