CrowdStrike warnt: KI ist zugleich Cyberwaffe und Angriffsziel

CrowdStrike hat in der aktuellen Google-News-Berichterstattung zur Cybersicherheit einen deutlichen Konflikt dokumentiert: Unternehmen setzen KI ein, während Angreifer sie bewaffnen und gezielt attackieren. Das Sicherheitsunternehmen erklärt, dass Kriminelle und staatlich unterstützte Gruppen generative KI nutzen, um Täuschungen zu verbessern, Operationen zu beschleunigen und betrügerische Identitäten zu unterstützen. Dieselben Gruppen greifen zudem KI-Entwicklungstools, autonome Agenten, Zugangsdaten und die Daten an, auf die diese Systeme zugreifen können.

Diese Kombination verändert die Sicherheitsbewertung. Ein KI-Assistent ist nicht lediglich eine weitere Anwendung, die Beschäftigte nutzen. Ein Agent kann Befehle ausführen, externe Dienste aufrufen, auf internes Wissen zugreifen und über eine nicht-menschliche Identität handeln. Wird ein solcher Agent kompromittiert, kann ein Angreifer sowohl Informationen als auch einen operativen Zugangskanal erhalten.

CrowdStrike stellte diese doppelte Bedrohung in seinem 2025 Threat Hunting Report vor, der am 4. August 2025 während der Black Hat USA veröffentlicht wurde. Die anschließenden Forschungen des Unternehmens haben die Warnung bekräftigt. KI senkt die Kosten ausgewählter Angriffstätigkeiten und schafft zugleich privilegierte Systeme, die Verteidiger nicht wie gewöhnliche Software behandeln können.

Was CrowdStrike tatsächlich herausgefunden hat

Die zentrale Erkenntnis lautet nicht, dass KI neue Formen von Cyberkriminalität erfunden hat, sondern dass sie bekannte Methoden leichter skalierbar und schwerer einzudämmen macht.

Die Ergebnisse der Threat Hunting-Untersuchungen basierten auf Untersuchungen an vorderster Front und auf Erkenntnissen zu mehr als 265 namentlich erfassten Gegnern. CrowdStrike erklärte, Angreifer setzten generative KI für Social Engineering, Einflussoperationen, betrügerische Beschäftigung und technische Problemlösung ein.

Das Unternehmen hob FAMOUS CHOLLIMA hervor, seine Bezeichnung für eine mit Nordkorea verbundene Operation mit betrügerischen Remote-Technologiearbeitskräften. CrowdStrike gab an, in den vorangegangenen 12 Monaten mehr als 320 betroffene Unternehmen untersucht zu haben. Dies entspreche laut Unternehmen einem Anstieg von 220 Prozent gegenüber dem vorherigen Zeitraum.

Diese Operationen gingen über das Versenden professionell formulierter Lebensläufe hinaus. CrowdStrike zufolge nutzten die Akteure generative KI während des gesamten Bewerbungs- und Beschäftigungsprozesses. Zu den berichteten Anwendungen gehörten das Erstellen von Bewerbungsunterlagen, die Vorbereitung auf Vorstellungsgespräche, das Verschleiern von Identitäten und die Erledigung technischer Aufgaben nach der Einstellung.

Eine betrügerische Arbeitskraft, die die üblichen Prüfungen besteht, gelangt über ein autorisiertes Konto ins Unternehmen. Der Arbeitgeber stellt möglicherweise ein verwaltetes Gerät, Zugangsdaten, Zugriff auf Quellcode und interne Kommunikationskanäle bereit. Damit wird die Operation zu einer durch Täuschung unterstützten Insider-Bedrohung statt zu einem klassischen externen Einbruch.

Generative KI hilft dabei, die einzelnen Phasen zu verbinden. Sie kann einen Lebenslauf für jede Stelle umschreiben, Antworten vorbereiten, Code generieren und einen konsistenten fiktiven Hintergrund aufrechterhalten. CrowdStrikes Belege zeigen jedoch nicht, dass KI diese Operationen eigenständig durchgeführt hat. Menschen steuerten die Kampagnen weiterhin und profitierten von ihrem Zugang.

Andere staatlich unterstützte Gruppen nutzten die Technologie anders. CrowdStrike zufolge setzte die mit Russland verbundene Gruppe EMBER BEAR generative KI für Einflussaktivitäten ein, die prorussische Narrative stützten. Die mit Iran verbundene Gruppe CHARMING KITTEN nutzte Berichten zufolge große Sprachmodelle, um Phishing-Material gegen amerikanische und europäische Ziele zu verbessern.

Der Bericht untersuchte außerdem Hands-on-Keyboard-Einbrüche, bei denen ein Angreifer manuell mit einer kompromittierten Umgebung interagiert. CrowdStrike stellte fest, dass 81 Prozent dieser Einbrüche im Beobachtungszeitraum ohne Malware erfolgten. Stattdessen setzten Angreifer auf gültige Zugangsdaten, vertrauenswürdige Tools, Cloud-Dienste und integrierte Verwaltungsfunktionen.

Diese Kennzahl ist relevant, weil viele Abwehrmaßnahmen weiterhin auf die Erkennung bösartiger Dateien ausgerichtet sind. Ein legitimes Konto, das zugelassene Software verwendet, kann nur wenige herkömmliche Malware-Indikatoren erzeugen. KI kann einem Angreifer helfen, die Umgebung zu untersuchen oder technische Ausgaben zu interpretieren, ohne eine erkennbare Schadlast einzuschleusen.

Cloud-Einbrüche erhöhten den Druck zusätzlich. CrowdStrike meldete im ersten Halbjahr 2025 einen Anstieg um 136 Prozent gegenüber dem gesamten Jahr 2024. Der Vergleich umfasst Zeiträume unterschiedlicher Länge und sollte daher als operative Warnung, nicht als marktweite Rate gelesen werden.

Cloud-Konsolen enthalten Identitäten, Speicher, Geheimnisse und Verwaltungsfunktionen. Sie hosten außerdem viele der Tools, die zum Erstellen und Betreiben von KI-Anwendungen verwendet werden. Diese Konzentration macht Cloud-Zugriff wertvoll, selbst wenn ein Angreifer nie den Laptop eines Mitarbeiters kompromittiert.

Die Zahlen beruhen auf CrowdStrikes Einblicken in Kundenumgebungen und Untersuchungen. Sie sind keine vollständige Erfassung aller weltweiten Einbrüche. Telemetriedaten eines Anbieters können aussagekräftige Muster aufzeigen, spiegeln jedoch auch dessen Kundenbasis, Erkennungsmethoden und Definitionen wider.

Diese Einschränkung hebt das Muster nicht auf. Sie bestimmt das angemessene Vertrauensniveau. CrowdStrike beobachtete in realen Untersuchungen, wie Angreifer KI-gestützte Arbeit mit Identitätsmissbrauch, vertrauenswürdigen Diensten und Cloud-Zugriff kombinierten.

Warum diese Google-News-Warnung jetzt wichtig ist

Die Einführung von KI verlagert Entscheidungsbefugnisse von sichtbaren menschlichen Handlungen in automatisierte Abläufe, die viele Sicherheitsteams nicht vollständig erfassen können.

Die Google-News-Schlagzeile beschreibt eine tatsächliche Umkehrung. Unternehmen haben KI eingeführt, um Recherche, Programmierung, Kundensupport und Verwaltungsarbeit zu beschleunigen. Jede Verbindung, die einen Agenten nützlich macht, kann auch den Schaden erhöhen, der durch Manipulation oder gestohlenen Zugriff entsteht.

Ein KI-Agent ist Software, die ein Ziel erhält, Handlungen auswählt und mit begrenzter menschlicher Beteiligung Tools nutzt. Anders als ein herkömmlicher Chatbot kann er mit E-Mails, Datenbanken, Browsern, Code-Repositories oder Cloud-Diensten interagieren. Diese Fähigkeit kann eine irreführende Eingabe in ein mögliches operatives Ereignis verwandeln.

Betrachten wir einen Agenten, der Vertriebsbriefings erstellt. Er kann Kundenakten, Besprechungstranskripte und interne Dokumente lesen. Manipuliert ein Angreifer seine Anweisungen, könnte der Agent vertrauliches Material offenlegen oder kompromittierte Informationen in ein anderes System übertragen.

Ein Coding-Agent schafft eine andere Angriffsfläche. Er kann private Repositories prüfen, Terminalbefehle ausführen, Pakete installieren und Änderungen einreichen. Ein kompromittiertes Plugin oder eine bösartige Anweisung könnte diesen Zugriff ausnutzen, ohne den Malware-Verteilmethoden zu ähneln, die Verteidiger bereits überwachen.

Das Risiko erfordert keinen vollständig autonomen Angreifer. Ein Gegner muss lediglich eine Eingabe manipulieren, ein Token stehlen oder eine anfällige Komponente ausnutzen. Der vertrauenswürdige Agent kann dann die nächste Aktion mit Berechtigungen ausführen, die die Organisation ihm rechtmäßig erteilt hat.

Deshalb ist Identität zum zentralen Thema geworden. Maschinenidentitäten umfassen Dienstkonten, Tokens, Anwendungszugangsdaten und andere nicht-menschliche Zugriffsmechanismen. Sie arbeiten häufig kontinuierlich, und ihre Aktivität kann in der erwarteten Automatisierung aufgehen.

Für menschliche Konten gibt es üblicherweise etablierte Kontrollen rund um Einstellung, Ausscheiden, Authentifizierung und Zugriffsüberprüfungen. Maschinenidentitäten können sich viel schneller vermehren. Teams können sie bei Experimenten erstellen, ihnen zu weitreichende Berechtigungen lassen oder versäumen, ihre Verantwortlichen zu dokumentieren.

Autonomes Verhalten erschwert die Überwachung zusätzlich. Ein menschlicher Analyst kann erklären, warum er eine Datei geöffnet oder eine Einstellung geändert hat. Ein Agent kann eine Abfolge dynamisch auswählen, abhängig von seiner Modellausgabe und den Informationen, auf die er trifft.

Sicherheitsteams stehen daher vor zwei zusammenhängenden Fragen. Sie müssen entscheiden, ob die Identität eine Handlung ausführen durfte. Außerdem müssen sie feststellen, ob der Agent auf sein vorgesehenes Ziel hinarbeitete.

Traditionelle Zugriffskontrollen beantworten die erste Frage nur unvollkommen. Die zweite beantworten sie selten. Ein Agent kann eine schädliche Entscheidung treffen, während er gültige Zugangsdaten und zugelassene Tools verwendet.

CrowdStrikes spätere Erkenntnisse untermauerten dieses Argument. Sein Threat Report 2026 erklärte, die Aktivität von KI-fähigen Angreifern sei im Jahresvergleich um 89 Prozent gestiegen. Das Unternehmen berichtete außerdem, dass Angreifer bei mehr als 90 Organisationen bösartige Prompts in legitime generative KI-Tools eingeschleust hätten.

CrowdStrike ermittelte für 2025 eine durchschnittliche eCrime-Ausbruchszeit von 29 Minuten. Die Ausbruchszeit ist das Intervall zwischen dem Erstzugriff und der lateralen Bewegung in ein anderes System. Der schnellste beobachtete Fall dauerte laut Unternehmen 27 Sekunden.

Diese Zahlen sollten nicht als Beleg dafür verstanden werden, dass die meisten Angriffe autonom sind. CrowdStrike beschreibt KI-fähige Angreifer, eine breitere Kategorie, die Menschen einschließen kann, die KI in ausgewählten Phasen einsetzen. Diese Unterscheidung ist wichtig, wenn Organisationen Abwehrmaßnahmen planen oder kurzfristige Risiken einschätzen.

Die operative Erkenntnis bleibt dringend. Ein Überprüfungsprozess, der in Stunden gemessen wird, kann Bewegungen, die in Minuten erfolgen, nicht zuverlässig stoppen. Ein Workflow, der mehrere manuelle Freigaben erfordert, kann versagen, wenn ein Angreifer gültige Identitäten nahezu sofort wiederverwenden kann.

KI kann Verteidigern helfen, Signale mit vergleichbarer Geschwindigkeit zu analysieren. Automatisierte Verteidigung benötigt jedoch ebenfalls Grenzen, Belege und menschliche Eskalation. Einem Sicherheitsagenten unbegrenzte Befugnisse zu geben, würde genau das Berechtigungsproblem reproduzieren, das andernorts Risiken schafft.

Angreifer nutzen KI, um Vertrauensmissbrauch zu skalieren

Die ausgereiftesten böswilligen Anwendungen von KI stärken Täuschung und Workflow-Effizienz, statt Angreifer durch unabhängige Maschinen zu ersetzen.

Die Fälle betrügerischer Arbeitskräfte veranschaulichen dieses Muster deutlich. Der Angreifer fordert ein Modell nicht dazu auf, ein Unternehmen von Anfang bis Ende zu kompromittieren. Stattdessen unterstützt KI wiederkehrende Aufgaben, die zuvor Zeit beanspruchten oder zusätzliches Personal erforderten.

Ein Sprachmodell kann Bewerbungsunterlagen an eine Stellenbeschreibung anpassen. Es kann Nachrichten übersetzen, plausible Erklärungen generieren und bei unbekannten Programmieraufgaben helfen. Synthetische Medien können zudem Bemühungen unterstützen, die Identität des Akteurs bei Remote-Vorstellungsgesprächen zu verschleiern.

Jede Fähigkeit verbessert die Skalierbarkeit. Eine Gruppe kann mehr Stellen verfolgen, mehr Personas aufrechterhalten und schneller reagieren. Der daraus entstehende Zugriff erfolgt weiterhin über Geschäftsprozesse, die Unternehmen für legitime Einstellungen entwickelt haben.

Damit wird das Einstellungssystem Teil des Sicherheitsperimeters. Recruiter, einstellende Führungskräfte, IT-Administratoren und Engineering-Verantwortliche sehen jeweils nur einen Abschnitt des Prozesses. Verdächtige Details erreichen möglicherweise nie dieselbe prüfende Person.

Der Angriff kann auch nach dem Onboarding fortgesetzt werden. Eine Arbeitskraft mit gültigem Zugriff kann Code kopieren, Zugangsdaten sammeln oder Einnahmen an ein sanktioniertes Regime weiterleiten. KI-Unterstützung hilft dem Akteur, genügend Arbeit zu leisten, um glaubwürdig zu bleiben.

Verteidiger sollten auffälliges Verhalten in Videos oder Sprachfehler nicht als entscheidenden Beweis behandeln. Solche Signale können legitimen Bewerbern schaden und lassen sich von Angreifern leicht anpassen. Stärkere Kontrollen verbinden Identitätsprüfung, Geräteherkunft, Zugriffsumfang und fortlaufendes Verhalten.

Phishing zeigt denselben wirtschaftlichen Effekt. Generative KI kann Grammatik verbessern, Nachrichten übersetzen und Köder mithilfe öffentlicher Informationen gezielt anpassen. Sie garantiert keine Überzeugungskraft, senkt aber den Aufwand für die Erstellung brauchbarer Varianten.

Angreifer können Modelle auch für technische Unterstützung verwenden. Ein weniger erfahrener Akteur kann um Hilfe bei Skripten oder Erklärungen zu unbekannten Systemen bitten. Dadurch sinken einige Kompetenzhürden, ohne dass Zugriff, Urteilsvermögen, Tests und operative Disziplin überflüssig werden.

Das Ergebnis ist ein ungleichmäßiger Fähigkeitszuwachs. KI hilft besonders dort, wo Aufgaben wiederholbar, sprachlastig oder leicht überprüfbar sind. Weniger zuverlässig bleibt sie, wenn ein Einbruch originäre Recherche, stabile langfristige Planung oder präzise Entscheidungen unter Unsicherheit erfordert.

Diese Unterscheidung stellt dramatische Vorhersagen über autonomes Hacking infrage. Sicherheitsverantwortliche sollten sich auf schnellere, unterstützte Angreifer vorbereiten, bevor sie von verlässlicher End-to-End-Autonomie ausgehen. Das unterstützte Modell reicht bereits aus, um das Alarmaufkommen zu erhöhen und Reaktionszeiten zu verkürzen.

Angreifer profitieren zudem von legitimer Infrastruktur. Sie können über Cloud-Plattformen, Fernwartungstools, Kollaborationsdienste und zugelassene Anwendungen agieren. Diese Dienste bieten Skalierbarkeit und Glaubwürdigkeit, während sie einfache Blockierungsregeln erschweren.

Die Feststellung von CrowdStrike, dass 81 Prozent der Hands-on-Keyboard-Eindringlinge ohne Malware erfolgten, passt zu diesem Muster. Der Vorteil von Angreifern entsteht zunehmend dadurch, dass sie autorisiert wirken. KI verbessert diesen Eindruck durch Unterstützung bei Kommunikation, Recherche und schneller Anpassung.

Identitätsschutz ist daher wichtiger als die alleinige Erkennung von Schadcode. Phishing-resistente Authentifizierung kann das Risiko einer Kontoübernahme reduzieren, auch wenn keine Authentifizierungsmethode für sich genommen betrügerische Anstellungen oder gestohlene Sitzungstokens verhindert.

Organisationen benötigen außerdem kürzere Gültigkeitsdauern für Zugangsdaten und enger gefasste Berechtigungen. Ein Token, das jedes Repository lesen oder jedes Produktionstool aufrufen kann, schafft unnötige Angriffsfläche. Der Zugriff von Agenten sollte demselben Least-Privilege-Prinzip folgen wie der von menschlichen Nutzern.

Least Privilege bedeutet, nur die Zugriffe zu gewähren, die für eine klar definierte Aufgabe erforderlich sind. Bei Agenten sollte dieser Zugriff zudem schnell ablaufen und einem eindeutig identifizierbaren Verantwortlichen zugeordnet bleiben. Dauerhafte gemeinsam genutzte Zugangsdaten erschweren Attribution und Eindämmung erheblich.

Sicherheitsteams benötigen Nachweise, die Prompts, Tool-Aufrufe, Identitätsereignisse und daraus resultierende Änderungen miteinander verbinden. Ohne diese Spur sehen Analysten möglicherweise ein zugelassenes Konto bei einer zugelassenen Aktion, aber nicht die Manipulation, die sie ausgelöst hat.

Hier überschneiden sich Wissensgovernance und Cybersicherheit. Organisationen, die Rechercheergebnisse, Transkripte und Dateien in einer persönlichen Wissensdatenbank zentralisieren, sollten verstehen, welche Agenten dieses Material abrufen können. Komfort bei der Suche darf nicht unbemerkt zu universellem Maschinenzugriff werden.

Das Ziel ist nicht, Mitarbeitende von der Nutzung von KI abzuhalten. Es geht darum, zu verhindern, dass Experimente unsichtbare Identitäten und undokumentierte Verbindungen schaffen. Sicherheitsteams können keinen Agenten schützen, den niemand erfasst hat.

KI-Agenten machen nützliche Automatisierung zum Ziel

Je mehr Befugnisse ein KI-Agent erhält, desto wertvoller wird er für Angreifer – und desto sorgfältiger müssen seine Eingaben geschützt werden.

CrowdStrike erklärte, es habe beobachtet, wie Bedrohungsakteure Schwachstellen in Tools zur Entwicklung von KI-Agenten ausnutzen. Zu den berichteten Folgen gehörten nicht authentifizierter Zugriff, Diebstahl von Zugangsdaten, dauerhafter Zugriff, die Bereitstellung von Malware und die Auslieferung von Ransomware.

Die Schwachstelle kann außerhalb des Modells selbst liegen. Ein Agent ist auf Orchestrierungssoftware, APIs, Plugins, Datenspeicher, Cloud-Dienste und Identitätssysteme angewiesen. Ein Fehler irgendwo in dieser Kette kann die umgebende Umgebung gefährden.

Diese Sicht auf Systemebene ist entscheidend. Alleinige Modelltests können weder ein geleaktes Token noch eine exponierte Entwicklungsschnittstelle oder ein überprivilegiertes Dienstkonto aufdecken. Die Absicherung von KI erfordert eine Prüfung der vollständigen Anwendung und ihrer betrieblichen Abhängigkeiten.

Prompt Injection eröffnet einen weiteren Angriffsweg. Sie tritt auf, wenn bösartige Inhalte ein Modell dazu bringen, unbeabsichtigten Anweisungen zu folgen. Solche Inhalte können auf einer Webseite, in einem Dokument, einer E-Mail, einer Tool-Antwort oder anderem Material erscheinen, das ein Agent verarbeitet.

Eine direkte Prompt Injection stammt vom Nutzer. Eine indirekte Injection verbirgt Anweisungen in externen Inhalten, die das Modell später abruft. Die zweite Form ist besonders schwierig, weil nützliche Agenten erwartungsgemäß nicht vertrauenswürdiges Material lesen sollen.

Die OWASP-Leitlinien für Agenten behandeln Prompt Injection, übermäßige Handlungsbefugnisse, Offenlegung sensibler Informationen und unsichere Tool-Nutzung als miteinander verbundene Risiken. Eine eingeschleuste Anweisung wird gefährlicher, wenn der betroffene Agent weitreichende Berechtigungen besitzt.

Filter können offensichtliche Angriffe verringern, aber sie können nicht garantieren, dass ein Modell jede Anweisung von jedem Datenelement trennt. Natürliche Sprache bietet für sich genommen keine verlässliche Sicherheitsgrenze.

Die sicherere Architektur geht davon aus, dass Modellausgaben falsch oder manipuliert sein können. Sie validiert jede folgenschwere Aktion außerhalb des Modells, beschränkt zugängliche Tools und verlangt eine Freigabe, wenn die Folgen einen definierten Schwellenwert überschreiten.

Ein E-Mail-Assistent kann Nachrichten automatisch entwerfen, jedoch vor dem externen Versand eine Freigabe verlangen. Ein Coding-Agent kann Änderungen vorschlagen, aber keine direkten Produktionszugangsdaten besitzen. Ein Support-Agent kann den Datensatz eines Kunden lesen, ohne die umfassendere Datenbank zu exportieren.

Diese Kontrollen verringern die Autonomie und machen damit den zentralen Zielkonflikt sichtbar. Unternehmen wollen Agenten, weil diese ohne ständige Aufsicht handeln können. Die Sicherheit verbessert sich, wenn folgenreiche Aktionen vorhersehbaren Grenzen und Prüfungen unterliegen.

Die Antwort ist kein universeller Freigabedialog. Übermäßige Aufforderungen bringen Nutzer dazu, alles zu genehmigen. Kontrollen sollten die Reversibilität einer Aktion, die Sensibilität der Daten, das Ziel und die potenzielle Reichweite berücksichtigen.

Das Lesen einer öffentlichen Webseite birgt weniger Risiko als das Löschen von Cloud-Ressourcen. Das Erstellen einer internen Zusammenfassung unterscheidet sich vom Versenden von Kundendaten an eine externe Adresse. Sicherheitsrichtlinien sollten diese Unterschiede abbilden, bevor der Agent handelt.

Das United States National Institute of Standards and Technology empfiehlt, KI-Risiken über Design, Bereitstellung und Monitoring hinweg zu managen. Sein KI-Risikorahmen betont Governance, Messung und fortlaufendes Management statt eines einmaligen Zertifizierungsereignisses.

Dieser Lebenszyklusansatz eignet sich für agentische Systeme. Das Verhalten eines Agenten kann sich ändern, wenn Teams sein Modell austauschen, ein Tool hinzufügen, einen Prompt verändern oder eine weitere Datenquelle anbinden. Eine Sicherheitsprüfung vom Tag der Einführung ist schnell überholt.

Ein Inventar ist der notwendige Ausgangspunkt. Eine Organisation sollte wissen, welche Agenten existieren, wem sie gehören, welche Modelle sie nutzen und welche Identitäten ihre Aktionen autorisieren. Außerdem sollte sie erfassen, auf welche Informationen und Tools jeder Agent zugreifen kann.

Das Inventar muss auch inoffizielle Bereitstellungen enthalten. Mitarbeitende verbinden häufig KI-Dienste für Endverbraucher mit Unternehmensdaten, bevor ein zentrales Team eine Plattform genehmigt. Jedes Experiment zu blockieren, kann diese Aktivitäten weiter aus dem Blickfeld drängen.

Ein sichereres Programm bietet genehmigte Wege mit klaren Grenzen. Teams können Agenten in isolierten Umgebungen testen, synthetische Daten verwenden und begrenzte Zugangsdaten beantragen. Sicherheit wird dann Teil der Bereitstellung statt eines abschließenden Hindernisses.

Das Runtime-Monitoring muss über Modelleingaben hinausgehen. Analysten benötigen Aufzeichnungen über abgerufene Informationen, Tool-Auswahl, API-Aufrufe, Zugriffsänderungen und externe Kommunikation. Sie brauchen außerdem eine Möglichkeit, einen Agenten unverzüglich auszusetzen.

Die Verantwortlichen für Agenten sollten das erwartete Verhalten in messbaren Begriffen definieren. Ein Finanzagent könnte Rechnungen aus einem Repository lesen und Entwürfe in einem System erstellen. Zugriffe außerhalb dieses Musters verdienen Untersuchung, selbst wenn die Authentifizierung erfolgreich war.

Menschliche Aufsicht bleibt wichtig, doch Menschen können nicht jede Aktion auf niedriger Ebene prüfen. Das praktische Modell kombiniert maschinell durchgesetzte Grenzen, automatisierte Anomalieerkennung und menschliche Prüfung für unklare oder folgenschwere Fälle.

CrowdStrike hat ein kommerzielles Interesse daran, Ausgaben für KI-Sicherheit auszuweiten. Seine Berichte unterstützen Produkte, die Identitäten, Endpunkte, Cloud-Aktivitäten und autonome Agenten verwalten. Dieses Interesse sollte bei der Bewertung der Einordnung des Unternehmens berücksichtigt werden.

Gleichzeitig stimmt seine zentrale Warnung mit etablierten Sicherheitsprinzipien überein. Systeme mit sensiblen Daten, weitreichenden Berechtigungen und externen Eingaben benötigen starke Isolation und Überwachung. KI-Agenten vereinen alle drei Eigenschaften ungewöhnlich häufig.

Die ungelöste Frage ist die Messung. Öffentliche Berichte liefern Beispiele und ausgewählte Telemetriedaten, doch der Branche fehlt ein einheitlicher Nenner für die Kompromittierung von Agenten. Organisationen können weiterhin nicht leicht Vorfallraten über verschiedene Bereitstellungen oder Sicherheitsarchitekturen hinweg vergleichen.

Diese Lücke schafft Raum für Selbstzufriedenheit ebenso wie für Übertreibungen. Einige Verantwortliche könnten Angriffe auf Agenten als isolierte Demonstrationen abtun. Andere könnten umfassende Kontrollen kaufen, ohne zu ermitteln, welche Workflows tatsächlich nennenswerte Risiken schaffen.

Eine belastbare Reaktion beginnt bei Zugriffsrechten und Folgen. Wenn ein Agent keine sensiblen Informationen erreichen oder folgenschwere Aktionen ausführen kann, hat Prompt-Manipulation nur begrenzten Wert. Kontrolliert er Produktionssysteme, verdient jede nicht vertrauenswürdige Eingabe Aufmerksamkeit.

Was Sicherheitsteams als Nächstes beobachten sollten

Die nächste Phase wird durch drei Signale bestimmt: verifizierte Agenten-Eindringlinge, identitätsbewusste Kontrollen und glaubwürdige Messungen der defensiven Leistung.

Das erste Signal sind Belege, die eine tatsächliche Kompromittierung mit den Entscheidungen und Berechtigungen eines Agenten verbinden. Forschende haben bereits anfällige KI-Infrastruktur und Prompt-Manipulation dokumentiert. Entscheidend ist als Nächstes, ob Vorfallberichte zeigen, dass Agenten laterale Bewegungen, Datendiebstahl oder zerstörerische Aktionen im großen Maßstab ermöglichen.

Detaillierte Offenlegungen würden das Argument von CrowdStrike stärken. Nützliche Berichte sollten die ursprüngliche Eingabe, die betroffene Identität, verfügbare Tools, die resultierende Aktion und den Kontrollfehler benennen. Vage Verweise auf einen KI-bezogenen Vorfall belegen keine Kausalität.

Sollten öffentliche Untersuchungen weiterhin nur konventionellen Diebstahl von Zugangsdaten in der Nähe von KI-Systemen feststellen, würden die stärksten Autonomiebehauptungen an Gewicht verlieren. Die Infrastruktur benötigt weiterhin Schutz, doch das Risiko bliebe näher an etablierter Cloud- und Anwendungssicherheit.

Das zweite Signal ist die Geschwindigkeit, mit der Sicherheitsplattformen identitätsbewusste Agentenkontrollen übernehmen. CrowdStrike kündigte im März 2026 erweiterte Schutzmaßnahmen für Endpunkte, Browser, Softwaredienste und Cloud-Umgebungen an. Andere Anbieter verfolgen verwandte Funktionen für Erkennung, Governance und Runtime-Monitoring.

Die entscheidende Frage ist nicht, wie viele Produkte ein KI-Label hinzufügen. Käufer sollten fragen, ob eine Kontrolle den menschlichen Verantwortlichen hinter einem Agenten identifizieren, die Tool-Nutzung beschränken, Zugangsdaten rotieren und systemübergreifend Nachweise bewahren kann.

Offene Standards würden die Portabilität verbessern. Organisationen sollten nicht für jedes Agenten-Framework separate Identitätsmodelle benötigen. Einheitliche Aufzeichnungen für Autorisierung, Tool-Aufrufe und delegierte Aktionen würden Untersuchungen und die Durchsetzung von Richtlinien konsistenter machen.

CrowdStrike schloss sich im Juli 2026 einer Brancheninitiative für offene KI-Sicherheitsforschung an. Die Ankündigung seiner Sicherheitsallianz betonte gemeinsame Modelle, Testtools und gemeinschaftliche Bewertung. Konkrete Benchmarks und interoperable Kontrollen werden wichtiger sein als Mitgliedschaftsankündigungen.

Wenn Anbieter konsistente Agenten-Telemetrie und Durchsetzungspunkte bereitstellen, wird die These der doppelten Bedrohung besser handhabbar. Bleiben Kontrollen proprietär und fragmentiert, können Angreifer Lücken zwischen Identitäts-, Modell- und Anwendungsmonitoring ausnutzen.

Das dritte Signal ist messbare defensive Leistung. Sicherheitsagenten versprechen schnellere Triage, Threat Hunting und Reaktion. Käufer benötigen Nachweise über Erkennungsqualität, Eindämmungszeit, Fehlalarmraten und die Folgen automatisierter Fehler.

Die Breakout-Zeit liefert eine nützliche Kennzahl für den Zeitdruck. Der von CrowdStrike gemeldete Durchschnitt von 29 Minuten lässt wenig Raum für einen langsamen manuellen Prozess. Geschwindigkeit allein kann jedoch nicht bestimmen, ob eine automatisierte Reaktion korrekt oder sicher ist.

Ein System, das legitime Nutzer zu häufig isoliert, verursacht betriebliche Schäden. Ein System, das flüssige Zusammenfassungen ohne verlässliche Belege erzeugt, kann Analystenzeit verschwenden. Defensive KI sollte daher anhand konkreter Aufgaben und Fehlerkosten bewertet werden.

Unabhängige Tests werden zunehmend wichtiger. Demonstrationen von Anbietern finden meist in kontrollierten Umgebungen mit ausgewählten Daten statt. Der reale Sicherheitsbetrieb umfasst unvollständige Telemetrie, widersprüchliche Warnungen, Altsysteme und geschäftliche Einschränkungen.

Aufsichtsgremien und Führungskräfte sollten einen kompakten Satz operativer Antworten verlangen. Sie müssen wissen, wie viele Agenten existieren, welche über weitreichende Berechtigungen verfügen und wie schnell das Unternehmen ihren Zugriff widerrufen kann.

Engineering-Teams benötigen andere Details. Sie sollten wissen, welche Eingaben nicht vertrauenswürdig sind, welche Aktionen extern validiert werden und ob Protokolle den Kontext der Schlussfolgerungen eines Agenten mit den daraus resultierenden Tool-Aufrufen verknüpfen.

Sicherheitsteams müssen diese Perspektiven zusammenführen. Ein Inventar ohne Laufzeitnachweise wird zu einer Tabellenkalkulation, die schnell veraltet. Monitoring ohne klare Zuständigkeiten lässt Analysten nicht entscheiden, ob ungewöhnliches Verhalten legitim ist.

Die Einordnung von Google News lässt die Geschichte wie einen Wettbewerb zwischen offensiver und defensiver KI klingen. Der folgenschwerere Wettbewerb dreht sich um wachsende maschinelle Autorität und die sie umgebenden Kontrollmechanismen.

KI wird Angreifern weiterhin bei Sprache, Recherche und wiederkehrender technischer Arbeit helfen. Sie wird Verteidigern ebenfalls helfen, Telemetriedaten zu verarbeiten und schneller zu reagieren. Keines dieser Ergebnisse beseitigt die Notwendigkeit von Identitätskontrollen, eingeschränkten Berechtigungen und überprüfbaren Aktionsaufzeichnungen.

Organisationen sollten mit einer direkten Übung beginnen. Wählen Sie den Agenten mit dem umfassendsten Zugriff aus und verfolgen Sie dann jede Identität, Datenquelle, jedes Tool und jedes externe Ziel, die beziehungsweise das er nutzen kann. Testen Sie, was passiert, wenn eine Eingabe bösartig wird.

Kann der Agent vertrauliche Daten offenlegen, eine Produktionsressource verändern oder ohne Genehmigung eine externe Partei kontaktieren? Kann das Sicherheitsteam jeden Schritt rekonstruieren und seine Zugangsdaten sofort deaktivieren? Diese Antworten sind wichtiger als weitreichende Prognosen über autonome Cyberkriegsführung.

Die Warnung von CrowdStrike verdient Aufmerksamkeit, weil sie eine Gefährdung beschreibt, die sich bereits innerhalb gewöhnlicher Geschäftsabläufe herausbildet. Die praktische Antwort ist weder Panik noch uneingeschränkte Einführung. Sie lautet: disziplinierte Autorität – jeden Agenten inventarisieren, jede Berechtigung minimieren, folgenschwere Aktionen validieren und Belege bewahren, denen Ermittler vertrauen können.