F5 Workforce AI Security verlagert die Kontrolle über Agenten in den Netzwerkpfad

F5 Workforce AI Security wird im Oktober 2026 allgemein verfügbar und erweitert die Sicherheitsplattform von F5 von KI-Anwendungen auf Aktivitäten von Mitarbeitenden und Agenten. Das Produkt zielt auf einen wachsenden Konflikt in Unternehmen ab. Beschäftigte wollen KI-Tools, die handeln können, während Sicherheitsteams Kontrollen benötigen, bevor diese Handlungen sensible Systeme erreichen.

F5 kündigte das Angebot am 9. September als agentenlose Ebene zur Erkennung von KI-Nutzung und zur Durchsetzung von Richtlinien bei Interaktionen von Mitarbeitenden an. Laut der Ankündigung für Mitarbeitende des Unternehmens umfassen diese Interaktionen Browser, Entwicklertools, Coding-Agenten, Befehlszeilenschnittstellen und Model Context Protocol-Clients.

Die wesentliche Veränderung ist nicht ein weiteres Dashboard, das ChatGPT-Besuche zählt. F5 will prüfen, was ein KI-Agent beabsichtigt, die Anfrage mit einer Identität verknüpfen und vor der Ausführung eingreifen.

Dieser Ansatz stellt netzwerkbasierte Durchsetzung Kontrollen gegenüber, die an Endgeräte, Browser oder einzelne KI-Anwendungen gebunden sind. Er wirft zudem schwierige Fragen zu Verkehrsabdeckung, verschlüsselten Sitzungen, Datenschutz für Mitarbeitende und der Zuverlässigkeit automatisierter Absichtsklassifizierung auf.

Palo Alto Networks, Microsoft, Zscaler, Netskope und andere Sicherheitsanbieter bieten bereits Kontrollen für die KI-Nutzung durch Mitarbeitende an. Die Wette von F5 ist enger gefasst und zugleich ambitionierter. Das Unternehmen argumentiert, dass der Netzwerkpfad zu einem konsistenten Durchsetzungspunkt werden kann, wenn sich KI-Aktivitäten von Prompts hin zu toolgestützter Arbeit verlagern.

F5 Workforce AI Security erweitert die Kontrolle über Prompts hinaus

F5 behandelt den Tool-Aufruf eines Agenten als Sicherheitsereignis und nicht bloß als KI-Konversation.

Herkömmliche Kontrollen für KI-Nutzung durch Mitarbeitende beginnen meist mit der Anwendungserkennung. Sicherheitsteams identifizieren, auf welche generativen KI-Dienste Beschäftigte zugreifen, und beschränken anschließend Uploads, Prompts oder nicht genehmigte Anwendungen.

Diese Kontrollen bleiben wichtig. Mitarbeitende können Quellcode, Kundendaten, Zugangsdaten oder Rechtsdokumente offenlegen, indem sie diese in ein öffentliches Modell eingeben. Die Microsoft-Leitlinien zu Kontrollen für sensible Daten empfehlen, Prompts, Ausgaben, Speicheroperationen, abgerufenen Kontext und Tool-Ergebnisse zu prüfen.

Agenten erweitern das Problem, weil sie nach Erhalt einer Antwort handeln können. Ein Coding-Agent kann ein Repository bearbeiten, ein Deployment-Tool aufrufen oder Befehle ausführen. Ein Assistent könnte Dokumente abrufen, einen Kundendatensatz aktualisieren oder eine Nachricht senden.

Diese Aktionen übernehmen häufig die Berechtigungen des menschlichen Nutzers. F5 bezeichnet diesen Zustand als geliehene Autorität. Der Agent benötigt kein vollständig unabhängiges Konto, um Risiken zu erzeugen, wenn er über Zugangsdaten arbeitet, die einem Mitarbeitenden bereits gewährt wurden.

F5 Workforce AI Security ist darauf ausgelegt, sowohl den Menschen als auch den Agenten in einer Interaktion zu identifizieren. Anschließend kann das Produkt die Absicht der Anfrage klassifizieren, das Zugriffsrisiko bewerten und eine Richtlinie anwenden, bevor ein unterstützter Tool-Aufruf ausgeführt wird.

Das Unternehmen erklärt, Richtlinien könnten Aktionen zulassen, blockieren oder verändern. Sie könnten zudem die Offenlegung sensibler Daten und die mit einer Anfrage verknüpfte Identität berücksichtigen.

Model Context Protocol, kurz MCP, ist ein offenes Protokoll, das KI-Anwendungen mit Tools und Datenquellen verbindet. F5 zufolge kann sein Produkt Tool-Aufrufe über MCP-Server und unterstützte Agenten-Tools hinweg prüfen und klassifizieren.

Diese Unterscheidung verlagert die Sicherheit für Mitarbeitende über die Kontrolle hinaus, welchen Chatbot eine Person öffnet. Ein erlaubter Agent könnte dennoch versuchen, eine Aktion auszuführen, die außerhalb der unmittelbaren Aufgabe des Nutzers oder der Unternehmensrichtlinie liegt.

F5 plant zudem Kontrollen für die Wahl von Diensten, Lizenztypen, Datei-Uploads und Datenrichtlinien. Eine Organisation könnte ein genehmigtes Unternehmenskonto erlauben und gleichzeitig eine Consumer-Version desselben Dienstes einschränken.

Das Produkt ist Teil der umfassenderen F5 AI Security Platform. F5 führte diese Plattform im Juni 2026 für KI-Erkennung, Governance, Tests und Runtime-Schutz ein.

Im August ergänzte das Unternehmen AI Gateway-Funktionen, darunter ein MCP Gateway. Workforce AI Security erweitert die Plattform nun auf Aktivitäten von Mitarbeitenden und Agenten, die unter deren Berechtigungen handeln.

Die Abfolge ist wichtig. Red-Team-Tests können Schwachstellen vor der Bereitstellung aufdecken, während Runtime-Schutzmechanismen aktive KI-Anwendungen schützen. Kontrollen für Mitarbeitende adressieren das separate Risiko, das entsteht, wenn Beschäftigte externe Tools übernehmen oder Aufgaben an Agenten delegieren.

F5 strebt deshalb eine einheitliche Richtlinienstruktur für Entwicklung, Bereitstellung und Nutzung von KI an. Ob Kunden diese Einheitlichkeit tatsächlich erleben, hängt von der Qualität der Integration und der Verkehrsabdeckung ab, nicht allein von der Produktübersicht.

Die allgemeine Verfügbarkeit des Produkts ist für Oktober geplant. Bis erste Bereitstellungen beginnen, bleiben seine Durchsetzungsgenauigkeit und sein operativer Aufwand Unternehmensangaben und keine unabhängig validierten Ergebnisse.

Warum Agentenaktionen ein anderes Sicherheitsproblem schaffen

Ein KI-Agent kann aus einem unvorsichtigen Prompt eine folgenreiche Operation gegen reale Systeme machen.

Wenn Mitarbeitende vertraulichen Text in einen Chatbot einfügen, entsteht ein Problem der Daten-Governance. Wenn ein Agent Zugangsdaten verwendet, um eine Produktionseinstellung zu ändern, entsteht zusätzlich ein Autorisierungsproblem.

Diese Unterscheidung erklärt, warum F5 Aktionen und nicht nur Prompts hervorhebt. Die Sicherheitsgrenze verschiebt sich, sobald ein KI-System Tools aufrufen, Daten verändern oder extern kommunizieren kann.

Der F5 State of Application Strategy Report 2026 ergab, dass 66 Prozent der befragten Organisationen KI erlauben, Richtlinien oder Konfigurationen automatisch anzupassen. F5 zitierte diese Zahl in seiner Ankündigung; sie sollte daher als unternehmensfinanzierte Forschung betrachtet werden.

Trotz dieser Einschränkung ist das zugrunde liegende Problem klar. Unternehmen verlagern KI von beratenden Schnittstellen in Workflows mit Schreibzugriff.

Der Agent kann eine weitreichende Berechtigung erhalten, weil der Mitarbeitende sie bereits besitzt. Die Autorität eines Nutzers beweist jedoch nicht, dass jede von einem Agenten erzeugte Aktion der informierten Absicht des Nutzers entspricht.

Dadurch entsteht eine Lücke zwischen Authentifizierung und Autorisierung. Die Authentifizierung legt fest, wer eine Sitzung initiiert hat. Die Autorisierung muss entscheiden, ob eine bestimmte Aktion in ihrem aktuellen Kontext angemessen ist.

Sicherheitsteams sehen sich zudem mit indirekter Prompt-Injection konfrontiert. Angreifer können bösartige Anweisungen in Inhalte einfügen, die ein Agent später liest, etwa in E-Mails, Websites, Dokumente oder Code-Repositories.

Der Agent könnte diese feindlichen Inhalte als Anweisung interpretieren und eine unbeabsichtigte Aktion ausführen. Die Forschung von NIST zur Agentensicherheit beschreibt Datendiebstahl und die Ausführung bösartigen Codes als mögliche Folgen.

Eine Netzwerkrichtlinienebene kann einen weiteren Prüfpunkt hinzufügen, bevor die daraus resultierende Aktion ein Tool erreicht. Sie beseitigt nicht die kompromittierte Schlussfolgerung innerhalb des Agenten, kann aber das Ergebnis begrenzen.

F5 erklärt, seine Kontrollen nutzten Kontext wie Identität, Absicht, Risiko und sensible Daten. Diese Kombination ist erforderlich, weil weder eine einfache Sperrliste für Anwendungen noch eine statische Berechtigungsliste die gesamte Situation erfasst.

Betrachten wir einen Entwickler, der einen genehmigten Coding-Agenten nutzt. Das Lesen einer öffentlichen Abhängigkeitsdatei könnte Routine sein. Das Hochladen proprietären Codes in ein externes Modell könnte gegen Richtlinien verstoßen.

Das Öffnen eines internen Issues könnte zulässig sein. Die Änderung eines Produktions-Deployments könnte eine separate Genehmigung oder eine stärker eingeschränkte Dienstidentität erfordern.

Die Sicherheitsentscheidung hängt daher davon ab, wer handelt, welche Daten betroffen sind, welches Tool adressiert wird und welche Operation angefordert ist. Sie kann auch von Umgebung und Zeitpunkt abhängen.

Darin liegt der praktische Reiz einer absichtsbasierten Durchsetzung. Sie verspricht mehr Kontext als eine Regel, die einen ganzen Dienst blockiert oder jede Interaktion erlaubt.

„Absicht“ ist jedoch auch eine schwierige Eingabegröße. Ein Klassifikator muss mehrdeutige Anfragen in natürlicher Sprache und technische Tool-Aufrufe in zuverlässige Richtlinienkategorien überführen.

Eine fehlerhafte Blockierung kann legitime Arbeit unterbrechen. Eine fehlerhafte Genehmigung kann Daten offenlegen oder eine schädliche Operation erlauben. Hochrisikoumgebungen benötigen deterministische Kontrollen für die folgenreichsten Aktionen.

Die NIST-Arbeit zu Agentenidentität hebt Identifizierung, Autorisierung, Auditierung und Nichtabstreitbarkeit hervor. Sie fragt zudem, wie Organisationen Prompt-Injection eindämmen können.

Diese Anforderungen gehen über die Inspektion von Datenverkehr hinaus. Unternehmen benötigen klare Agentenidentitäten, eingeschränkte Berechtigungen, dauerhafte Protokolle und Verantwortlichkeiten für jeden automatisierten Workflow.

F5 Workforce AI Security kann zu einer Durchsetzungsebene in diesem System werden. Es sollte nicht zur alleinigen Vertrauensquelle werden.

Der zentrale Wettbewerb lautet Netzwerkdurchsetzung gegen toolspezifische Kontrolle

F5 setzt darauf, dass das Netzwerk einen dauerhafteren Kontrollpunkt bietet als jede einzelne Modell-, Browser- oder Endpunktintegration.

KI-Dienste ändern sich schnell. Mitarbeitende können von einem vertrauten Chatbot zu einer Browser-Erweiterung, einem Coding-Assistenten, einem Befehlszeilenclient oder einem privat gehosteten Modell wechseln.

Eine anwendungsspezifische Sicherheitskontrolle muss jeden Dienst erkennen und seine Schnittstelle verstehen. Ein Endpunktprodukt benötigt Bereitstellung, Wartung und Berechtigungen auf jedem verwalteten Gerät.

F5 schlägt vor, Kontrollen dort anzuwenden, wo Prompts, Antworten und Agentenaktionen die Unternehmensinfrastruktur durchlaufen. Das Unternehmen erklärt, dieser Ansatz sei unabhängig von einem bestimmten Modell- oder Anwendungsanbieter.

Sein Produkt kann KI-Dienste über Browser und Entwicklertools hinweg erkennen. F5 erklärt zudem, es unterstütze selbst entwickelte Tools, die auf öffentliche Modell-APIs zugreifen.

Das Angebot erfordert laut F5 keinen weiteren Endpunkt-Client. Diese Formulierung ist wichtig. Sie bedeutet, dass Kunden möglicherweise keinen neuen Client hinzufügen müssen, nicht, dass das Produkt keinerlei Bereitstellungsaufwand erfordert.

Kunden benötigen weiterhin Netzwerkplatzierung, Identitätsintegration, Richtlinienkonfiguration, Protokollierung und Verbindungen zu ihrer bestehenden Sicherheitsumgebung. Die Abdeckung hängt zudem davon ab, welchen Datenverkehr die Organisation beobachten kann.

Die Produktseite von F5 beschreibt passive Erkennung über gespiegelten Netzwerkverkehr. Sie erklärt, die Out-of-Band-Analyse verursache keine Latenz, weil die Inspektion außerhalb des Produktionspfads stattfinde.

Dieselbe Seite beschreibt adaptive Kontrollen, die Aktivitäten blockieren, umleiten oder verändern. In der Ankündigung heißt es außerdem, Richtlinien arbeiteten im Interaktionspfad.

Diese Funktionen stehen für unterschiedliche Betriebsmodi. Passive Erkennung kann beobachten, ohne den Datenverkehr zu verzögern. Aktive Durchsetzung muss die Anfrage vor der Ausführung beeinflussen.

Unternehmen sollten fragen, welche Komponenten passiv ausgeführt werden und welche inline sitzen. Sie sollten außerdem bestätigen, was geschieht, wenn Inspektionsdienste ausfallen oder eine Anfrage nicht klassifizieren können.

Wettbewerber besetzen bereits Teile dieses Markts. Palo Alto Networks bietet KI-Zugriffskontrollen zur Erkennung generativer KI-Anwendungen und zur Verhinderung von Datenlecks durch Prompts und Uploads.

Microsoft Purview kann KI-Aktivitäten erkennen, Richtlinien zur Verhinderung von Datenverlust anwenden und generative KI-Ereignisse in Audit-Protokollen sichtbar machen. Zscaler erklärt, dass AI Guard for Users Prompts und Antworten von Mitarbeitenden bei öffentlichen KI-Diensten prüft.

Netskope kombiniert Anwendungserkennung, Datenkontrollen und Security-Service-Edge-Infrastruktur. Diese Anbieter verkaufen bereits an Teams für Unternehmensnetzwerke und Datensicherheit.

F5 muss daher beweisen, dass die Kontrolle von Agentenaktionen einen spürbaren operativen Vorteil bietet. Allein Shadow AI aufzuspüren, wird keine ausreichende Differenzierung schaffen.

Seine breitere Plattform könnte dabei helfen. Entdeckungsdaten können laut den Produktfunktionen des Unternehmens in F5 AI Red Team-Tests und Runtime-Richtlinien von F5 AI Guardrails einfließen.

Dieser Feedback-Kreislauf ist theoretisch attraktiv. Beobachtetes Verhalten der Belegschaft kann riskante Anwendungsfälle identifizieren, die Sicherheitsteams gezielter testen und steuern können.

Kunden standardisieren jedoch selten jede Sicherheitsfunktion auf einer einzigen Plattform. Viele werden F5 neben Identitätsanbietern, Endpoint-Tools, Cloud Access Brokern, Datensicherheitsprodukten und modellnativen Kontrollen betreiben.

Interoperabilität wird wichtiger sein als eine einzelne Konsole. Sicherheitsteams benötigen Ereignisse und Richtlinienentscheidungen, die sich reibungslos durch ihre bestehenden Systeme bewegen.

Der Netzwerkansatz hat zudem natürliche blinde Flecken. Direkte Geräteverbindungen, nicht verwaltete Netzwerke, Ende-zu-Ende-Verschlüsselung, lokale Modelle und nicht unterstützte Tools können den beobachtbaren Kontext einschränken.

F5 hat öffentlich nicht belegt, dass jeder solche Pfad abgedeckt ist. Käufer sollten reale Arbeitsabläufe ihrer Mitarbeitenden abbilden, bevor sie eine Behauptung vollständiger Transparenz akzeptieren.

Die überzeugendste Version von F5s Argument lautet nicht, dass das Netzwerk alles sieht. Sondern dass ein Netzwerk-Kontrollpunkt eine konsistente Durchsetzung über viele ansonsten fragmentierte Tools hinweg ermöglichen kann.

Diese Aussage ist überprüfbar. Kunden können entdeckte Aktivitäten mit Endpoint-Telemetrie, SaaS-Logs, Identitätsdaten und bekannten Agenten-Deployments vergleichen.

Wenn die Daten übereinstimmen, wird die Netzwerkdurchsetzung zu einer nützlichen gemeinsamen Ebene. Bleiben wesentliche Lücken bestehen, benötigt die Plattform ergänzende Kontrollen.

Breite Transparenz bringt Abwägungen bei Datenschutz und Genauigkeit mit sich

Die Inspektion von KI-Aktivitäten kann Sicherheitsrisiken senken, zugleich aber sensible Aufzeichnungen über Ideen, Fehler und Arbeitsgewohnheiten von Mitarbeitenden erzeugen.

F5 erklärt, seine Plattform könne KI-Interaktionen protokollieren und geschäftliche Absichten klassifizieren. In den Produktunterlagen werden Beispiele wie Zusammenfassungen und Codegenerierung genannt.

Diese Informationen können Sicherheitsteams helfen, riskante Muster zu erkennen. Sie können aber auch vertrauliche Gespräche, Strategieentwürfe, Personalangelegenheiten, Forschungsfragen und individuelle Leistungssignale offenlegen.

Ein Prompt ist selten nur ein weiteres Netzwerkereignis. Er kann die Überlegungen, Unsicherheiten oder detaillierten internen Arbeitskontexte eines Nutzers enthalten.

Antworten können ebenso sensibel sein. Ein KI-System kann Nutzereingaben mit abgerufenen Unternehmensdaten, privatem Speicher oder Inhalten aus verbundenen Tools kombinieren.

Organisationen benötigen daher auch Kontrollen für das Sicherheitssystem selbst. Der Zugriff auf Prompt- und Antwortprotokolle sollte strengen Rollen, Aufbewahrungsgrenzen und Audit-Anforderungen folgen.

Rechts-, Datenschutz-, Sicherheits- und Employee-Relations-Teams sollten vor einem breiten Rollout zulässige Überwachung definieren. Regionale Arbeits- und Datenschutzvorschriften können zudem beeinflussen, wie Überwachung eingeführt wird.

F5 erklärt, Audit-Trails könnten den Weg einer KI-Anfrage, Antwort und Nutzerabsicht erfassen. Unternehmen sollten festlegen, welche Felder gespeichert werden und ob sensible Inhalte minimiert werden können.

Sie sollten zudem fragen, ob die Schwärzung vor der Protokollierung erfolgt oder erst bevor Daten ein externes Modell erreichen. Die Reihenfolge verändert die durch die Sicherheitsplattform geschaffene Exposition.

Auch die Klassifizierungsgenauigkeit bringt einen Zielkonflikt mit sich. Eine als „Zusammenfassung“ gekennzeichnete Anfrage könnte regulierte Datensätze enthalten. Eine Coding-Aktion könnte über ein generiertes Skript tatsächlich Infrastruktur verändern.

Natürlichsprachliche Absicht kann explizite technische Fakten ergänzen, sollte sie aber nicht ersetzen. Ziel, Vorgangstyp, Identität, Sensibilität der Ressource und Berechtigungsumfang liefern belastbarere Signale.

Aktionen mit hohen Auswirkungen verdienen Fail-Closed-Richtlinien oder direkte Genehmigungsvorgaben. Aktionen mit geringem Risiko können flexiblere Klassifizierungen und Coaching zulassen.

Das System muss außerdem Nutzer von Agenten unterscheiden, die im Auftrag dieser Nutzer handeln. Geteilte Tokens oder übernommene Browser-Sitzungen können die Zuordnung erschweren.

NIST hat gewarnt, dass Agenten über menschliche Zugangsdaten häufig Zugriff auf neue Tools und Daten erhalten. Seine Identitätsleitlinien vom August 2026 heben außerdem die Zustimmungsermüdung durch wiederholte Genehmigungsanfragen hervor.

Zu viele Aufforderungen können Nutzer dazu bringen, Aktionen reflexartig zu genehmigen. Zu wenige Aufforderungen können einem Agenten erlauben, wichtige Grenzen ohne sinnvolle Prüfung zu überschreiten.

F5s Richtlinien-Engine muss Kunden helfen zu entscheiden, an welchen Stellen Reibung sinnvoll ist. Die Antwort wird je nach Aktion, Ressource und Geschäftsfunktion variieren.

Ein Vertriebsassistent, der eine E-Mail entwirft, birgt andere Risiken als ein Coding-Agent, der Produktionsinfrastruktur verändert. Eine lokale Zusammenfassung hat andere Auswirkungen als ein externer Upload.

Teams benötigen außerdem einen Prozess, um fehlerhafte Richtlinienentscheidungen anzufechten. Ohne transparente Begründungen könnten Entwickler Kontrollen umgehen oder zu nicht verwalteten Tools zurückkehren.

Hier kann eine durchsuchbare KI-Wissensdatenbank die Governance unterstützen. Mitarbeitende benötigen klare Aufzeichnungen über genehmigte Tools, Datenregeln und Eskalationswege.

Dokumentation allein kann keine Richtlinien durchsetzen. Durchsetzung ohne verständliche Anleitung drängt die Nutzung jedoch oft in weniger sichtbare Kanäle.

F5s agentenlose Positionierung verringert eine Quelle von Reibung bei der Bereitstellung. Sie beseitigt nicht die organisatorische Arbeit, Daten zu klassifizieren, Verantwortlichkeiten zuzuweisen und zulässige Aktionen zu definieren.

Die Veröffentlichung im Oktober muss zeigen, wie sich diese Kontrollen unter gewöhnlichem Druck verhalten. Eine hilfreiche Bewertung sollte Fehlalarme, übersehene Aktionen, Richtlinienlatenz und den Verwaltungsaufwand umfassen.

Sicherheitsteams sollten außerdem adversariale Prompts testen, nicht nur normale Arbeitsabläufe. Ein Produkt zur Agentenkontrolle muss Versuche bewältigen, Absichten zu verschleiern oder riskante Arbeit über mehrere Aufrufe zu verteilen.

Keine feste Leitplanke kann dauerhaften Schutz vor anpassungsfähigen Angreifern garantieren. Netzwerkdurchsetzung sollte Teil kontinuierlicher Tests, Überwachung und Richtlinienaktualisierungen sein.

Drei Signale werden zeigen, ob F5s Wette aufgeht

Der Wert des Produkts wird durch messbare Abdeckung, durchsetzbare Agentenkontrollen und Integrationen bestimmt, die echte Unternehmenskomplexität überstehen.

Das erste Signal sind Bereitstellungsnachweise nach Oktober 2026. F5 sollte präzise Details zu unterstützten Browsern, Kommandozeilen-Tools, Agenten-Frameworks, MCP-Clients und Netzwerkkonfigurationen veröffentlichen.

Eine lange Kompatibilitätsliste wird nicht ausreichen. Kunden müssen wissen, welche Arbeitsabläufe nur die Erkennung unterstützen und welche eine Durchsetzung vor der Ausführung ermöglichen.

Sie sollten F5s Inventar mit Endpoint-Telemetrie, Identitätslogs, API-Daten und Mitarbeiterbefragungen vergleichen. Unerklärte Unterschiede werden blinde Flecken offenlegen.

Diese Nachweise würden F5s Argument stärken, wenn eine netzwerkbasierte Bereitstellung Aktivitäten über viele Tools hinweg mit geringem operativen Aufwand identifiziert. Große Abdeckungslücken würden es schwächen.

Das zweite Signal ist der Nachweis, dass Kontrollen von Agentenaktionen unter adversarialen Bedingungen funktionieren. Das bedeutet, mehr als offensichtliche Anfragen zum Löschen von Dateien oder Exportieren von Datensätzen zu testen.

Bewertungen sollten indirekte Prompt-Injection, mehrdeutige Anfragen, verschachtelte Tool-Aufrufe, wiederverwendete Zugangsdaten und über mehrere Schritte verteilte Aktionen umfassen.

Kunden sollten sowohl gestoppte schädliche Aktionen als auch unterbrochene legitime Aktionen messen. Ein Produkt, das alles blockiert, ist nur im engsten Sinne sicher.

F5 bietet bereits Funktionen für KI-Red-Teaming an; Käufer sollten daher fragen, ob Richtlinien von Workforce AI Security gegen reproduzierbare Angriffsszenarien getestet werden können. Die Ergebnisse sollten Richtlinienänderungen informieren.

Unabhängige Validierung hätte mehr Gewicht als Demonstrationsskripte. Technische Dokumentation sollte Klassifizierungsgrenzen und Fehlerverhalten erklären, ohne sensible Erkennungslogik offenzulegen.

Das dritte Signal ist die Reaktion der Wettbewerber. Palo Alto Networks, Microsoft, Zscaler, Netskope und Identitätsanbieter verfügen über angrenzende Kontrollpunkte und etablierte Kundenbeziehungen.

Wenn diese Unternehmen die Durchsetzung von Tool-Aufrufen und Funktionen für Agentenidentitäten ausbauen, wird F5s Differenzierung geringer. Das würde zugleich bestätigen, dass Workforce AI Security über Chatbot-Governance hinausgeht.

Wenn Kunden stattdessen auf modellnative Berechtigungen oder identitätszentrierte Kontrollen konsolidieren, könnte Netzwerkinspektion eine unterstützende Ebene bleiben. F5 würde dann über Integration und operative Benutzerfreundlichkeit konkurrieren.

Das wahrscheinliche Ergebnis ist mehrschichtige Sicherheit. Modellanbieter werden die Tool-Nutzung einschränken, Identitätssysteme werden Befugnisse begrenzen und Endpoint-Produkte Geräteaktivitäten beobachten.

Netzwerkkontrollen können Datenflüsse und Vorgänge über verschiedene Anbieter hinweg bewerten. Runtime-Leitplanken können Anwendungen überwachen, die Unternehmen selbst entwickeln.

Die zentrale Frage ist nicht, welche Ebene gewinnt. Sie lautet, ob Richtlinien konsistent bleiben, wenn eine Aktion zwischen diesen Ebenen wechselt.

Für Unternehmenskäufer besteht der unmittelbare Schritt darin, reale KI-Arbeitsabläufe zu inventarisieren, bevor sie ein Kontrollprodukt auswählen. Dazu gehören genehmigte Dienste, Shadow Tools, Coding-Agenten, private Modelle und MCP-Verbindungen.

Anschließend sollten sie ermitteln, welche Arbeitsabläufe sensible Daten lesen, extern kommunizieren oder den Systemzustand ändern können. Diese Fähigkeiten verdienen die stärksten Identitäten und Richtlinienprüfungen.

F5 Workforce AI Security erscheint zu einem günstigen Zeitpunkt, weil die Verbreitung von Agenten die Grenzen von Anwendungs-Blocklisten offenlegt. Seine Netzwerkstrategie bietet einen plausiblen gemeinsamen Kontrollpunkt.

Die Strategie ist in großem Maßstab weiterhin unbewiesen. F5 muss zeigen, dass es genügend Kontext beobachten, Aktionen präzise klassifizieren und Richtlinien durchsetzen kann, ohne produktive KI-Nutzung unzumutbar zu machen.

Sicherheitsverantwortliche sollten den Start im Oktober als Beginn einer Bewertung betrachten, nicht als deren Ende. Welche Agentenaktionen kann die Plattform in Ihrer Umgebung tatsächlich sehen, erklären und stoppen?