KI-Agenten benötigen eigene Identitätskontrollen

Sicherheitsteams haben jahrelang darüber entschieden, welche Mitarbeiter und Anwendungen Zugriff auf Unternehmenssysteme erhalten. KI-Agenten greifen nun mit ausreichender Autonomie auf dieselben Systeme zu, um Dateien zu öffnen, Tools aufzurufen, Code zu schreiben und auf ihre Erkenntnisse zu reagieren.

Die Identitätsschicht hat noch nicht Schritt gehalten, da jüngste Vorfälle mit fortschrittlichen KI-Systemen diesem Problem konkrete Gestalt verliehen haben. Anthropic meldete vier Fälle, in denen Claude-Modelle während Tests unbefugten Zugriff auf reale Systeme von Drittanbietern erlangten. OpenAI sah sich einer gesonderten Überprüfung ausgesetzt, nachdem Agenten Wege gefunden hatten, über externe Websites zu kommunizieren, obwohl Anweisungen dies eigentlich verhindern sollten.

Das Threat-Intelligence-Team von Google hat zudem Angreifer aufgespürt, die agentenbasierte Arbeitsabläufe nutzen, um Teile ihrer Cyberoperationen zu automatisieren, die früher ein höheres Maß an menschlichem Eingreifen erforderten.

Unternehmen, die Agenten einsetzen, müssen daher aufhören, das Modell wie einen weiteren Mitarbeiter zu behandeln, der einen Chatbot nutzt. Ein Mitarbeiter hat eine Identität. Das Unternehmen weiß in der Regel, auf welche Systeme diese Person zugreifen kann, welche Rolle ihr den Zugriff gewährt hat und wann der Mitarbeiter das Unternehmen verlässt. Anwendungen erhalten Dienstkonten und API-Berechtigungen. Ein autonomer Agent befindet sich in einer unklare Position zwischen diesen Kategorien.

Er handelt im Auftrag eines Benutzers, führt seine Aktionen jedoch eigenständig aus. Er greift über APIs, Konnektoren und Protokolle wie MCP auf Software zu. Ein Agent kann einen anderen aufrufen. Eine Aufgabe, die mit der Berechtigung zum Lesen eines Dokuments beginnt, endet damit, dass die Software mehrere Zwischenentscheidungen trifft, bevor sie eine Antwort zurückgibt.

Die Weitergabe der vollständigen Anmeldedaten des Benutzers verleiht dem Mitarbeiter mehr Berechtigungen, als für die Aufgabe erforderlich sind.

Die Einrichtung eines einzigen übergreifenden Dienstkontos für jeden Agenten führt zu einem weiteren Problem. In den Sicherheitsprotokollen wird dann angezeigt, dass ein KI-System eine Aktion ausgeführt hat, ohne dass ersichtlich ist, welcher Benutzer diese angefordert hat, welcher Agent sie ausgeführt hat oder welche Aufgabe die Berechtigung gerechtfertigt hat.

Ein Mitarbeiter, der Rechnungen prüft, benötigt keine Berechtigung, um die Bankdaten von Lieferanten zu ändern. Ein Programmierer, der Tests durchführt, benötigt keine Zugangsdaten für die Produktionsumgebung. Ein Kundendienstmitarbeiter, der eine Bestellung abruft, benötigt keinen uneingeschränkten Zugriff auf die zugrunde liegende Kundendatenbank.

Aufgabenspezifische Berechtigungen den Schaden begrenzen, wenn das Modell eine falsche Entscheidung trifft oder jemand es durch böswillige Eingaben manipuliert.

Durch die Prompt-Injektion wird das Problem weniger theoretisch. Ein Agent, der externe Inhalte ausliest, kann auf Anweisungen stoßen, die in einer Webseite, einem Dokument oder einer Nachricht versteckt sind. Das Modell muss dann zwischen dem Ziel des Nutzers und Text unterscheiden, der darauf abzielt, sein Verhalten umzulenken.

Zugriffskontrollen bilden eine Grenze, wenn das logische Schlussfolgern versagt. Das System muss dem Modell nicht vertrauen, um zu entscheiden, ob eine Geldüberweisung außerhalb des Aufgabenbereichs liegt, wenn der Agent von vornherein keine Erlaubnis zur Geldüberweisung erhalten hat.

Kurzlebige Zugangsdaten stärken diese Abgrenzung noch weiter. Anstatt einem Agenten ein wiederverwendbares Passwort zu geben, gewährt das Identitätssystem Zugriff für eine einzelne Aufgabe oder einen begrenzten Zeitraum. In den Protokollen wird die Verknüpfung zwischen Benutzer, Agent, Zugangsdaten und Aktion festgehalten.

Die menschliche Freigabe sollte nur an bestimmten Stellen erfolgen und nicht bei jedem einzelnen Schritt; daher macht die Forderung nach einer Freigabe für jedes gelesene Datum den Nutzen der Automatisierung zunichte. Wenn man einem Mitarbeiter erlaubt, die Gehaltsabrechnung zu ändern, große Zahlungen zu tätigen oder Produktionscode ohne menschliches Eingreifen bereitzustellen, überträgt man zu viel Entscheidungsgewalt an eine auf Wahrscheinlichkeiten basierende Software.

Unternehmen müssen anhand der jeweiligen Folgen festlegen, wo die Grenze liegt. Sicherheitsteams kennen dieses Prinzip bereits aus dem Bereich des Privilegierten-Zugriffs-Managements. Administratoren nutzen ihre höchsten Berechtigungen nicht für alltägliche Aufgaben. Unternehmen benötigen nun ein entsprechendes Betriebsmodell für nicht-menschliche Mitarbeiter, die Entscheidungen zwischen API-Aufrufen treffen.

Zunächst muss eine Bestandsaufnahme erfolgen. Ein Unternehmen muss wissen, welche Agenten vorhanden sind, welche Tools sie erreichen und wessen Berechtigungen sie nutzen. Ohne diese Bestandsaufnahme führt der Einsatz von KI zur Schaffung einer neuen Klasse privilegierter Identitäten, noch bevor das Sicherheitsteam weiß, über wie viele Identitäten es überhaupt verfügt.