KI-Agenten haben eine neue Software-Lieferkette geschaffen

Unternehmen haben über Jahre hinweg gelernt, dass eine von einem Entwickler heruntergeladene Software-Abhängigkeit ein Sicherheitsproblem im gesamten Unternehmen verursachen kann.

Ein Agent arbeitet nicht nur mit dem Modell, das sein Unternehmen ausgewählt hat. Er nutzt Tools, Funktionen, Plug-ins, Konnektoren und Model Context Protocol-Server, um auf Browser, Datenbanken, Code-Repositorys, Kalender und interne Anwendungen zuzugreifen. Jede Komponente erweitert den Sichtbereich des Agenten und seinen Funktionsumfang.

Sicherheitsinvestoren haben begonnen, diese Komponenten als eine eigene Software-Lieferkette zu betrachten. Das KI-Sicherheitsunternehmen AIR trat im September aus der Anonymität hervor, nachdem es in zwei Startkapitalrunden $50 Millionen eingesammelt hatte. Sein Produkt erfasst Unternehmensagenten, überprüft die damit verbundenen Tools und Komponenten und blockiert den Zugriff auf Software oder externe Dienste, die gegen Sicherheitsregeln verstoßen.

Die Höhe einer frühen Finanzierungsrunde ist weniger entscheidend als das Problem, für dessen Lösung Investoren eine neue Produktkategorie für notwendig halten. Unternehmen wissen oft nicht, wie viele Agent-Komponenten sie bereits einsetzen.

Das Modell hat nur eine Abhängigkeit.

Bei der Beschaffung von KI-Lösungen für Unternehmen steht häufig der Modellanbieter im Mittelpunkt. Sicherheitsteams prüfen, wohin die Eingabeaufforderungen geleitet werden, ob der Anbieter mit Unternehmensdaten trainiert, wie lange Informationen aufbewahrt werden und über welche Zertifizierungen der Dienst verfügt.

Ein Agent ändert die Architektur nach der Beschaffung. Ein Benutzer verbindet das genehmigte Modell mit einem MCP-Server. Der Server ermöglicht den Zugriff auf ein CRM-System. Eine weitere Funktion durchsucht das Internet. Ein Plug-in ruft Dateien ab. Ein Browser-Tool meldet sich bei einer externen Plattform an.

Das Unternehmen genehmigte einen KI-Dienst und betrieb schließlich eine Kette von Komponenten verschiedener Lieferanten.

Angreifer müssen das Modell nicht kompromittieren, wenn eine schwächere Komponente bereits über die gewünschten Berechtigungen verfügt. Die Sicherheitsüberprüfung muss daher den gesamten Werkzeugweg des Agenten nachverfolgen.

MCP vereinfachte die Integration und verschärfte das Bestandsproblem.

Das Model Context Protocol bietet KI-Anwendungen eine standardisierte Möglichkeit, sich mit externen Daten und Tools zu verbinden. Entwickler müssen nicht mehr jedes Mal eine maßgeschneiderte Integration erstellen, wenn ein Agent Zugriff auf ein Repository, eine Datenbank oder eine Geschäftsanwendung benötigt.

Standardisierung beschleunigt die Bereitstellung. Außerdem verringert sie den Aufwand, der erforderlich ist, um eine weitere Verbindung hinzuzufügen. Ein Mitarbeiter, der mit einem KI-Workflow experimentiert, fügt möglicherweise einen Server hinzu, weil dieser eine praktische Aufgabe innerhalb weniger Minuten löst. Ein Entwicklungsteam installiert einen weiteren Server für interne Tests. Eine Abteilung bindet einen Spezialagenten in Dokumente ein, ohne die Integration zentral zu registrieren.

Traditionell Software Das Asset-Management hat bereits mit Schatten-IT zu kämpfen. Mitarbeiter richten heimlich Zugriffsrechte ein. Sicherheitsteams müssen daher mehr wissen als nur, welche KI-Anwendungen die Mitarbeiter nutzen. Sie müssen wissen, auf welche Systeme die einzelnen Mitarbeiter zugreifen und über welche Komponente.

Eine harmlos anmutende Fähigkeit übernimmt die Befugnisse des Akteurs

Ein Forschungsagent, dessen Zugriff auf öffentliche Websites beschränkt ist, birgt ein geringeres Betriebsrisiko als ein Agent, der Zugriff auf Kundendaten, Quellcode und E-Mails hat. Ein kompromittiertes Tool, das mit dem zweiten Agenten verbunden ist, arbeitet in einer umfangreicheren Umgebung.

Sicherheitsteams wenden die Prinzipien der geringsten Berechtigungen schon seit langem auf Benutzerkonten an. Für Mitarbeiter gilt dasselbe. Ein Vertriebsmitarbeiter, der CRM-Datensätze abruft, benötigt keinen Zugriff auf die Lohnabrechnung. Ein Programmierer benötigt keinen Zugriff auf die E-Mail-Box des Geschäftsführers. Ein Dokumentenassistent benötigt keine Zugangsdaten für die Produktionsdatenbank, nur weil das zugrunde liegende Modell technisch in der Lage ist, diese zu nutzen.

Unternehmen, die einem universell einsetzbaren Agenten umfassenden Zugriff gewähren, verursachen dasselbe Sicherheitsproblem wie wenn sie einem Mitarbeiter Administratorrechte für verschiedene, nicht miteinander verbundene Systeme einräumen.

Zuerst tritt der Komfort in Erscheinung. Der Explosionsradius zeigt sich erst später.

Die Herkunft der Komponenten spielt nun eine Rolle

Open-Source-Software hat den Sicherheitsteams das Konzept der „Software Bill of Materials“ nähergebracht.

Eine Organisation erfasst die Bibliotheken innerhalb einer Anwendung, sodass das Team bei einer neu entdeckten Sicherheitslücke sofort weiß, wo sich die betroffene Komponente befindet.

Makler benötigen eine vergleichbare Erfolgsbilanz.

Die Bestandsaufnahme umfasst das Modell, das Agent-Framework, die Skills, die MCP-Server, die Browser-Erweiterungen, die APIs, die Anmeldedaten und die externen Dienste, die an einem Workflow beteiligt sind.

Auch die Versionsangaben spielen eine Rolle.

Ein MCP-Server, der sich bei seiner Freigabe im Juni sicher verhalten hat, ist nach einem Update im September nicht unbedingt noch dieselbe Komponente. Ein Plug-in wechselt den Eigentümer. Ein Anbieter fügt Funktionen hinzu. Ein Agent erhält neue Berechtigungen, weil ein anderer Workflow diese benötigte.

Eine fortlaufende Überprüfung ist sinnvoller als ein einmaliges Genehmigungsformular.

Sicherheitsteams müssen das Verhalten testen, nicht nur die Konfiguration

Eine Bestandsaufnahme gibt einem Unternehmen Aufschluss darüber, was vorhanden ist. Die Laufzeitüberwachung zeigt, was der Agent tatsächlich tut. Ein Agent, der über die Berechtigung verfügt, eine Datenbank abzufragen, liest normalerweise zehn Datensätze pro Aufgabe. Tausende von Abfragen innerhalb weniger Minuten verdienen Beachtung. Auch ein Tool, das für den Zugriff auf eine Unternehmensdomäne konzipiert ist und plötzlich einen damit nicht in Zusammenhang stehenden externen Dienst kontaktiert, verdient Beachtung.

Verhaltenssteuerungen gewinnen an Bedeutung, je mehr Freiheit die Agenten bei der Wahl ihrer eigenen Zwischenschritte erhalten.

Das Unternehmen legt nicht mehr jeden API-Aufruf im Voraus fest. Es gibt dem Mitarbeiter ein Ziel vor und überlässt es dem System, zu entscheiden, wie ein Teil der Arbeit erledigt werden soll.

Die Sicherheitsarchitektur benötigt daher Abgrenzungen rund um den Entscheidungsraum, anstatt sich ausschließlich auf vorab festgelegte Workflow-Logik zu verlassen.

KI-Agenten haben die Software-Lieferkette nicht beseitigt. Sie haben ihr vielmehr eine weitere Ebene hinzugefügt, die Zugriff auf die darunter liegenden bestehenden Anwendungen bietet.