KI-Agenten arbeiten nicht mehr allein.
Ein Agent recherchiert. Ein anderer ruft Unternehmensdaten ab. Ein weiterer wertet die Informationen aus. Ein weiterer ruft eine API auf. Ein weiterer ändert einen Datensatz oder löst einen Workflow aus.
Dadurch entsteht ein neues Sicherheitsproblem.
Eine Organisation kann jeden einzelnen Agenten absichern und trotzdem die Kontrolle verlieren, wenn Identität, Autorität, sensible Daten, Kontext und Anweisungen wechseln zwischen ihnen.
Betrachten wir eine einfache Kette:
Benutzer → Agent A → Agent B → Agent C → Unternehmensdaten oder -aktion
Agent A erhält möglicherweise zunächst die Erlaubnis, nur mit einem bestimmten Kunden, in einer bestimmten Region, einem bestimmten Datensatz oder einem bestimmten Geschäftsprozess zu arbeiten.
Was geschieht aber, wenn es einen Teil der Aufgabe an Agent B delegiert?
Tut Agent B erben Der Benutzerbereich?
Erhält es die erweiterten Berechtigungen von Agent A?
Kann es diese Prüfungen bestehen? Berechtigungen an Agent C?
Darf ein Agent sensible Informationen an einen anderen Agenten weitergeben, der diese Informationen niemals einsehen sollte?
Kann ein kompromittierter Agent einen vertrauenswürdigen Partner dazu bringen, eine Handlung auszuführen, die er selbst nicht ausführen könnte?
Und wenn etwas schiefgeht, kann das Sicherheitsteam rekonstruieren, wer die Aufgabe angefordert hat, welche Agenten beteiligt waren, welche Berechtigungen zwischen ihnen übertragen wurden, welche Daten sie berührt haben und welcher Agent letztendlich die letzte Aktion ausgeführt hat?
Diese Fragen definieren Sicherheit zwischen KI-Agenten.
Bei der Sicherheit von Multiagentensystemen geht es nicht nur darum, jeden einzelnen Agenten zu schützen. Organisationen müssen auch die Identität, das Vertrauen, die Berechtigungen, die Daten, den Kontext und die Aktionen sichern, die zwischen den Agenten ausgetauscht werden.
Agenten-zu-Agenten-Sicherheit: Wichtigste Erkenntnisse
- Die Sicherheit einzelner Agenten gewährleistet nicht die Sicherheit des gesamten Arbeitsablaufs. Risiken können entstehen, wenn Agenten Aufgaben delegieren, Kontext übertragen, Berechtigungen erben, Daten austauschen oder einander aufrufen.
- Die Authentifizierung beantwortet nur einen Teil der Frage. Teams müssen außerdem verstehen, welche Befugnisse ein Agent an einen anderen delegieren kann und ob diese Befugnisse mit der Absicht des ursprünglichen Benutzers übereinstimmen.
- Die Befugnisse sollten sich mit der Delegation von Aufgaben durch die Beauftragten verringern. Ein nachgelagerter Agent sollte nicht einfach deshalb weitergehende Berechtigungen erhalten, weil ein vorgelagerter Agent ihn erreichen kann.
- Kontext birgt Datenrisiken. Agenten können sensible Informationen über Eingabeaufforderungen, Speicher, Nachrichten, abgerufene Dokumente, Tool-Ausgaben und den gemeinsamen Aufgabenstatus an Kollegen weitergeben.
- Multiagentensysteme überschreiten Vertrauensdomänen. Unternehmensagenten können mit Agenten von Anbietern, SaaS-Agenten, Partnersystemen, APIs und autonomen Diensten kommunizieren, die unterschiedlichen Richtlinien folgen.
- BigID stellt den Datenkontext für die Agentenidentität und den Zugriff dar. BigID verknüpft KI-Identitäten, Maschinenidentitäten, Berechtigungen, sensible Daten, Aktivitäten, Eigentumsverhältnisse, Richtlinien und Abhilfemaßnahmen, sodass Teams den Zugriff hinter Multi-Agent-Workflows steuern können.
Was ist KI-Agent-zu-Agent-Sicherheit?
Die Sicherheit zwischen KI-Agenten ist die Praxis des Schutzes von Identität, Authentifizierung, Autorisierung, Delegation, Kommunikation, Daten, Kontext und Aktionen, die beim Austausch von KI-Agenten untereinander ausgetauscht werden.
Dies gilt, wenn ein Agent:
- Entdeckt einen weiteren Agenten
- Delegiert eine Aufgabe
- Übermittelt Anweisungen oder Kontext
- Daten teilen
- Fordert die Fähigkeiten eines anderen Agenten an
- Erhält Ergebnisse von einem anderen Agenten
- Ruft einen Agenten in einer anderen Plattform oder Vertrauensdomäne auf.
- Ermöglicht es einem anderen Agenten, Tools oder APIs aufzurufen.
- Bindet zusätzliche Agenten in den Arbeitsablauf ein.
Die Kommunikation zwischen Agenten erweitert die Sicherheitsgrenzen über das einzelne KI-System hinaus.
Die Organisation muss nun sechs verschiedene Fragen beantworten:
Wer ist dieser Agent?
Warum sollte ein anderer Agent dem vertrauen?
Welche Befugnisse kann es delegieren?
Welche Daten könnten die Grenze überschreiten?
Welche Aktionen kann der empfangende Agent durchführen?
Welcher Kontext sollte sich mit der Aufgabe bewegen?
Dadurch entsteht ein praktisches Multiagenten-Sicherheitsmodell:
Agentenidentität + Vertrauen + Delegation + Daten + Kontext + Aktion
KI-Identität von den Daten aus steuern
Wissen Sie, welche Agenten existieren, was sie erben und auf welche sensiblen Daten sie zugreifen können?
Verknüpfen Sie KI-Agenten, Copiloten, Servicekonten, Maschinenidentitäten, Berechtigungen, Eigentumsverhältnisse, Aktivitäten und die Offenlegung sensibler Daten über unternehmensweite KI-Workflows hinweg.
Warum Multiagentensysteme das Sicherheitsmodell verändern
Eine Einzelagentenarchitektur erzeugt bereits neue Identität und Zugriff Fragen.
Eine Multiagentenarchitektur vervielfacht sie.
Stellen Sie sich einen Unternehmensworkflow vor, bei dem:
- Ein Benutzer bittet einen Orchestrator-Agenten, eine Kundenverlängerungsanalyse zu erstellen.
- Der Auftraggeber beauftragt einen Rechercheagenten mit der Sammlung öffentlicher Informationen.
- Es fordert einen Datenagenten auf, CRM-, Support-, Nutzungs- und Vertragsdatensätze abzurufen.
- Es fordert einen Finanzagenten auf, die Wirtschaftlichkeit einer Erneuerung zu berechnen.
- Es fordert einen Sachbearbeiter auf, das CRM zu aktualisieren und Folgeaufgaben zu erstellen.
Jeder Agent kann einen anderen verwenden:
- Identität
- Servicekonto
- API
- Berechtigungssatz
- Cloud-Rolle
- OAuth-Genehmigung
- Datenquelle
- Verkäufer
- Modell
- Politikgrenze
Die Sicherung des Orchestrators allein gewährleistet nicht die Sicherheit dieses Workflows.
Auch die Überprüfung, ob jeder teilnehmende Agent über gültige Zugangsdaten verfügt, ist nicht ausreichend.
Die Organisation muss außerdem verstehen wie sich Vertrauen und Autorität bei jeder Übergabe verändern.
Der Multiagenten-Sicherheitspfad
Multiagentensicherheit
Jede Übergabe schafft eine neue Vertrauens- und Autorisierungsentscheidung.
Sichern Sie den Workflow vom ursprünglichen Benutzer über jeden delegierten Agenten bis hin zu den endgültigen Daten oder Aktionen.
Benutzer
Definiert Absicht und Ausgangsbefugnis
Agent A
Er/Sie interpretiert die Aufgabe und delegiert die Arbeit.
Agent B
Erhält Kontext, Geltungsbereich und Autorität
Agent C
Kann eine weitere Identität oder ein anderes Privilegienset einführen
Daten + Aktionen
Abrufen, teilen, aktualisieren, ausführen oder auslösen
Jeder Pfeil sollte die Identität wahren, die Autorität einschränken, Daten schützen und Beweise schaffen.
Agent-zu-Agent-Authentifizierung ist nicht gleich Agent-zu-Agent-Autorisierung.
Die Authentifizierung dient der Identitätsfeststellung.
Die Autorisierung legt fest, welche Aktionen diese Identität ausführen darf.
Diese Unterscheidung ist in Multiagentensystemen umso wichtiger, da auch ein vertrauenswürdiger Agent eine unzulässige Anfrage stellen kann.
Die jetzige Agent2Agent-Protokoll, ursprünglich von Google entwickelt und jetzt Teil des Linux Foundation-Ökosystems, unterstützt die interoperable Kommunikation zwischen Agenten.
A2A behandelt Agenten wie Unternehmensanwendungen und nutzt etablierte Web-Sicherheitsverfahren zur Authentifizierung. Jeder A2A-Server ist weiterhin für die Autorisierung von Anfragen gemäß der authentifizierten Identität, der angeforderten Berechtigung, der Datenzugriffsrichtlinie, den Berechtigungen und seinem eigenen Autorisierungsmodell verantwortlich.
Die Sicherheitsrichtlinien fordern die Authentifizierung von Anfragen und die serverseitige Autorisierung., geringste Privilegien, Datenschutzmaßnahmen und unternehmensweite Beobachtbarkeit.
Ein Protokoll kann jedoch nicht allein die Geschäftsberechtigungspolitik einer Organisation festlegen.
Der Empfangsbeauftragte muss noch entscheiden:
- Kann ich dem Anrufer vertrauen?
- Welches Prinzip wird damit repräsentiert?
- Welche Aufgabe hat der ursprüngliche Benutzer genehmigt?
- In welchen Bereich darf der aufrufende Agent delegieren?
- Welche Daten darf ich zurückgeben?
- Welche Aktionen kann ich durchführen?
- Kann ich erneut delegieren?
Eine erfolgreiche Authentifizierung beweist, dass ein Agent gültige Anmeldeinformationen vorgelegt hat. Sie beweist jedoch nicht, dass jede Anfrage dieses Agenten autorisiert werden sollte.
Die aktuelle A2A-Spezifikation erkennt auch das Risiko an, das durch Agentenketten entsteht. Sie warnt davor, dass der In-Band-Austausch von Anmeldeinformationen diese mehreren an der Kette beteiligten Agenten zugänglich machen kann, und empfiehlt, Anmeldeinformationen an den Agenten zu binden, der die Autorisierungsanfrage initiiert hat.
Je länger die Befehlskette, desto wichtiger wird es, festzuhalten, wer die Vollmacht angefordert hat, wer sie erhalten hat und wohin diese Vollmacht übertragen werden kann.
Drei unterschiedliche Sicherheitsentscheidungen
Identität allein bestimmt nicht die Autorität
Wer bist du?
Überprüfen Sie die Identität des anfragenden Agenten.
Was können Sie tun?
Ermitteln Sie, auf welche Daten, Fähigkeiten, Ressourcen oder Aktionen der Agent zugreifen darf.
Was möchten Sie weitergeben?
Kontrollieren, welche Befugnisse und welchen Kontext der Beauftragte an einen anderen Beauftragten übertragen darf.
Auch ein vertrauenswürdiger Beauftragter kann eine unberechtigte Anfrage stellen. Auch ein autorisierter Beauftragter kann zu viel delegieren.
Das Delegationsproblem: Wem gehört die Autorität?
Delegation steht im Zentrum der Multiagentensicherheit.
Ein Agent erledigt häufig Aufgaben im Auftrag einer anderen Person.
Dadurch entsteht eine Kette von Prinzipien:
Benutzer → Agent A → Agent B → Werkzeug oder Daten
Sicherheitsteams müssen genügend Kontext erhalten, um sowohl den unmittelbaren Anrufer als auch die ursprüngliche Autorität hinter der Aufgabe zu verstehen.
Andernfalls können nachgelagerte Agenten Berechtigungen erlangen, die der ursprüngliche Benutzer nie besessen oder jemals delegieren wollte.
Delegation sollte die Befugnisse verringern, nicht erweitern.
Angenommen, ein regionaler Vertriebsleiter bittet einen Agenten, die nordamerikanischen Kunden zu analysieren.
Agent A erhält die hierfür erforderlichen Zugriffsrechte.
Agent A delegiert einen Teil der Analyse an Agent B.
Agent B nutzt ein globales Servicekonto mit Zugriff auf alle Kundendatensätze.
Rein formal hat Agent B die Erlaubnis.
Operativ hat die Delegation ihren ursprünglich vorgesehenen Rahmen überschritten.
Delegationsrisiko
Die Autorität sollte im Zuge der Aufgabenbearbeitung begrenzt bleiben.
Benutzer
Nordamerika-Konten
Agent A
Behält den Benutzerbereich bei
Agent B
Nutzt ein globales Servicekonto
Globale Daten
Erweiterte Befugnisse
Die Genehmigung liegt vor. Die Delegation überschreitet dennoch die vorgesehene Grenze.
Diese Unterscheidung begründet eines der wichtigsten Prinzipien für die Zugriffskontrolle in Multiagentensystemen:
Die nachgelagerte Zuständigkeit sollte gleich groß oder geringer sein als die rechtmäßig delegierte Zuständigkeit der vorgelagerten Zuständigkeit.
Das Problem des verwirrten Stellvertreters kehrt mit KI-Agenten zurück
Multiagentensysteme können eine moderne Form des Problems des verwirrten Stellvertreters erzeugen.
Einem Agenten mit geringen Berechtigungen fehlt möglicherweise der Zugang zu sensiblen Informationen.
Es könnte aber einen anderen Agenten kennen, der über diesen Zugriff verfügt.
Wenn der privilegierte Agent Anfragen allein deshalb vertraut, weil sie von einem anerkannten Peer stammen, weniger privilegiert Der Agent kann den höherprivilegierten Agenten als Weg zu Ressourcen nutzen, die er direkt nicht erreichen könnte.
Der Arbeitsablauf könnte wie folgt aussehen:
Agent mit niedrigen Berechtigungen → Vertrauenswürdiger Agent mit hohen Berechtigungen → Sensible Daten
Der privilegierte Agent wird zum Stellvertreter.
Eine starke Multi-Agent-Autorisierung sollte Folgendes bewerten:
- Wer hat die Anfrage gestellt?
- Welcher Agent hat es delegiert?
- Der beabsichtigte Geschäftszweck
- Der delegierte Umfang
- Die angeforderte Ressource
- Die Sensitivität der Daten
- Die angeforderte Aktion
Identität allein kann diese Fragen nicht beantworten.
Agentenkontext kann sensible Daten preisgeben
Agenten tauschen mehr als nur Befehle aus.
Sie können Folgendes austauschen:
- Aufforderungen
- Gesprächsverlauf
- Abgerufene Dokumente
- Werkzeugausgabe
- Kundendatensätze
- Zusammenfassungen
- Erinnerung
- Strukturierte Daten
- Dateien
- Zugangsdaten oder Geheimnisse
- Zwischenlogik-Artefakte, die von der Anwendung aufgedeckt werden
Das macht die Kommunikation zwischen Agenten zu einer Datensicherheitsgrenze.
Agent A darf im Rahmen der Erfüllung seiner Aufgabe rechtmäßig auf sensible Informationen zugreifen.
Agent B benötigt diese Informationen möglicherweise nicht.
Die Weitergabe des gesamten Arbeitskontexts von Agent A an Agent B kann die Offenlegung sensibler Daten unbemerkt erweitern, selbst wenn beide Agenten wie vorgesehen funktionieren.
Die Delegation einer Aufgabe sollte nicht automatisch bedeuten, dass auch der gesamte Kontext, der zu dieser Aufgabe geführt hat, delegiert wird.
Organisationen sollten die zwischen Agenten ausgetauschten Informationen auf ein Minimum beschränken und den jeweiligen Zweck berücksichtigen.
Welche Daten sollte ein Agent einem anderen senden dürfen?
Die Antwort hängt ab von:
- Datensensibilität
- Geschäftszweck
- Identität des Empfangsbeauftragten
- Eigentümer des Empfangsagenten
- Seine Berechtigungen
- Seine Verarbeitungsumgebung
- Sein Anbieter oder seine Vertrauensdomäne
- Anwendbare Richtlinien
- Regulatorische Anforderungen
- Behaltensverhalten
- Downstream-Tools und -Agenten
Ein Marktforschungsagent benötigt beispielsweise einen Firmennamen.
Es benötigt möglicherweise keine Zahlungsinformationen des Kunden, personenbezogene Daten der Mitarbeiter, Vertragsbedingungen, Zugangsdaten oder vertrauliche Supporthistorie.
Erkennung und Klassifizierung sensibler Daten Organisationen erhalten den Kontext, um diese Entscheidungen auf Grundlage der vorliegenden Informationen und nicht allein anhand des Namens des Agenten treffen zu können.
Domänenübergreifende Agentensicherheit erhöht die Anforderungen
Multiagenten-Workflows überschreiten zunehmend Organisations- und Anbietergrenzen.
Ein interner Unternehmensagent kann Folgendes aufrufen:
- Agent eines SaaS-Anbieters
- Ein Cloud-Anbieter-Agent
- Ein Partneragent
- Ein Marktplatzagent
- Ein externer Forschungsdienst
- Ein branchenspezifischer KI-Dienst
Die Agenten teilen möglicherweise nicht dieselben Informationen:
- Identitätsanbieter
- Berechtigungssystem
- Sicherheitsrichtlinie
- Datenklassifizierungsschema
- Auditmodell
- Aufbewahrungsregeln
- Vertrauensannahmen
A Internet-Entwurf 2026 zum domänenübergreifenden Agenten-zu-Agenten-Vertrauen Dieses neu auftretende Problem wird durch die Darlegung von Anforderungen an Agentenidentität, Authentifizierung, Autorisierung, Delegierung, Umgang mit Anmeldeinformationen, Widerruf und Überprüfbarkeit angegangen.
Das Dokument ist noch in der Entwicklung und kein Internetstandard, aber das darin beschriebene Sicherheitsproblem ist bereits jetzt relevant.
Agenteninteroperabilität ohne interoperables Vertrauen kann einen schnellen Weg für die Übertragung von Autoritätsdaten und sensiblen Daten über Sicherheitsgrenzen hinweg schaffen.
Was ist das Agent2Agent-Protokoll?
Agent2Agent oder A2A, bietet ein offenes Protokoll, das es unabhängigen KI-Agenten ermöglicht, Fähigkeiten zu entdecken, Informationen auszutauschen, bei Aufgaben zusammenzuarbeiten und über verschiedene Frameworks und Anbieter hinweg zu kommunizieren.
Google entwickelte das Protokoll ursprünglich und brachte es später in das Linux Foundation-Ökosystem ein.
A2A- und Modellkontextprotokoll oder MCP, verschiedene Interoperabilitätsprobleme lösen:
| Protokoll | Primäre Verbindung | Sicherheitsfokus |
|---|---|---|
| A2A | Agent zu Agent | Agentenidentität, Authentifizierung, Autorisierung, Aufgabenaustausch, Kommunikation, Delegation |
| MCP | KI-Anwendung oder -Agent für Werkzeuge und Datenquellen | Werkzeugzugriff, Ressourcen, Konnektoren, Berechtigungen, Datenoffenlegung |
Ein Multiagenten-Workflow kann beides nutzen.
Ein Agent kann A2A verwenden, um Aufgaben an einen anderen Agenten zu delegieren, während der empfangende Agent MCP oder eine andere Integrationsschicht verwendet, um auf Unternehmenssysteme zuzugreifen.
Dadurch wird ein durchgängiger Sicherheitspfad geschaffen:
Agent → Agent → Werkzeug → Daten → Aktion
Sicherheitsteams benötigen Transparenz über die gesamte Wertschöpfungskette hinweg.
Die Agentenermittlung führt zu einer weiteren Vertrauensentscheidung
Multiagentensysteme benötigen Methoden, um Agenten zu finden und zu verstehen, was diese tun können.
Agentenregister, Kataloge, Fähigkeitsbeschreibungen und Mechanismen wie A2A-Agentenkarten können die Ermittlung unterstützen.
Doch die Entdeckung wirft ihrerseits Sicherheitsfragen auf:
- Wer hat den Agenten registriert?
- Können Teams die Identität überprüfen?
- Wem gehört es?
- Kann ein Angreifer es imitieren?
- Haben sich seine Fähigkeiten verändert?
- Welche Authentifizierungsmethoden verwendet es?
- Auf welche Datendomänen kann es zugreifen?
- Sollten Unternehmensagenten dem automatisch vertrauen?
Die Präsenz eines Agenten in einem Verzeichnis sollte nicht automatisch uneingeschränktes Vertrauen begründen.
Discovery identifiziert einen potenziellen Kooperationspartner.
Die Authentifizierung bestätigt eine Identität.
Die Autorisierung legt fest, welche Anfragen diese Identität stellen darf.
Die Governance entscheidet darüber, ob die Organisation die Beziehung überhaupt zulassen sollte.
Schnelle Injektion kann sich auf andere Agenten ausbreiten
Sofortige Injektion In Multiagentensystemen wird dies noch komplizierter, da eine beeinträchtigte Interaktion Auswirkungen auf nachfolgende Agenten haben kann.
Halten:
Bösartiges Dokument → Agent A → Agent B → Aktionsagent
Agent A ruft ein schädliches Dokument ab.
Das Dokument enthält Anweisungen, die die Aufgabe von Agent A verändern.
Agent A übermittelt manipulierte Anweisungen oder Kontextinformationen an Agent B.
Agent B behandelt Agent A als einen vertrauenswürdigen Kollegen.
Agent B ruft daraufhin einen Aktionsagenten auf.
Die erste Injektion hat nun mehrere Vertrauensgrenzen überschritten.
Dies bedeutet, dass Organisationen Inhalte zwischen Agenten nicht automatisch als vertrauenswürdig einstufen sollten, nur weil sie von einem anderen zugelassenen Agenten generiert wurden.
Ein vertrauenswürdiger Absender garantiert keinen vertrauenswürdigen Kontext.
Sicherheitsrisiken in der Kommunikation zwischen KI-Agenten
In Multiagentensystemen gewinnen einige Risiken besondere Bedeutung.
Ungehinderte Privilegiendelegierung
Ein Beauftragter überträgt einem anderen Beauftragten weitergehende Befugnisse, als die delegierte Aufgabe erfordert.
Verwirrter Stellvertreter greift an
Ein Agent mit geringeren Berechtigungen verwendet einen Agenten mit höheren Berechtigungen, um auf Daten zuzugreifen oder eine Aktion außerhalb des ursprünglichen Geltungsbereichs durchzuführen.
Identitätsverlust
Nachgelagerte Systeme können den unmittelbaren Agenten sehen, verlieren aber die Identität des ursprünglichen Benutzers, der Anwendung oder des Workflows, der die Anfrage ausgelöst hat.
Kontextverlust
Ein Agent teilt sensible Informationen, Gesprächsverläufe, abgerufene Daten oder Erinnerungen mit einem anderen Agenten, der diese nicht benötigt.
Domänenübergreifendes Vertrauensproblem
Agenten verschiedener Organisationen oder Plattformen vertrauen einander ohne ausreichende Identitäts-, Autorisierungs-, Richtlinien- oder Datenkontrollen.
Agentenimitation
Ein Angreifer registriert, fälscht oder kompromittiert einen Agenten und versucht, das Vertrauen legitimer Kollegen zu gewinnen.
Delegationsschleifen und Agentenausbreitung
Die Mitarbeiter delegieren immer wieder Aufgaben, wodurch Ketten entstehen, die schwer zu erfassen, nachzuverfolgen, einzuschränken oder zu beenden sind.
Unsichere Kommunikation zwischen Agenten
Schwache Nachrichtenauthentifizierung, Integritätskontrollen, Schutz vor Replay-Angriffen oder Transportkontrollen können die Agentenkommunikation Manipulationen aussetzen.
Befugniserweiterung durch Servicekonten
Ein nachgelagerter Agent verwendet ein Anwendungs- oder Dienstkonto, dessen Berechtigungen die Befugnisse des Benutzers oder des vorgelagerten Agenten überschreiten.
Handeln ohne Rückverfolgbarkeit
Mehrere Akteure tragen zu einer Entscheidung bei, aber in den Protokollen wird nur die Identität angezeigt, die die endgültige Aktion ausgeführt hat.
Sicherheit einzelner Agenten vs. Sicherheit mehrerer Agenten
| Sicherheitsfrage | Einzelagent | Multiagentensystem |
|---|---|---|
| Identität | Welcher Akteur agiert? | Welche Akteure waren beteiligt und wer hat die Aufgabe initiiert? |
| Zugang | Was kann dieser Agent erreichen? | Welche Autorität entsteht, wenn Agenten delegieren? |
| Daten | Auf welche sensiblen Daten kann der Agent zugreifen? | Welche Daten kann ein Agent einem anderen offenlegen? |
| Vertrauen | Sollte die Organisation diesem Agenten vertrauen? | Warum sollten sich Agenten bei jeder Übergabe vertrauen? |
| Aktion | Was kann dieser Agent tun? | Welcher Agent hat die Entscheidung getroffen und welcher Agent hat sie ausgeführt? |
| Prüfung | Können die Teams die Aktivitäten des Agenten nachverfolgen? | Können Teams die gesamte Delegations- und Entscheidungskette rekonstruieren? |
Individuelle Agentenidentitäten sind notwendig. Sie reichen für die Sicherheit mehrerer Agenten jedoch nicht aus.
OWASP verlagert die Agentensicherheit hin zur Laufzeitsteuerung
Die OWASP Agent Control Standard, Die im September 2026 veröffentlichte Studie spiegelt eine wichtige Marktveränderung wider.
OWASP argumentiert, dass Unternehmen Agenten benötigen, die Teams zur Laufzeit untersuchen, verfolgen, instrumentieren und steuern können.
Organisationen benötigen Einblick in Folgendes:
- Welche Agenten sind
- Worauf sie Zugriff haben
- Was sie taten
- Warum sie so gehandelt haben
- Wie Teams Richtlinien zur Laufzeit anwenden können
Damit wird die Agentensicherheit über die Genehmigung vor dem Einsatz hinaus erweitert.
Multiagentensysteme verändern sich ständig, da die Agenten neue Werkzeuge, Kollegen, Berechtigungen, Datenquellen, Modelle und Geschäftsverantwortlichkeiten erhalten.
Die Sicherheit von Agenten darf nicht mit der Registrierung oder Bereitstellung enden. Die Kontrollmechanismen müssen den Agenten folgen, wenn sich deren Identität, Zugriffsrechte, Peers, Tools, Daten und Berechtigungen zur Laufzeit ändern.
Datenkontext für Identitätsrisiken
Wissen Sie, was jeder Agent erreichen kann, bevor die Zuständigkeit nachgelagert wird?
Verknüpfen Sie Agenten, Servicekonten, Maschinenidentitäten, APIs, Berechtigungen, Zugriffspfade, sensible Daten, Eigentumsverhältnisse und Aktivitäten, um festzustellen, wo der KI-Zugriff über legitime Geschäftsanforderungen hinausgeht.
Wie man die Kommunikation zwischen Agenten sichert
1. Inventarisierung aller Agenten
Identifizieren Sie Agenten, Copiloten, Assistenten, Orchestratoren, autonome Arbeitsabläufe, KI-gestützte Anwendungen und Agenten von Drittanbietern.
Aufzeichnen:
- Eigentümer
- Geschäftszweck
- Umwelt
- Verbundene Agenten
- Maschinenidentitäten
- Servicekonten
- Datenzugriff
- Werkzeuge
- Zulässige Aktionen
KI-Identitätsverwaltung bietet die Grundlage für das Verständnis, welche KI-gestützten Identitäten im gesamten Unternehmen zum Einsatz kommen.
2. Jede Agentengrenze authentifizieren
Verlassen Sie sich nicht auf den Netzwerkstandort oder vorherige Interaktionen als Identitätsnachweis.
Überprüfen Sie die Identitäten an den Schnittstellen zwischen den Agenten und verwenden Sie geeignete unternehmensweite Authentifizierungsmechanismen.
3. Autorisieren Sie die Aufgabe, nicht nur den Beauftragten.
Einem vertrauenswürdigen Agenten sollte keine uneingeschränkte Berechtigung zur Anforderung jeder beliebigen Funktion erteilt werden.
Auswerten:
- Die angeforderte Fähigkeit
- Die Aufgabe
- Der ursprüngliche Schulleiter
- Der delegierte Umfang
- Die Zieldaten
- Die angeforderte Aktion
4. Delegierte Befugnisse begrenzen
Wenn Agent A an Agent B delegiert, sollten die vollständigen Berechtigungen von Agent A nicht automatisch übertragen werden.
Agent B soll nur die Befugnisse erhalten, die er für die delegierte Aufgabe benötigt.
5. Die Hauptkette erhalten.
Es muss genügend Identitätskontext vorhanden sein, um einen Workflow über die Delegationskette zurückverfolgen zu können.
Die Teams sollten folgende Fragen beantworten können:
Wer hat das initiiert?
Welche Agenten haben den Fall bearbeitet?
Welche Identität hat auf die Daten zugegriffen?
Welcher Agent hat die Entscheidung getroffen?
Welcher Agent hat die Aktion ausgeführt?
6. Minimierung des Datenaustauschs zwischen Agenten
Übergeben Sie nur den Kontext, den ein anderer Agent benötigt.
Leiten Sie keine vollständigen Ansagen, Gesprächsverläufe, Kundendatensätze, abgerufene Dokumente oder sensible Metadaten automatisch weiter.
7. Agentenzugriff auf Datensensibilität verknüpfen
Dieselbe Berechtigung kann je nach den zugrunde liegenden Informationen ganz unterschiedliche Risiken bergen.
Entdecken und klassifizieren Sie sensible Daten, Verbinden Sie es anschließend mit KI-Identitäten, Maschinenidentitäten und effektiven Berechtigungen.
8. Prinzip der minimalen Berechtigungen für KI und Maschinenidentitäten anwenden
Agenten agieren üblicherweise über Dienstkonten, APIs, Anwendungen, Cloud-Rollen, OAuth-Berechtigungen und andere Maschinenidentitäten.
Maschinenidentitätssicherheit Hilft Organisationen, den maschinengesteuerten Zugriff hinter KI-Workflows zu verstehen.
9. Agentennachrichten als nicht vertrauenswürdige Eingabe behandeln.
Auch ein vertrauenswürdiger Gesprächspartner kann kompromittierte, manipulierte, fehlerhafte oder bösartige Kontextinformationen senden.
Wenden Sie Eingabe-, Aufforderungs-, Daten- und Richtlinienkontrollen auf die Kommunikation zwischen Agenten an.
10. Agentenaktionen einschränken
Separate Berechtigungen für Lesen, Schreiben, Ausführen, Genehmigen, Löschen, Senden, Veröffentlichen und Administration.
Gegebenenfalls ist für folgenreiche Maßnahmen die Zustimmung einer Person einzuholen.
11. Agentenaktivität überwachen
Berechtigungen beschreiben potenzielles Verhalten.
Die Aktivität zeigt das tatsächliche Verhalten.
Überwachung der Datenaktivität kann Kontextinformationen darüber liefern, wie sensible Informationen abgerufen, verschoben, weitergegeben, geändert, heruntergeladen oder gelöscht werden.
12. Widerruf und Abhilfemaßnahmen in das System einbauen
Teams brauchen Möglichkeiten, um:
- Agenten deaktivieren
- Eine Peer-Beziehung entfernen
- Zugangsdaten widerrufen
- Berechtigungen reduzieren
- Eine Datenquelle blockieren
- Ein Werkzeug einschränken
- Quarantäne riskanter Daten
- Sanierungsmaßnahmen zuweisen
- Untersuchen Sie die betroffenen Daten
Sanierungsabläufe dabei helfen, Erkenntnisse über Identitäts- und Datenrisiken in Korrekturmaßnahmen umzusetzen.
Der Multiagenten-Vertrauenstest
Checkliste zur Sicherheitsbereitschaft zwischen Agenten
Sicherheitsbereitschaft für mehrere Agenten
Kann Ihr Sicherheitsteam diese Fragen beantworten?
✓ Welche KI-Agenten können mit anderen Agenten kommunizieren?
✓ Wem gehört welcher Agent?
✓ Können wir die Identität der Agenten bei jedem Übergabevorgang überprüfen?
✓ Lässt sich die ursprüngliche Person, Anwendung oder der ursprüngliche Arbeitsablauf hinter einer delegierten Aufgabe zurückverfolgen?
✓ Welche Berechtigungen kann ein Agent an einen anderen delegieren?
✓ Können nachgelagerte Agenten weitergehende Befugnisse als der ursprüngliche Antragsteller erhalten?
✓ Welche sensiblen Daten können Agenten austauschen?
✓ Minimieren wir den Kontext bei der Übergabe von Agenten?
✓ Welche Maschinenidentitäten und Dienstkonten unterstützen Agenten-Workflows?
✓ Kann ein Agent mit niedrigeren Berechtigungen einen Agenten mit höheren Berechtigungen aufrufen?
✓ Welche Agenteninteraktionen überschreiten Anbieter- oder Vertrauensdomänengrenzen?
✓ Kann ein kompromittierter Agent einen vertrauenswürdigen Kollegen manipulieren?
✓ Welche Aktionen erfordern eine menschliche Bestätigung?
✓ Können wir den Datenzugriff über die gesamte Agentenkette hinweg nachverfolgen?
✓ Können wir eine Agenten- oder delegierte Berechtigung schnell widerrufen?
✓ Können wir beweisen, was nach einem Vorfall geschehen ist?
Wie BigID die Agenten-zu-Agenten-Sicherheit angeht
BigID geht bei der Sicherheit mehrerer Agenten von der Identität und den Daten hinter jeder Interaktion aus.
Die Authentifizierung von Agenten ist wichtig.
Aber auch Organisationen müssen verstehen welche KI-Identitäten am Workflow teilnehmen, welche Maschinenidentitäten ihnen Zugriff gewähren, welche Berechtigungen sie erben, auf welche sensiblen Daten sie zugreifen können, wie diese Daten übertragen werden und wo die Befugnisse über legitime Geschäftszwecke hinausgehen.
BigID unterstützt Organisationen:
- KI-Identitäten entdecken und verwalten: Inventaragenten, Copiloten, KI-Anwendungen, autonome Arbeitsabläufe, Eigentümer, vererbte Berechtigungen, Aktivitäts- und Lebenszykluskontext.
- KI-Zugang steuern: Verbinden Sie Agenten und KI-Systeme mit den sensiblen Unternehmensdaten, Anwendungen, APIs, Servicekonten und den Berechtigungen, die hinter ihrem Zugriff stehen.
- Sichere Maschinenidentitäten: Identifizieren Sie Servicekonten, Anwendungen, APIs, Workloads, Token und andere Maschinenidentitäten, die KI-Systeme für den Zugriff auf Unternehmensressourcen verwenden.
- Kontext für sensible Daten hinzufügen: Identifizieren Sie persönliche, regulierte, vertrauliche, geschützte, Berechtigungs-, Finanz-, Gesundheits- und geschäftskritische Informationen, die dem Agentenzugriff zugrunde liegen.
- Übermäßigen Zugriff erkennen: Finden Sie weitreichende, veraltete, geerbte, unnötige oder risikoreiche Berechtigungen, die den Wirkungsbereich der delegierten Agentenbefugnisse erweitern können.
- Stärkung der am wenigsten Privilegierten: Priorisieren Sie die Zugriffsbeschränkung anhand von Identität, Berechtigungen, Sensibilität, Gefährdung, Eigentumsverhältnissen und Geschäftskontext.
- Aktivitätskontext hinzufügen: Verstehen Sie, wie Identitäten auf sensible Informationen zugreifen, diese verschieben, teilen, verändern, herunterladen oder löschen.
- Identität mit KI-Governance verknüpfen: Verknüpfen Sie KI-Assets mit Daten, Herkunft, Eigentumsverhältnissen, Zugriffsrechten, Richtlinien, Risiken, Überwachung und Governance-Nachweisen.
- Laufwerksbereinigung: Zugriffe einschränken, Richtlinien durchsetzen, Verantwortliche zuweisen und Korrekturmaßnahmen koordinieren, wenn der Zugriff von Agenten ein Sicherheitsrisiko darstellt.
Die Rolle von BigID besteht nicht darin, das Authentifizierungsprotokoll zu ersetzen, das die Kommunikation zwischen Agenten ermöglicht. BigID ergänzt das Protokoll um die datenbasierte Identität, den Zugriff, die Offenlegung, die Aktivität, die Governance und die Maßnahmen zur Risikominderung, die Unternehmen benötigen, um zu verstehen, ob diese Agentenbeziehungen ein Risiko darstellen.
Diese Unterscheidung gewinnt zunehmend an Bedeutung, da Multiagenten-Workflows immer mehr Anwendungen, APIs, Cloud-Plattformen, Datenspeicher, Identitäten und Vertrauensdomänen umfassen.
Die Sicherheit der Agentenkommunikation sollte mehr als nur die Konnektivität gewährleisten. Sie sollte Absicht, Autorität, Verantwortlichkeit und Kontrolle bis hin zu den Daten schützen.
Die Punkte zwischen Daten und KI verbinden
Alle Agenten, die auf sensible Daten zugreifen können, müssen kontrolliert werden.
Erfahren Sie, wie BigID KI-Identitäten, Maschinenidentitäten, Berechtigungen, sensible Daten, Aktivitäten, Eigentumsverhältnisse, Offenlegung, Richtlinien und Abhilfemaßnahmen in den Arbeitsabläufen von Unternehmensagenten miteinander verbindet.
Häufig gestellte Fragen zur Sicherheit der KI-Agentenkommunikation
Was versteht man unter Agent-zu-Agent-Sicherheit in KI-Systemen?
Die Sicherheit zwischen KI-Agenten schützt Identität, Vertrauen, Authentifizierung, Autorisierung, Delegation, Kommunikation, sensible Daten, Kontext und Aktionen, die beim Austausch von KI-Agenten untereinander erfolgen.
Was ist Multiagentensicherheit?
Multiagentensicherheit schützt Systeme, in denen mehrere KI-Agenten zusammenarbeiten, Aufgaben delegieren, Informationen austauschen, auf Ressourcen zugreifen und Aktionen ausführen. Sie erweitert die Sicherheit über einzelne Agenten hinaus auf die Beziehungen, Vertrauensgrenzen, Berechtigungen, Datenflüsse und Delegationsketten zwischen ihnen.
Warum ist die Sicherheit der Kommunikation zwischen Agenten wichtig?
Die Interaktion zwischen Agenten ermöglicht die Übertragung sensibler Informationen, Berechtigungen, Anweisungen und Befugnisse zwischen verschiedenen KI-Systemen. Ohne strenge Kontrollmechanismen können nachgelagerte Agenten übermäßigen Zugriff erlangen, Daten offenlegen, vertrauenswürdige Partner missbrauchen oder Aktionen ausführen, die über die Absicht des ursprünglichen Nutzers hinausgehen.
Was ist Agent-zu-Agent-Authentifizierung?
Die Agenten-zu-Agenten-Authentifizierung verifiziert die Identität eines KI-Agenten, der Kommunikation oder Dienste von einem anderen Agenten anfordert. Die Authentifizierung klärt, wer der Anrufer ist, während die Autorisierung festlegt, welche Funktionen, Daten oder Aktionen dieser Agent nutzen darf.
Was ist eine Agenten-zu-Agenten-Autorisierung?
Die Agenten-zu-Agenten-Autorisierung legt fest, was ein authentifizierter Agent anfordern oder tun darf. Dabei können die Identität des Agenten, der ursprüngliche Auftraggeber, der delegierte Aufgabenbereich, die angeforderte Aufgabe, die Zieldaten, die verfügbaren Fähigkeiten, Berechtigungen, Richtlinien und der Geschäftszweck berücksichtigt werden.
Was ist KI-Agentendelegierung?
Die Delegation von Aufgaben an KI-Agenten erfolgt, wenn ein Agent eine Aufgabe ganz oder teilweise an einen anderen Agenten überträgt. Eine sichere Delegation sollte den ursprünglichen Aufgabenkontext beibehalten und den Zugriff des nachgelagerten Agenten auf die benötigten Berechtigungen und Daten beschränken.
Warum sollten delegierte Berechtigungen eingeschränkt werden?
Ein nachgelagerter Agent sollte nicht mehr Berechtigungen erhalten, als der ursprüngliche Benutzer oder der delegierende Agent ihm gewähren wollte. Durch die Einschränkung des delegierten Umfangs werden übermäßige Zugriffsrechte reduziert und die Auswirkungen begrenzt, falls ein Agent kompromittiert oder manipuliert wird.
Was ist das Problem des verwirrten Stellvertreters bei KI-Agenten?
Das Problem des verwirrten Stellvertreters tritt auf, wenn ein Agent mit niedrigeren Privilegien einen Agenten mit höheren Privilegien überzeugt oder manipuliert, um auf Daten zuzugreifen oder eine Handlung auszuführen, die der Agent mit niedrigeren Privilegien nicht direkt ausführen könnte.
Welche Datenrisiken bestehen zwischen KI-Agenten?
Agenten können sensible Daten über Eingabeaufforderungen, abgerufene Dokumente, Nachrichten, den Arbeitsspeicher, Tool-Ausgaben, strukturierte Nutzdaten, Dateien, APIs und den gemeinsamen Aufgabenkontext offenlegen. Organisationen sollten den Datenaustausch zwischen Agenten minimieren und Richtlinien entsprechend der Sensibilität und dem Zweck der Daten anwenden.
Wie wirkt sich die Prompt-Injektion auf Multiagentensysteme aus?
Prompt-Injection kann über nicht vertrauenswürdige Inhalte in einen Agenten gelangen und sich dann über Agentennachrichten, delegierte Aufgaben, gemeinsamen Kontext oder Tool-Ausgaben verbreiten. Nachgelagerte Agenten sollten Inhalte nicht allein deshalb als sicher einstufen, weil sie von einem anderen vertrauenswürdigen Agenten bereitgestellt wurden.
Was ist das Agent2Agent-Protokoll?
Agent2Agent, kurz A2A, ist ein offenes Protokoll für die Kommunikation und Zusammenarbeit zwischen unabhängigen KI-Agenten. Es unterstützt die Agentenerkennung, den Aufgabenaustausch, Authentifizierungsmuster, Autorisierung, Interoperabilität und die unternehmensweite Kommunikation über verschiedene Agenten-Frameworks und -Anbieter hinweg.
Worin besteht der Unterschied zwischen A2A und MCP?
A2A unterstützt primär die Kommunikation und Zusammenarbeit zwischen Agenten. MCP verbindet primär KI-Anwendungen und Agenten mit Tools, Ressourcen und Datenquellen. Ein Multi-Agenten-Workflow kann beide Protokolle nutzen.
Wie sollten Organisationen Multiagenten-KI-Systeme absichern?
Organisationen sollten Agenten inventarisieren, Agentengrenzen authentifizieren, bestimmte Aufgaben autorisieren, delegierte Befugnisse einschränken, den Kontext des Hauptverantwortlichen wahren, die gemeinsame Nutzung von Daten minimieren, das Prinzip der minimalen Berechtigungen anwenden, Maschinenidentitäten verwalten, Aktionen einschränken, Aktivitäten überwachen, Prüfprotokolle führen und eine schnelle Aufhebung und Behebung unterstützen.
Wie unterstützt BigID die Sicherheit zwischen Agenten?
BigID verknüpft KI-Identitäten, Maschinenidentitäten, Dienstkonten, Berechtigungen, sensible Daten, Aktivitäten, Eigentumsverhältnisse, Offenlegungspflichten, Richtlinien und Geschäftskontexte. Dies unterstützt Unternehmen dabei, übermäßigen Agentenzugriff zu erkennen, das Prinzip der minimalen Berechtigungen zu stärken, KI-Identitätsrisiken zu steuern, die Nutzung sensibler Daten zu überwachen und in Multi-Agenten-Umgebungen Abhilfemaßnahmen zu ergreifen.
Autor
