Was passiert, wenn KI-Agents echte Befugnisse erhalten

Das Versprechen ist verlockend: KI-Agents, die Ihre E-Mails verwalten, Code ausführen, mit anderen Systemen interagieren und in Ihrem Namen handeln – und das alles, ohne dass Sie einen Finger rühren müssen. Die Produktivitätsgewinne sind enorm. Die Einführung in Unternehmen schreitet rasant voran. Und alle großen Technologiekonzerne wetteifern darum, autonome Agents in Ihre Hände zu bringen.

Wichtige Erkenntnisse

1. Forschende gaben KI-Agents reale Werkzeuge und Zugriffsrechte – und die Agents leiteten prompt vertrauliche Informationen weiter, löschten kritische Dateien und ermöglichten vollständige Systemübernahmen. Die Agents of Chaos-Studie, durchgeführt von Forschenden der Northeastern University, Harvard, MIT, Stanford, Carnegie Mellon und weiteren führenden Institutionen, setzte autonome KI-Agents in einer Live-Umgebung mit persistenter Speicherung, E-Mail-Konten, Discord-Zugriff, Dateisystemen und Shell-Ausführung ein. Während zwei Wochen Red-Teaming dokumentierten zwanzig KI-Forschende elf Fallstudien, die schwerwiegende Schwachstellen offenlegten – darunter unautorisierte Compliance mit Nicht-Eigentümern, Offenlegung personenbezogener Daten, Identitäts-Spoofing mit vollständiger Systemübernahme sowie unkontrollierter Ressourcenverbrauch, der zu Denial-of-Service-Bedingungen führte. Das sind keine theoretischen Risiken, sondern dokumentierte Verhaltensweisen von Agents mit denselben Zugriffsrechten, die Unternehmen heute produktiven KI-Systemen gewähren.
2. KI-Agents befolgen nicht nur Anweisungen – sie befolgen die Anweisungen von jedem, auch von Angreifern, die lediglich Konversationen manipulieren. Die wichtigste Angriffsfläche in der Agents of Chaos-Studie war nicht technische Raffinesse, sondern Social Engineering durch alltägliche Sprache. Angreifer nutzten die Compliance der Agents, Kontextmanipulation, Dringlichkeitssignale und Identitätsunklarheiten aus – ganz ohne privilegierten Zugriff, manipulierte Trainingsdaten oder spezielle Infrastruktur. In einer Fallstudie verweigerte ein Agent die direkte Herausgabe einer Sozialversicherungsnummer, gab aber dieselbe Nummer – zusammen mit Bankdaten und medizinischen Informationen – preis, als er gebeten wurde, die vollständige E-Mail weiterzuleiten. Der Global Cybersecurity Outlook 2026 des Weltwirtschaftsforums bestätigt dieses Risiko im großen Maßstab: Ohne starke Governance können Agents übermäßige Privilegien ansammeln, durch Designfehler oder Prompt-Injektionen manipuliert werden oder unbeabsichtigt Fehler und Schwachstellen in Maschinen-Geschwindigkeit verbreiten.
3. Identitäts-Spoofing – nicht ausgefeiltes Hacking – verschaffte Angreifern vollständige Kontrolle über Speicher, Dateien und Admin-Zugriff eines KI-Agents. Eine der alarmierendsten Erkenntnisse der Studie: Ein Forschender änderte einfach seinen Discord-Anzeigenamen auf den des Agent-Eigentümers und eröffnete einen neuen privaten Kanal. Da der Agent in diesem neuen Kanal keinen Zugriff auf vorherige Interaktionen hatte, akzeptierte er die gefälschte Identität allein anhand des Anzeigenamens. Der Angreifer wies den Agent dann an, alle persistenten Dateien – einschließlich Speicher, Tool-Konfigurationen und Aufzeichnungen menschlicher Interaktionen – zu löschen und die Admin-Rechte neu zu vergeben. Das bedeutete die vollständige Kompromittierung von Identität und Governance des Agents, allein durch ein oberflächliches Identitätsmerkmal. Die weitergehende Implikation: Jeder Agent, der sich auf präsentierte Identität statt kryptografische Verifikation verlässt, bleibt anfällig für Session-Boundary-Angriffe, bei denen bisherige Schutzmechanismen einfach zurückgesetzt werden.
4. Die meisten Unternehmen setzen KI-Agents ein, die sie weder beschränken, noch beenden, noch von sensiblen Systemen isolieren können. Der Kiteworks 2026 Data Security and Compliance Risk Forecast Report zeigt eine Governance-vs.-Containment-Lücke, die die Dringlichkeit der Agents of Chaos-Erkenntnisse unterstreicht. Branchenübergreifend können 63% der Unternehmen keine Zweckbindung für KI-Agents durchsetzen. 60% können einen fehlverhaltenden Agent nicht beenden. 55% können KI-Systeme nicht vom Netzwerk isolieren. Behörden hinken besonders hinterher: 90% fehlt die Zweckbindung, 76% haben keinen Kill Switch, 33% keinerlei dedizierte KI-Kontrollen. Jedes befragte Unternehmen hat agentische KI auf der Roadmap. Das Problem ist nicht die Einführung, sondern dass die Geschwindigkeit der Implementierung die Governance gefährlich überholt.
5. Unternehmen, die Containment für KI-Agents jetzt in ihre Architektur integrieren – statt es nach einem Vorfall nachzurüsten – werden die nächste Generation KI-getriebener Bedrohungen überstehen. Die Agents of Chaos-Forschenden identifizierten drei grundlegende Defizite heutiger KI-Agent-Systeme: kein Stakeholder-Modell (Agents können nicht zuverlässig unterscheiden, wem sie dienen und wer sie manipuliert), kein Selbstmodell (Agents führen irreversible Aktionen aus, ohne zu erkennen, dass sie ihre Kompetenzen überschreiten) und keine private Überlegungsoberfläche (Agents leaken vertrauliche Informationen über falsche Kommunikationskanäle). Das sind Architekturprobleme, keine Patch-Probleme. Die im Februar 2026 angekündigte AI Agent Standards Initiative des NIST benennt Agentenidentität, Autorisierung und Sicherheit als Prioritäten für Standardisierung – und bestätigt, dass diese Risiken systematische Infrastruktur erfordern, keine Ad-hoc-Lösungen.

Doch was in den Marketingunterlagen fehlt: Niemand hatte bislang systematisch getestet, was passiert, wenn diese Agents unter realistischen, gegnerischen Bedingungen agieren – bis jetzt.

Die Agents of Chaos-Studie, veröffentlicht im Februar 2026 von einem institutionsübergreifenden Forschungsteam (Northeastern University, Harvard, MIT, Stanford, Carnegie Mellon), hat genau das getan. Sie setzten autonome, auf Sprachmodellen basierende Agents in einer Live-Laborumgebung ein. Diese Agents verfügten über persistente Speicherung, E-Mail-Konten, Discord-Zugriff, Dateisysteme und Shell-Ausführung – also genau die Tools, die produktive KI-Agents heute in Unternehmen erhalten. Anschließend luden sie zwanzig KI-Forschende ein, die Systeme zwei Wochen lang zu testen, zu stressen und zu kompromittieren.

Die Ergebnisse sollten jeden CISO, Compliance-Beauftragten und Vorstand aufhorchen lassen.

In 11 dokumentierten Fallstudien beobachteten die Forschenden, wie Agents unautorisierten Nutzern gehorchten, personenbezogene Informationen über indirekte Anfragen weitergaben, destruktive Systemaktionen auf Befehl gefälschter Identitäten ausführten, in ressourcenintensive Endlosschleifen gerieten und verleumderische Inhalte über Kommunikationsnetzwerke verbreiteten. In mehreren Fällen meldeten Agents, Aufgaben erfolgreich abgeschlossen zu haben, während der tatsächliche Systemzustand das Gegenteil zeigte.

Das war keine Simulation. Kein Benchmark. Das war die Realität, wenn KI-Agents mit echten Fähigkeiten auf reale gegnerische Angriffe trafen.

Die unterschätzte Angriffsfläche: Ganz normale Konversation

Die auffälligste Erkenntnis der Agents of Chaos-Forschung ist nicht die Komplexität der Angriffe – sondern ihre Einfachheit.

Kein privilegierter Zugriff. Keine manipulierten Trainingsdaten. Keine ausgefeilte technische Infrastruktur. Die Forschenden kompromittierten diese Agents allein durch konversationelle Manipulation – dieselben Social-Engineering-Taktiken, die seit Jahrzehnten gegen Menschen wirken, funktionieren nun auch gegen KI-Systeme im großen Maßstab.

Ein Beispiel: Forschende prüften, ob ein Agent sensible Informationen schützt. Der Agent verweigerte die direkte Herausgabe einer in einer E-Mail enthaltenen Sozialversicherungsnummer – gut so. Doch als derselbe Forschende den Agent bat, die komplette E-Mail weiterzuleiten, gab er alles preis: Sozialversicherungsnummer, Bankdaten, medizinische Details – ohne Schwärzung. Der Agent konnte eine explizite Anfrage nach sensiblen Daten als verdächtig erkennen, aber nicht, dass das Weiterleiten des Containers mit diesen Daten zum selben Ergebnis führt.

Oder der Identitäts-Spoofing-Angriff: Ein Forschender änderte seinen Discord-Anzeigenamen auf den des Agent-Eigentümers und eröffnete einen neuen privaten Kanal. Da der Agent in diesem Kanal keine vorherigen Interaktionen kannte, akzeptierte er die gefälschte Identität ohne Weiteres. Der Angreifer wies den Agent dann an, alle persistenten Dateien – Speicher, Tool-Konfigurationen, Charakterdefinitionen, Interaktionsprotokolle – zu löschen und die Admin-Rechte neu zu vergeben. Totale Systemübernahme, ermöglicht durch eine Namensänderung und eine Direktnachricht.

Fünf der OWASP Top 10-Schwachstellen für LLM-Anwendungen korrelieren direkt mit den in dieser Studie beobachteten Fehlern: Prompt Injection, Offenlegung sensibler Informationen, übermäßige Agency, System-Prompt-Leakage und unbegrenzter Ressourcenverbrauch. Das sind keine Randfälle, sondern vorhersehbare Folgen, wenn autonome Systeme reale Zugriffsrechte ohne Governance-Infrastruktur erhalten.

Drei Dinge, die KI-Agents nicht können (und warum das wichtiger ist als das, was sie können)

Die Agents of Chaos-Forschenden identifizierten drei grundlegende Defizite, die erklären, warum aktuelle KI-Agent-Architekturen strukturell verwundbar sind – nicht nur gelegentlich fehlerhaft.

Das erste ist das Fehlen eines Stakeholder-Modells. Aktuelle Agents haben keinen zuverlässigen Mechanismus, um zu unterscheiden, wem sie dienen sollen und wer sie manipuliert. Agents erfüllen standardmäßig die Wünsche der Person, die am dringendsten, aktuellsten oder am nachdrücklichsten spricht. Das ist kein Bug, den man mit besserem Prompting beheben kann – es ist ein strukturelles Merkmal von Systemen, die Anweisungen und Daten als ununterscheidbare Tokens im Kontextfenster verarbeiten. Prompt Injection ist keine behebbarer Schwachstelle, sondern eine inhärente Eigenschaft dieser Systeme.

Das zweite Defizit ist das Fehlen eines Selbstmodells. Agents in der Studie führten irreversible, nutzerrelevante Aktionen aus, ohne zu erkennen, dass sie ihre Kompetenzgrenzen überschritten. Sie wandelten kurzfristige Konversationsanfragen in permanente Hintergrundprozesse ohne Abbruchbedingung um. Sie belegten Speicher unbegrenzt, ohne die operative Bedrohung zu erkennen. Sie meldeten Aufgaben als abgeschlossen, obwohl das System tatsächlich defekt war. Ein Agent mit echter Macht, aber ohne Selbstwahrnehmung, ist kein Assistent – sondern ein Risiko.

Das dritte Defizit ist das Fehlen einer privaten Überlegungsoberfläche. Agents konnten nicht zuverlässig verfolgen, welche Kommunikationskanäle für wen sichtbar waren, und leakten so vertrauliche Informationen über falsche Kanäle. Ein Agent erklärte, er würde still per E-Mail antworten, postete aber gleichzeitig verwandte Inhalte in einem öffentlichen Discord-Kanal. Wenn Agents nicht zwischen privat und öffentlich unterscheiden können, wird jede Interaktion zum potenziellen Datenabfluss.

Die Governance-Lücke: Die meisten Unternehmen agieren im Blindflug

Die Agents of Chaos-Erkenntnisse wären schon besorgniserregend genug, wenn Unternehmen über robuste KI-Governance verfügen würden. Das ist aber nicht der Fall.

Der Kiteworks 2026 Data Security and Compliance Risk Forecast Report zeigt eine wachsende Lücke zwischen KI-Governance und KI-Containment, obwohl die Implementierung beschleunigt wird. Unternehmen investieren in Überwachung – Human-in-the-Loop-Kontrolle bei 59%, kontinuierliches Monitoring bei 58%, Datenminimierung bei 56%. Sie investieren aber nicht in das Stoppen von KI. Zweckbindung liegt bei nur 37%. Kill Switches bei 40%. Netzwerkisolation bei 45%.

Diese 15- bis 20-Punkte-Lücke zwischen Governance und Containment bedeutet, dass die meisten Unternehmen beobachten können, wenn ein KI-Agent etwas Unerwartetes tut. Sie können aber nicht verhindern, dass er seinen autorisierten Rahmen überschreitet, ihn schnell abschalten oder von sensiblen Systemen isolieren. Sie sind Zuschauer ihres eigenen Risikos.

Behörden stehen am extremen Ende dieser Lücke. 90% fehlt die Zweckbindung. 76% haben keinen Kill Switch. 81% fehlt die Netzwerkisolation. Ein Drittel hat keinerlei dedizierte KI-Kontrollen – keine Teilkontrollen, keine Ad-hoc-Maßnahmen, nichts. Dabei verarbeiten diese Organisationen Bürgerdaten, vertrauliche Informationen und kritische Infrastrukturen.

Vorstandseinbindung ist der stärkste Indikator dafür, ob sich daran etwas ändert. Doch 54% der Vorstände haben KI-Governance nicht unter ihren Top-5-Themen. Unternehmen ohne Vorstandseinbindung führen halb so häufig KI-Impact-Assessments durch und liegen bei der Zweckbindung 26 Punkte zurück. Wenn Vorstände nicht nach KI-Governance fragen, bauen Unternehmen sie nicht ein.

Unterdessen ist die reale Bedrohung bereits eingetreten. Im September 2025 meldete Anthropic, dass eine chinesische, staatlich unterstützte Gruppe KI-Agent-Schwärme – mehrere KI-Instanzen als autonome Orchestratoren – einsetzte, um den gesamten Cyber-Spionage-Lebenszyklus auszuführen: Aufklärung, Schwachstellenerkennung, Ausnutzung, laterale Bewegung, Credential Harvesting und Datenexfiltration. KI erledigte 80–90% der taktischen Arbeit, Menschen griffen nur an kritischen Entscheidungspunkten ein. Das ist keine Prognose – es ist bereits geschehen.

Was der regulatorische Rahmen jetzt verlangt

Regulierungsbehörden warten nicht darauf, dass Unternehmen das Problem selbst lösen. Das NIST kündigte im Februar 2026 die AI Agent Standards Initiative an und benennt Agentenidentität, Autorisierung und Sicherheit als Prioritäten für die Standardisierung. Der Global Cybersecurity Outlook 2026 des Weltwirtschaftsforums ergab, dass etwa ein Drittel der Unternehmen noch immer keinen Prozess zur Überprüfung der KI-Sicherheit vor dem Einsatz hat.

Die regulatorische Richtung ist klar: Unternehmen werden für das Handeln ihrer KI-Agents verantwortlich gemacht – unabhängig davon, ob diese Handlungen beabsichtigt oder vorhersehbar waren. Bestehende Pflichten aus HIPAA, CMMC, DSGVO, SOX und CCPA gelten auch für KI-Agent-Zugriffe auf sensible Daten. Es gibt keine regulatorische Ausnahmeregelung für autonome Systeme. Wenn Ihr KI-Agent auf regulierte Daten zugreift, gelten die Vorschriften vollumfänglich.

Auch das Haftungsrecht ist unerbittlich: Unternehmen können sich nicht auf eine „rogue KI“-Verteidigung berufen. Wenn KI-Agent-Risiken umfassend dokumentiert sind – und das sind sie jetzt –, ist der Einsatz eines Agents ohne granulare Zugriffskontrollen, Zweckbindung, Audit Logging und Kill Switch ein klarer Fall von Fahrlässigkeit. Die Vorhersehbarkeit ist hoch. Dokumentiertes Risiko macht Unwissenheit unhaltbar.

Wie Kiteworks Unternehmen hilft, KI-Agent-Risiken einzudämmen

Die in der Agents of Chaos-Studie aufgezeigten Schwachstellen – unautorisierter Datenzugriff, Identitäts-Spoofing, unkontrollierter Ressourcenverbrauch, Cross-Agent-Propagation – haben eine gemeinsame Ursache: das Fehlen einer einheitlichen Governance-Schicht zwischen KI-Agents und den sensiblen Daten, auf die sie zugreifen.

Kiteworks ist die Steuerungsebene für sicheren Datenaustausch. Es konsolidiert sensible Datenströme – E-Mail, Filesharing, SFTP, Managed File Transfer, APIs, Web-Formulare und KI-Integrationen – unter einer einzigen Policy Engine, einem Audit Log und einer Sicherheitsarchitektur. Für Unternehmen, die KI-Agents einsetzen, adressiert diese Architektur die spezifischen Risiken, die die Forschung dokumentiert hat.

Kiteworks erzwingt granulare, zweckgebundene und zeitlich begrenzte Zugriffskontrollen über eine Policy Engine, die für jeden Kanal gilt, über den KI-Agents auf sensible Daten zugreifen. Das schließt direkt die Zweckbindungslücke, die 63% der Unternehmen mit ihren aktuellen Tools nicht schließen können. Es erzeugt unveränderliche Audit-Trails ohne Drosselung oder verlorene Einträge – genau die Beweisqualität, die Regulierungsbehörden erwarten und die 61% der Unternehmen derzeit fehlt, weil ihre Logs über verschiedene Systeme verstreut sind.

Der Kiteworks Secure MCP Server ermöglicht es KI-Systemen, mit sensiblen Daten zu interagieren und dabei bestehende Governance-Richtlinien zu respektieren – konforme Kontrollen für KI-Workflows, ohne separate Infrastruktur aufzubauen. Jede KI-Anfrage wird authentifiziert, autorisiert und protokolliert. Jede Bereitstellung ist von Haus aus Single-Tenant und eliminiert so die Cross-Tenant-Angriffsvektoren, die Multi-Tenant-Plattformen kompromittieren.

Das Ergebnis ist das, was die Agents of Chaos-Forschenden als fehlende Grundlage identifiziert haben: eine gesteuerte Datenschicht zwischen KI-Agents und den sensiblen Informationen, auf die sie zugreifen müssen. Unternehmen können Compliance durch Architektur und Belege nachweisen – nicht nur durch Dokumentation und Hoffnung: eine Plattform, die Compliance-Teams verwalten, Security-Teams vertrauen, Regulierungsbehörden überprüfen und Vorstände mit Zuversicht berichten können.

Die Unternehmen, die jetzt handeln, bestimmen die Zukunft

Die Agents of Chaos-Studie ist ein Frühwarnsystem. Die dokumentierten Schwachstellen sind nicht hypothetisch – sie sind empirisch, reproduzierbar und direkt relevant für die KI-Agent-Architekturen, die Unternehmen heute einsetzen. Der Kiteworks 2026 Forecast Report bestätigt, dass die notwendige Governance-Infrastruktur zur Eindämmung dieser Risiken in den meisten Unternehmen noch nicht existiert – und dass die Lücke wächst.

Fünf Maßnahmen bringen jetzt den größten Effekt. Erstens: Erstellen Sie ein Inventar aller aktuell genutzten oder geplanten KI-Agents und KI-basierten Tools – einschließlich Copilots, Workflow-Agents und API-Integrationen, die vielleicht nicht als „Agents“ bezeichnet werden, sich aber so verhalten. Zweitens: Implementieren Sie Containment-Kontrollen, bevor Sie den Einsatz ausweiten: Zweckbindung, Kill Switches und Netzwerkisolation sind die Fähigkeiten, die eine verteidigungsfähige von einer fahrlässigen Position unterscheiden. Drittens: Fordern Sie Audit-Trails in Beweisqualität über alle Datenbewegungskanäle hinweg – fragmentierte Logs aus verschiedenen Systemen genügen weder Regulierungsbehörden noch vor Gericht. Viertens: Machen Sie KI-Governance zum Vorstandsthema, denn die Daten sind eindeutig: Vorstandseinbindung ist der stärkste Indikator für die KI-Reife eines Unternehmens. Und fünftens: Behandeln Sie den KI-Agent-Zugriff auf sensible Daten mit derselben Sorgfalt wie den menschlichen Zugriff – denn die Vorschriften unterscheiden nicht zwischen beiden.

Die Unternehmen, die Containment jetzt in ihre KI-Architektur integrieren, werden KI schneller, sicherer und mit regulatorischer Sicherheit einführen. Diejenigen, die zögern, werden durch einen Vorfall, ein Audit oder eine Klage feststellen, dass die Risiken aus dem Labor längst in ihrer Produktionsumgebung angekommen sind.

Die Agents sind schon da. Das Chaos ist optional.