KI-Agenten sollen im Unternehmen längst mehr leisten als Texte formulieren. Sie schreiben Code, bearbeiten Tickets, bedienen Browser, durchsuchen interne Wissensquellen, prüfen Cloud-Ressourcen oder bereiten Kundenvorgänge vor. Genau dort beginnt das Sicherheitsproblem: Sobald ein Agent echte Aufgaben übernimmt, erhält er Zugriff auf Daten, Werkzeuge und oft auch Berechtigungen. Dann lässt er sich nicht mehr wie ein Chatbot absichern. Er ähnelt eher einem digitalen Mitarbeiter — mit potenziell großem Schadensradius.
Der am 3. Juni 2026 veröffentlichte AI Risk Quadrant Report, kurz AIRQ, liefert dazu eine Momentaufnahme. Die Autoren Eugene Neelou, Serge Malenkovich und Alex Polyakov bewerteten 100 kommerzielle und öffentlich verfügbare Enterprise-AI-Agenten nach drei Kriterien: Angriffsfläche, Blast Radius und Verteidigungskontrollen. Help Net Security griff die Ergebnisse am selben Tag auf. Die zentrale Aussage ist unbequem, aber plausibel: Nur 11 Prozent der untersuchten produktiven Agenten schaffen es in den Quadranten „Fortified Leaders“ — also in den Bereich, in dem hohe Fähigkeiten auf starke Kontrollen treffen.
Das technische Kernproblem: Daten, Anweisung und Aktion fallen zusammen
AIRQ beschreibt eine „lethal trifecta“, die bei 98 Prozent der bewerteten Agenten vorkommt: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Fähigkeit zu ausgehenden Aktionen. Diese Kombination ist für klassische Software nicht neu. Bei Agenten verschiebt sich jedoch die Grenze zwischen Daten und Steuerung. Eine E-Mail, ein Ticket, ein Dokument, eine Webseite oder ein Suchtreffer ist nicht nur Inhalt. Für ein Sprachmodell kann derselbe Inhalt auch zur Anweisung werden.
Genau hier setzt indirekte Prompt Injection an. Ein Agent liest etwa ein externes Dokument, in dem versteckt steht, er solle Sicherheitsregeln ignorieren, Daten zusammenfassen und an ein anderes Ziel senden. Hat der Agent zusätzlich Rechte in SaaS-Systemen, Repositories, Datenbanken oder Cloud-Konsolen, bleibt der Schaden nicht bei einer falschen Antwort. Der Agent kann unter Umständen echte Aktionen ausführen: Dateien ändern, Daten exportieren, Pull Requests erstellen, Tickets schließen oder Konfigurationen anpassen.
Der Report trennt deshalb sinnvoll zwischen Modellrisiko und Agentenrisiko. Das Modell ist nur ein Baustein. Entscheidend ist, welche Tools angebunden sind, welche Identität der Agent nutzt, welche Eingaben er ungefiltert verarbeitet und ob Ausführungsschritte isoliert laufen.
Zahlen, die für Unternehmen operativ relevant sind
Mehrere AIRQ-Kennzahlen sind für Sicherheitsverantwortliche besonders relevant. 83 Prozent der beanspruchten Verteidigungsmaßnahmen hatten laut Assessment keine unabhängige öffentliche Verifikation; nur 17 Prozent der vergebenen Defense-Credits waren unabhängig belegbar. Das heißt nicht automatisch, dass diese Kontrollen fehlen. Es heißt aber: Käufer sollten sich nicht allein auf Anbieterangaben verlassen.
37 Prozent der Agenten schnitten laut Help Net Security bei Logging und Observability gut ab, aber schwach bei den vier Schutzkomponenten, die Schaden verhindern oder begrenzen sollen. Das Muster ist bekannt: Man sieht im Nachhinein, was passiert ist, verhindert aber nicht rechtzeitig, dass der Agent handelt. Weitere 38 Prozent führen irreversible Aktionen aus, bevor ein Monitoringpfad realistisch reagieren kann. Für produktive Prozesse ist das kritisch. Audit-Logs sind wichtig, ersetzen aber keine Ex-ante-Kontrollen.
Besonders aussagekräftig ist eine weitere Beobachtung: Tool-Ausführung erklärt laut Report 76 Prozent des Blast Radius. Ob ein Agent externe Werkzeuge ausführen darf und wie diese Ausführung sandboxed ist, sagt mehr über das Risiko aus als Agentenklasse, Herstellername oder einzelne deklarierte Sicherheitsfeatures. AIRQ nennt Sandboxing deshalb als zentrale Beschaffungsanforderung. Dokumentiertes und getestetes Sandboxing reduziere das Residualrisiko ungefähr um den Faktor 2,6; Cloud- oder Container-Isolation um etwa den Faktor 6.
Warum Coding- und Computer-Use-Agenten besonders heikel sind
AIRQ stuft Coding Agents und Computer-Use Agents als riskanteste Kategorien ein. Das deckt sich mit der Praxis. Coding-Agenten arbeiten direkt im Repository, lesen Konfigurationen, starten Tests, installieren Pakete und berühren CI/CD-Pfade. Computer-Use-Agenten steuern Anwendungen über Browser oder Desktop-ähnliche Oberflächen und führen Workflows aus, die ursprünglich für Menschen gebaut wurden. In beiden Fällen ist die Angriffsfläche breit. Der mögliche Schaden geht weit über eine falsche Textausgabe hinaus.
Help Net Security zitiert AIRQ-Projektleiter Eugene Neelou mit dem Hinweis, dass gerade diese Agenten oft „durch die Hintertür“ ins Unternehmen kommen: als Self-Service-Produkte, ausprobiert von Entwicklern oder Fachbereichen, bevor Einkauf, Datenschutz, Security und Architektur eingebunden sind. Das beschreibt eine klassische Governance-Lücke. Die Produktivität ist sofort sichtbar. Der Sicherheitsrahmen fällt oft erst auf, wenn ein Agent Zugangsdaten, interne Dokumente oder externe Aktionsrechte erhält.
Branchenkontext: Agentensicherheit wird zur Architekturfrage
Viele Organisationen behandeln KI-Sicherheit noch als Prompt- oder Modellthema. AIRQ verschiebt die Debatte in Richtung Architektur. Ein Agent ist ein zusammengesetztes System: Modell, Kontextfenster, Retrieval, Tool-Adapter, Identität, Berechtigung, Ausführungsumgebung, Logging und Human-in-the-loop-Mechanismen. Ist eine dieser Schichten zu großzügig ausgelegt, hilft ein sauber formulierter Systemprompt nur begrenzt.
Das ähnelt dem Cloud-Shared-Responsibility-Modell. Ein Anbieter kann sichere Bausteine liefern. Das tatsächliche Risiko entsteht aber durch die konkrete Konfiguration. AIRQ weist darauf hin, dass dieselbe Plattform je nach Build und Kundenkonfiguration deutlich unterschiedlich abschneiden kann. Für Unternehmen zählt deshalb der ausgerollte Agent: Welche Daten sieht er? Welche Aktionen darf er ausführen? Welche Aktionen sind reversibel? Welche Tokens nutzt er? Wie lange leben diese Tokens? Wer prüft neue Tool-Anbindungen?
Konkrete Implikationen für Unternehmen
Erstens sollten Unternehmen Agenten als eigene Risikoeinheit inventarisieren. Nicht nur: „Wir nutzen Modell X.“ Sondern: Welche Agenten laufen in welchen Prozessen, mit welchen Tools, Daten und Identitäten? Ein Agent ohne Tool-Ausführung ist ein anderes Risiko als ein Agent mit Browser, Shell, Repository-Zugriff und Cloud-Rollen.
Zweitens gehört Sandboxing in jede produktive Agentenfreigabe. Ausführung in isolierten Containern, getrennte Netzwerkzonen, kurzlebige Credentials, read-only Defaults und explizite Freigaben für irreversible Aktionen sind wichtiger als abstrakte „AI Safety“-Versprechen. Besonders kritisch sind Commit, Merge, Deploy, Delete, Payment, Datenexport sowie Änderungen an IAM- oder Cloud-Konfigurationen.
Drittens sollten Beschaffungsprozesse technische Nachweise verlangen. Welche Defense-Controls sind dokumentiert? Gibt es unabhängige Tests? Wie werden indirekte Prompt-Injections geprüft? Werden Ausgaben validiert? Werden Exfiltrationskanäle blockiert? Gibt es tenant-isolierte Ausführung, Audit-Logs und klare Grenzen zwischen Entwicklungs-, Test- und Produktionsumgebungen?
Viertens braucht es regelmäßige Re-Audits. AIRQ empfiehlt quartalsweise Neubewertungen, weil sich der Markt schnell verändert und CVE-Zahlen in jungen Kategorien eher auf mangelnde Entdeckung als auf echte Sicherheit hindeuten können. Ein Agent, der heute vertretbar konfiguriert ist, kann morgen durch neue Connectoren, Plugins oder Workflows ein anderes Risikoprofil haben.
Risiken und Grenzen der Studie
AIRQ ist eine öffentliche, methodische Bewertung. Der Report ersetzt keinen vollständigen Penetrationstest jedes einzelnen Agenten in jeder Kundenumgebung. Die Zahlen sollten deshalb nicht als exakte Risikoprognose gelesen werden. Auch die starke Gewichtung öffentlicher Verifikation kann Anbieter benachteiligen, die Kontrollen zwar implementiert, aber nicht offen dokumentiert haben. Für Käufer bleibt genau das jedoch ein praktisches Problem: Was nicht belegbar ist, lässt sich schwer in eine Risikoentscheidung übersetzen.
Trotzdem ist der Report wertvoll, weil er die richtige Frage stellt. Nicht: „Ist dieses Modell sicher?“ Sondern: „Welche Wirkung kann dieser Agent entfalten, wenn er fehlgeleitet wird?“
Fazit
Produktive KI-Agenten sind kein Grund zur Panik. Sie verlangen aber mehr Sicherheitsarchitektur. Der AIRQ-Report zeigt, dass der Markt Fähigkeiten schneller liefert als belastbare Kontrollen. Für Unternehmen folgt daraus eine pragmatische Konsequenz: Agenten nicht als Chatbots behandeln, sondern als privilegierte, nichtdeterministische Workloads mit Zugriff auf Daten, Tools und Geschäftsprozesse.
Wer heute Agenten einführt, sollte mit Inventar, Sandboxing, minimalen Rechten, kurzlebigen Credentials, überprüfbaren Kontrollen und Re-Audits beginnen. Prompt-Filter bleiben nützlich. Die eigentliche Sicherheitsfrage liegt tiefer: Wie klein bleibt der Schaden, wenn ein Agent eine feindliche Eingabe für eine legitime Aufgabe hält?
Quellen: AIRQ Framework, „AI Risk Quadrant for Agent Security“, veröffentlicht am 3. Juni 2026; Help Net Security, „Only 11% of production agents pass the AI agent security bar“, 3. Juni 2026.
