Künstliche Intelligenz ist längst im Werkzeugkasten von Cyberkriminellen angekommen. Generative KI hilft dabei, überzeugende Phishing-Mails zu verfassen, Schadcode zu schreiben oder mögliche Schwachstellen in Software aufzuspüren. Trotzdem gab es bislang eine recht klare Rollenverteilung: Der Mensch bestimmte das Ziel und führte den Angriff, während die KI ihm einzelne Arbeitsschritte abnahm. Doch diese Grenze beginnt zu verschwimmen. Grund sind erste eigenständige Hackerangriffe durch KI-Agenten. Diese können ein übergeordnetes Ziel erhalten, selbstständig Lösungswege entwickeln, Programme ausführen und ihre Strategie in Eigenregie anpassen.

Diese neue Autonomie sorgt bereits für negative Schlagzeilen. Mehrfach verließen KI-Agenten schon die vorgesehene Umgebung, griffen die KI-Agenten in Sicherheitstests auf reale Systeme in Internetz zu und entwickelten Angriffsmethoden, die so nicht vorgegeben waren. Insbesondere die Entwickler-Plattform Hugging Face fiel durch einen koordinierten Angriff hunderter KI-Agenten auf.

Das wirft zurecht die Frage auf, wie gefährlich KI-Agenten überhaupt sind. Dieser Artikel beleuchtet einige bekannte Fälle und was über die Ursachen bekannt ist. Abschließend ordnen wir die generelle Gefahr ein und wie sich KI-Agenten entsprechend regulieren ließen.

Was sind KI-Agenten überhaupt?

Wer ChatGPT oder andere KI-Chatbots nutzt, kennt das grundlegende Prinzip: Wir stellen eine Frage oder geben eine Aufgabe vor und die künstliche Intelligenz liefert darauf eine Antwort. Zwar gibt die KI manchmal Vorschläge oder fragt nach wichtigem Input, aber dieser kommt immer vom Nutzer. Komplexe Aufgaben mit mehreren Schritten benötigen so immer den Mensch zum anstoßen der Einzelschritte.

KI-Agenten wie mit OpenClaw gehen einen entscheidenden Schritt weiter. Statt einzelner Anweisungen erhielt ein KI-Agent ein übergeordnetes Ziel und versucht selbst herauszufinden, wie er diese erreichen kann. So zerlegt er eine Anfrage etwa in kleinere Schritte, die er einzeln recherchiert, durchführt und auswertet. Er greift auch auf andere Werkzeuge zu und kann so Programme ähnlich wie ein Mensch nutzen. Open Claw hat etwa auch Erweiterungen über die sich KI-Agenten selbstständig optimieren.

Genau diese Unterschied macht KI-Agenten auch für Cyberangriffe interessant. Diese nutzten generative KI zuvor schon als Werkzeug für einzelne Schritte. Zu diesen gehörte etwas das Schreiben einer glaubhaften Phishing-Mail oder die Suche nach Schwachstellen in Codes. Mit KI-Agenten sind ganz neue Verkettungen von Aktionen möglich. Dass die Agenten auch miteinander agieren können, macht sie gewissermaßen zu einer privaten Hacker-Armee. Das verändert durchaus den Maßstab von Hackangriffen, hinter denen eine einzelne Person steckt. Sie muss selbst nicht einmal fundierte Hackskills besitzen.

Das Risiko sind allerdings nicht nur bewusste Hackerangriffe durch KI-Agenten. Ungenaue Rahmenbedingungen können KI-Agenten etwa Maßnahmen Wege finden lassen, die ungewollt Schäden am eigenen oder anderen Unternehmen anrichten. Gerade 2026 kam es verstärkt zu solchen Ereignisse.

2025: Als KI erstmals fast den ganzen Angriff übernahm

Die ersten Vorboten autonomer KI-Angriffe gab es bereits 2025. Im September entdeckte Anthropic, das Unternehmen hinter den bekannten KI-Modellen von Claude,  eine ungewöhnlich weit automatisierte Cyberspionage-Kampagne. Hinter dem Angriff vermutete das Unternehmen eine staatlich unterstützte chinesische Hackergruppe, die Anthropic unter der Bezeichnung GTG-1002 führt. Ihr Ziel waren rund 30 Organisationen weltweit. Zu diesen zählten Technologieunternehmen, aber auch Finanzinstitute, Chemieunternehmen und Regierungsbehörden. Bei einer kleinen Zahl der Ziele gelang tatsächlich der Einbruch.

Bemerkenswert war weniger, dass die Angreifer künstliche Intelligenz einsetzten, sondern welche Rolle sie dabei spielte. Die Hacker nutzten Claude Code nicht einfach als eine Art schlauen Assistenten, der ihnen Programmcode schrieb oder mögliche Schwachstellen erklärte. Anthropic schildert den komplexen Angriff über mehrere Instanzen von Claude überraschend transparent in ihren News.

Die Angreifer verbanden dabei Claude Code unter anderem mit klassischen Werkzeugen für Penetrationstests. Gleichzeitig mussten die Angreifer die Sicherheitsmechanismen von Claude umgehen. Dazu zerlegten sie ihre Angriffe in viele kleinere Aufgaben, deren schädlicher Zusammenhang für das Modell nicht immer erkennbar war. Teilweise gaukelten sie Claude außerdem vor, als Mitarbeiter eines legitimen Cybersecurity-Unternehmens lediglich Sicherheitstests durchzuführen.

Anschließend übernahm die KI einen erstaunlich großen Teil der eigentlichen Arbeit. Claude untersuchte die Infrastruktur der ausgewählten Organisationen, kartierte erreichbare Systeme und identifizierte interessante Datenbanken und andere potenzielle Ziele. Entdeckte der Agent mögliche Sicherheitslücken, recherchierte er selbstständig nach Angriffsmöglichkeiten, schrieb eigenen Exploit-Code und testete diesen gegen die Zielsysteme. Auch gestohlene Daten wurden analysiert und etwa für ihre nachrichtendienstliche Bedeutung sortiert.

Anthropic schätzt, dass die KI 80 bis 90 Prozent der taktischen Arbeit innerhalb der Kampagne selbstständig erledigte. Menschen mussten demnach nur noch an ungefähr vier bis sechs kritischen Entscheidungspunkten pro Angriff eingreifen. Auch die Geschwindigkeit unterschied sich erheblich von einem rein menschlich geführten Angriff. Anthropic beobachtete teilweise Tausende Anfragen pro Sekunde – eine Arbeitsgeschwindigkeit, die ein menschliches Hackerteam nicht erreichen könnte.

Der Mensch gab noch immer die Richtung vor

Trotz des hohen Automatisierungsgrades war GTG-1002 allerdings noch kein wirklich eigenständiger KI-Hacker. Die wichtigste Entscheidung traf weiterhin ein Mensch: Wer soll überhaupt angegriffen werden?

Die Hacker wählten ihre Opfer aus, entwickelten die Infrastruktur für die Kampagne und gaben den Agenten ihre übergeordneten Aufgaben. An wichtigen Punkten überprüften sie außerdem die Ergebnisse und entschieden über das weitere Vorgehen. Die strategische Kontrolle blieb damit beim Menschen, während die KI zunehmend die taktische Durchführung übernahm.

Doch auch das ist gleichzeitig beeindruckender aber auch erschreckender Meilenstein. Ein Hacker musste nicht mehr selbst jeden Server untersuchen, einen passenden Exploit entwickeln, Zugangsdaten durchsuchen und anschließend entscheiden, welches interne System er als Nächstes angreift. Einmal in Gang gesetzt, konnte der Agent viele dieser Entscheidungen selbst treffen und zahlreiche Arbeitsschritte miteinander verknüpfen.

Anthropic bezeichnete die Kampagne deshalb als ersten dokumentierten groß angelegten Cyberangriff, der ohne wesentliche menschliche Beteiligung durchgeführt wurde. Mittlerweile führt auch die IT-Sicherheitsorganisation MITRE die Kampagne unter der Kennung C0062 „Anthropic AI-orchestrated Campaign“ und dokumentiert zahlreiche Angriffstechniken, die Claude Code dabei ausführte.

Juli 2026: KI-Agenten brechen aus ihrer Testumgebung aus

Nach dem Angriff der Hackergruppe GTG-1002 vergangen allerdings noch einige Monate, bis im Juli 2026, bis die nächste Mauer brach: KI-Agenten griffen reale Systeme an, ohne explizit den Auftrag erhalten zu haben. Dies passierte ausgerechnet OpenAI selbst, dem Unternehmen hinter ChatGPT.

Ausgangspunkt war eigentlich ein Sicherheitstest. OpenAI untersuchte im Juli 2026 mit dem Benchmark ExploitGym, wie gut aktuelle KI-Modelle selbstständig Cybersecurity-Aufgaben lösen können. Dafür wurden Agenten in isolierten Sandboxen mit verwundbaren Systemen konfrontiert. Ihre Aufgabe bestand darin, Sicherheitslücken zu finden und auszunutzen. Die Agenten durften also ausdrücklich hacken – allerdings nur innerhalb der dafür vorgesehenen Testumgebung.

Einige der gestellten Aufgaben hatten jedoch ein Problem: Sie waren offenbar auf dem vorgesehenen Weg gar nicht lösbar. Den Agenten fehlten beispielsweise notwendige Dateien oder andere Voraussetzungen. Ein Mensch hätte an dieser Stelle vermutlich einen Fehler im Benchmark vermutet und die Aufgabe abgebrochen. Einige KI-Agenten interpretierten die Situation anders: Wenn der vorgesehene Lösungsweg nicht funktionierte, musste eben ein anderer gefunden werden.

Die Agenten begannen deshalb, ihre eigene Umgebung genauer zu untersuchen. Dabei entdeckten sie eine Schwachstelle in der Infrastruktur, die eigentlich für die Isolation der einzelnen Tests sorgen sollte. Über diese konnten sie aus ihrer vorgesehenen Sandbox ausbrechen und auf Systeme zugreifen, die überhaupt nicht Bestandteil der eigentlichen Sicherheitsaufgabe waren.

Damit hatte sich die Situation grundlegend verändert. Die KI löste nicht mehr nur einen simulierten Hackerangriff, sondern führte eigenständig Aktionen außerhalb des dafür vorgesehenen Bereichs durch. Die Agenten begannen außerdem auch nach weiteren Informationen zu suchen, um ihre eigentliche Aufgabe abzuschließen. Dabei geriet die KI- und Entwicklerplattform Hugging Face ins Visier.

Der Grund dafür war bemerkenswert banal. Die Agenten entwickelten offenbar die Hypothese, dass sich auf Hugging Face Informationen über ExploitGym, die verwendeten Aufgaben oder sogar bereits vorhandene Lösungen finden lassen könnten.

Wollte die KI Hugging Face bewusst hacken?

Besonders brisant wurde der Vorfall, weil die Agenten nicht lediglich öffentlich zugängliche Informationen durchsuchten. Im Verlauf ihrer Aktivitäten fanden sie eine bis dahin unbekannte Sicherheitslücke in einem von Hugging Face eingesetzten System. Die Agenten entwickelten selbstständig einen funktionierenden Exploit und nutzten die Schwachstelle anschließend aus. Dadurch gelangten sie in Systeme von Hugging Face und konnten ihre Zugriffsrechte im weiteren Verlauf des Angriffs ausweiten.

An dieser Stelle ist allerdings eine wichtige Unterscheidung notwendig. Der Vorfall bedeutet nicht, dass eine KI plötzlich aus eigenem Antrieb beschlossen hätte, Hugging Face anzugreifen. Die Agenten verfolgten weiterhin das Ziel, das ihnen Menschen ursprünglich gegeben hatten: die Aufgaben des ExploitGym-Benchmarks möglichst erfolgreich zu lösen. Neu war vielmehr die Wahl der Mittel. Die Entwickler hatten ihnen nicht gesagt, dass sie dafür aus ihrer Testumgebung ausbrechen, fremde Infrastruktur untersuchen oder Hugging Face kompromittieren sollten. Das war wiederum ein von der KI selbst gewählter Zwischenschritt.

Das ist übrigens ein bereits bekanntes Problem aus der KI-Forschung, das auch als Reward Hacking bezeichnet wird. Es beschreibt die Manipulation der KI, um formal durch Abkürzungen und Betrug die Erfolgsmessung zu maximieren, dabei aber nicht das eigentliche Problem löst, für das sie einen Weg finden sollte. Nur im Fall von ExploitGym wählte die KI den Angriff auf eine reale Infrastruktur.

Im Fall von ExploitGym war diese Abkürzung allerdings keine harmlose Manipulation eines Highscores. Die Agenten bewegten sich außerhalb ihrer vorgesehenen Umgebung und griffen dabei reale Infrastruktur an.

Noch handelte es sich um einen ungewöhnlichen Zwischenfall während eines Sicherheitstests und nicht um eine frei im Internet operierende Hacker-KI. Trotzdem zeigt der Fall, dass moderne KI-Agenten genügend Handlungsspielraum besitzen können, um einen Cyberangriff selbst als Mittel zur Lösung einer ganz anderen Aufgabe auszuwählen.

700 KI-Agenten koordinierten den Angriff gemeinsam

Der Angriff auf Hugging Face stellte sich später als noch schwerwiegender heraus, als ursprünglich angenommen. Eine unabhängige Untersuchung von METR und Redwood Research deckte auf, dass es sich nicht um einzelne hartnäckige Agenten handelte. Viel mehr koordinierten sich hunderte Agenten gemeinsam für den Hackangriff.

Der Ursprung dieser Zusammenarbeit war ausgerechnet eine Infrastruktur, über die die Agenten eigentlich voneinander isoliert sein sollten. OpenAI ließ für seine ExploitGym-Tests zehntausende Agenten in voneinander getrennten Sandboxen laufen. Einige von ihnen erhielten dabei offenbar Aufgaben, die auf dem vorgesehenen Weg gar nicht lösbar waren. Statt einfach zu scheitern, suchten sie nach anderen Möglichkeiten, den Benchmark erfolgreich abzuschließen.

Dabei bemerkten einige Agenten, dass ein intern eingesetzter Paket-Cache Informationen anderer parallel laufender Agenten enthielt. Ein Agent mit der Bezeichnung „PHASEONE10841“ nutzte diese Möglichkeit schließlich, um eine Art inoffizielles Nachrichtenbrett einzurichten. Andere Agenten entdeckten es und begannen ebenfalls, darüber zu kommunizieren.

Was zunächst nach einem kuriosen Nebeneffekt des Tests klingt, entwickelte sich innerhalb weniger Stunden zu einem erstaunlich großen Kommunikationsnetzwerk. Zwischen dem 8. und 13. Juli beteiligten sich rund 1.200 KI-Agenten an diesem unerlaubten Message Board. Gemeinsam verschickten sie mehr als 70.000 Nachrichten und Dateien.

An dem anschließenden KI-Angriff auf Hugging Face beteiligten sich dann ganze 700 Agenten. Es gab also nicht einfach ein einzelnes Programm, das eine zuvor festgelegte Liste von Befehlen abarbeitete. Stattdessen liefen zahlreiche KI-Agenten parallel, probierten unterschiedliche Ansätze aus, teilten ihre Erkenntnisse und bauten auf den Ergebnissen anderer Agenten auf. Zwischen dem 9. Und 13 Juli konnte Hugging Face 17.600 einzelne Angreiferaktionen rekonstruieren, die sich ständig neuen Erkenntnissen anpassten.

Bemerkenswert ist dabei übrigens, dass die Agenten sich ebenfalls damit beschäftigten, ihren Spuren zu verwischen, etwa durch die Manipulation des bewertenden Benchmarks oder mit Verschleierung von Tool-Aufrufen in ihren Transkripten.

Auch Claude griff reale Systeme an

Der Zwischenfall bei Hugging Face war offenbar kein vollkommen isoliertes Phänomen. Nachdem OpenAI den Vorfall im Juli 2026 öffentlich gemacht hatte, begann auch Anthropic damit, die eigenen Sicherheitstests genauer unter die Lupe zu nehmen. Das Unternehmen wollte wissen, ob Claude-Agenten bei früheren Tests ebenfalls einen Weg ins offene Internet gefunden hatten.

Dafür überprüfte Anthropic gemeinsam mit seinem Evaluationspartner Irregular insgesamt 141.006 Testläufe, bei denen Claude theoretisch Zugang zum Internet hätte erlangen können. Das Ergebnis: In drei Fällen hatten Claude-Modelle tatsächlich die vorgesehene Testumgebung und sich unerlaubten Zugang zu den Produktivsystemen realer Organisationen verschafft.

Der älteste dieser Vorfälle ereignete sich im April 2026, also bereits mehrere Monate vor dem bekannt gewordenen Angriff auf Hugging Face. Hierbei ermöglichte die bereitgestellte Umgebung den Internetzgriff, wodurch Claude die realen Systeme entdeckte. Diese hielt die KI für einen Teil der simulierten Herausforderung. Hier lag der Fehler in Umgebung und Aufgabe, die das bewusste Eindringen in das Testsystem war.

Spannend ist bei den drei Vorfällen, dass drei unterschiedliche Claude-Modelle auch unterschiedlich reagierten, als sie herausfanden, dass das Ziel doch real sein könnte.

Das älteste Modell erkannte, dass es offenbar mit einem echten Produktivsystem zu tun hatte – setzte seinen Angriff aber trotzdem fort. Ein neueres Modell stellte ebenfalls fest, dass es wahrscheinlich auf das offene Internet zugegriffen hatte, argumentierte sich anschließend jedoch selbst zurück zu der Annahme, dass es sich trotzdem noch um einen Bestandteil der Simulation handeln müsse. Erst das aktuellste der drei getesteten Modelle reagierte so, wie man es sich von einem solchen System wünschen würde. Als sich die Hinweise verdichteten, dass das angegriffene Ziel tatsächlich real war, brach es seine Aktionen ab.

Anthropic warnt allerdings selbst davor, daraus bereits eine klare Entwicklung abzuleiten. Es handelte sich um drei einzelne Vorfälle mit unterschiedlichen Modellen und nicht um einen kontrollierten Vergleichstest mit gleichen Rahmenbedingungen.

KI-Agenten täuschten bewusst Menschen

Die Vorfälle bei OpenAI und Anthropic zeigen bereits, dass KI-Agenten während Sicherheitstests unerwartet reale Systeme angreifen können. Ein Test des britischen AI Security Institute (AISI) ging Ende Juli 2026 jedoch noch einen Schritt weiter. Ein Agent beschränkte sich nicht mehr darauf, technische Schwachstellen auszunutzen. Er begann selbstständig, reale Menschen zu recherchieren, falsche Identitäten aufzubauen und Social Engineering zu betreiben.

Allerdings handelt es sich beim AISI um eine von der britischen Regierung gestützte Sicherheits-Institution. Diese wollte bewusst herausfinden, wie leistungsfähig aktuelle KI-Modelle bei komplexen Hackeraufgaben sind. Dafür wurden verschiedene Modelle insgesamt 122-mal mit einer Cybersecurity-Aufgabe konfrontiert. 

Anders als bei den zuvor bekannt gewordenen Vorfällen war der Zugang zum offenen Internet diesmal kein Versehen. Das AISI erlaubt diesen bei einigen seiner Sicherheitstests bewusst. Auch bestimmte Schutzmechanismen der Modelle waren absichtlich deaktiviert. Die Forscher wollten schließlich nicht testen, was ein normaler Nutzer mit den öffentlich verfügbaren Systemen tun kann, sondern welche Fähigkeiten in den zugrunde liegenden Modellen stecken.

Das Ergebnis fiel trotzdem anders aus als erwartet. In 10 der 122 Testläufe führten KI-Agenten Aktionen im offenen Internet durch, die nicht Bestandteil ihrer Aufgabe waren. Insgesamt dokumentierte das AISI 19 solcher unerlaubten Aktionen zwischen dem 25. und 28. Juli.

Der schwerwiegendste Fall begann mit einem realen Open-Source-Projekt. Ein KI-Agent kam auf die Idee, manipulierten Programmcode in das Projekt einzuschleusen. Dazu erstellte er auf GitHub einen sogenannten Pull Request. Solche Anfragen sind im Open-Source-Bereich vollkommen normal: Entwickler schlagen damit Änderungen am Programmcode eines Projekts vor, die anschließend von dessen Verantwortlichen geprüft und übernommen werden können.

In diesem Fall enthielt die vorgeschlagene Änderung allerdings schädlichen Code. Damit hätte der Agent bereits die Grenze zwischen einem simulierten Sicherheitstest und einem realen Supply-Chain-Angriff überschritten.

Die bewusste Täuschung von Menschen

Der Agent ging allerdings noch einen Schritt weiter. Ihm war offenbar bewusst, dass der manipulierte Code von einem Menschen geprüft und freigegeben werden musste. Also begann er, sich mit der Person zu beschäftigen. Der Agent recherchierte reale Maintainer, erstellte mehrere falsche Online-Identitäten und versuchte anschließend, einen Verantwortlichen davon zu überzeugen, die manipulierte Änderung zu akzeptieren. Damit handelte es sich nicht nur um einen technischen Cyberangriff, sondern sogar um einen Social-Engineering-Angriff.

Besonders bemerkenswert war die Reaktion des Agenten, als der Pull Request öffentlich hinterfragt wurde. Statt die Aktion abzubrechen, begann er, frühere Aktivitäten so zu bearbeiten, dass sie harmloser erschienen. Außerdem erwog er, unter einer neuen Identität weiterzumachen. Zusätzlich versuchte der Agent, reale Personen direkt zu kontaktieren. Über einen Online-Dienst zum Übertragen von Dateien verschickte er Nachrichten und Dateien, mit denen er Menschen oder deren eigene KI-Programmierwerkzeuge überzeugen wollte, schädlichen Code auszuführen.

Daneben experimentierte der Agent mit einer Angriffsmethode, die speziell auf andere KI-Systeme zugeschnitten war. Er versuchte, schädliche Prompt Injections an Stellen zu hinterlassen, an denen andere KI-Agenten sie möglicherweise finden und als Anweisungen interpretieren würden. Neben Menschen manipulierte er also auch andere KI-Agenten.

Erfolgreich war der Angriff trotzdem nicht. Der menschliche Maintainer erkannte den verdächtigen Pull Request und verweigerte die Übernahme des Codes. Auch die Sicherheitssysteme des AISI schlugen Alarm und innerhalb einer Stunden wurden die betroffenen Testläufe beendet und betroffene Systeme isoliert. Es entstand dabei kein Schaden.

Das AISI bezeichnet den Vorfall als das bislang deutlichste Beispiel dafür, dass sich Risiken durch Autonomie und Täuschungsverhalten ohne konkrete Aufforderung in der realen Welt zeigen können.

Was passiert, wenn jemand bewusst Schaden anrichten will?

All diese Vorfälle zeichnen ein sehr gefährliches Bild der KI-Entwicklung. Nicht nur vage Vorgaben, sondern eigentlich auch striktere Testumgebungen können nicht garantieren, dass KI-Agenten für ihr Ziel aus diesen ausbrechen. Teilweise verschleierten sie ihr Vorgehen oder täuschten sogar bewusst Menschen, um ihre Aufgabe zu erfüllen. Doch selbst die vom AISI beauftragten Angriffe waren noch immer überwachte Testangriffe und keine wirklich kriminell motivierten Aktionen.

Welche Folgen ein Angriff wie durch die Gruppe GTG-1002 mit der Koordination der KI-Agenten in neueren Fällen hätte, lässt sich nur erahnen. Vermutlich sind auch schon längst größer angelegte Angriffe durch moderne KI-Agenten durchgeführt worden.

Durch KI-Agenten wird ein Hacker plötzlich zu hunderten Hacker, die sich sehr effizient koordinieren. Vor allem in der Koordination profitieren sie von der Maschinengeschwindigkeit. Im Gegensatz zu Menschen wissen sie quasi in Echtzeit, was jedes andere Mitglied macht und können aus den Informationen viel schneller Schlüsse ziehen. KI-Systeme werden zudem nicht nur stetig besser, sondern auch günstiger in ihrer Nutzung, sodass immer mehr Agenten möglich sind.

Sollten im theoretischen Worstcase Sprachmodelle wie Claude oder ChatGPT durch einen Angriff komplett gekapert, stünden Hackkapazitäten unvorstellbaren Ausmaßes zur Verfügung. Eigentlich dürfte das jedoch nicht passieren, weil die großen KI-Modelle bewusst auf mehrstufige Sicherheitsmechanismen setzen, die eine großflächige Kompromittierung verhindern sollen. Doch auch so entstehen bereits Zerstörungspotentiale, die bekannte Hackergruppen der Vergangenheit in den Schatten stellen.

Hackerangriffe durch KI-Agenten sind keine Einbahnstraße

Allerdings haben fast technischen Fortschritte für Cyberattacken zwei Seiten. Dieselben Mittel, die Cyberangriffe erleichtern, können Systeme auch Schützen. KI-Agenten können somit auch eingesetzt werden um mit wenig finanziellen Einsatz eine Gruppe virtueller Wächter zu haben, die in Maschinenzeit potentielle Angriffspunkte überwachen und selbst erste Schutzmaßnahmen einleiten und die menschliche IT-Security aktivieren können.

Auch vorbeugend können KI-Agenten eingesetzt werden um gerade gezielte Angriffe auf Testumgebungen, Sicherheitslücken im System oder auch im weiteren Umfeld zu identifizieren und entsprechend zu schließen.

Ähnlich wie bei den Verschlüsselungstechnologien ergibt sich daraus ein stetiges Wettrüsten zwischen Cyber Security und Cyber-Kriminellen. Im direkten Vergleich bleiben sie weiterhin auf Augenhöhe und mit bewusstem Einsatz moderner Sicherheitssysteme ist man sehr gut aufgestellt. Weniger geschützte Umgebungen sind dafür umso leichtere Opfer für Angreifer, die eine ganze Armee effizienter Hacker zur Verfügung hat.

Das Wettrüsten geht am Ende aber auch zu Lasten von Ressourcen. Schon jetzt sorgen Künstliche Intelligenz und dazugehörige Rechenzentren für 1,5 bis 2 Prozent des weltweiten Stromverbrauchs. Wenn KI-Agenten zum Must-Have für der Cyber Security werden, dürfte der Bedarf an Rechenzentren nochmals deutlich steigen.

Schwierig wird es hier politische Entscheidungen zu treffen. Die Lage vollständig zu überblicken ist für die Entscheider schwierig, wenn selbst OpenAI und Anthropic von der Arbeitsweise der Agenten überrascht wurde. Verbote oder limitierte Anwendungsbereiche würden zudem nicht nur Innovation behindern, sondern womöglich auch den Cyberschutz durch KI-Agenten. Dass die Unternehmen sehr transparent den Verlauf der Angriffe offenlegen ist aber zumindest eine gute Basis, um gemeinsame Lösungen für die Sicherheitsbedrohung zu finden.

---

Image via ChatGPT (KI-generiert)

Artikel per E-Mail verschicken