Mehrere KI-Agenten, neue Risiken – NIST sieht Lücken in heutigen Schutzmodellen
Das US-amerikanische National Institute of Standards and Technology hat am 3. September 2026 Unterlagen zu einer zwei Tage zuvor gehaltenen Präsentation über Mehragentensysteme veröffentlicht. Die offizielle Präsentationsseite des NIST nennt den GSA-Datenwissenschaftler Tam Nguyen als Referenten und beschreibt einen Ansatz, der Wissensmodellierung mit Bedrohungsmodellierung verbindet.
Die zentrale Botschaft für Sicherheitsverantwortliche: Bewährte Kontrollen bleiben notwendig, erfassen aber nicht automatisch Risiken, die erst durch Kommunikation, gemeinsamen Zustand und weitergereichte Befugnisse zwischen mehreren Agenten entstehen. Die Unterlagen dokumentieren eine Analyse und Empfehlungen der US-General Services Administration (GSA); sie sind kein neuer verbindlicher NIST-Standard und keine fertige Prüfliste.
Das Risiko wandert entlang der Delegationskette
Bei einem einzelnen Agenten lassen sich Eingaben, Berechtigungen und Werkzeugaufrufe noch innerhalb einer vergleichsweise klaren Systemgrenze untersuchen. In einem Mehragentensystem kann dagegen ein Agent Informationen aufnehmen, ein zweiter sie in eine Teilaufgabe übersetzen und ein dritter mit eigenen Werkzeugrechten die daraus folgende Aktion ausführen.
Dadurch können Ursache und sichtbare Wirkung weit auseinanderliegen. In einem ausdrücklich hypothetischen Szenario verarbeitet ein Recherche-Agent ein manipuliertes Dokument und schreibt dessen Inhalt in einen gemeinsamen Speicher. Ein später aufgerufener Agent übernimmt den Eintrag als Kontext und löst mit seinen legitimen Rechten eine Aktion aus, obwohl er selbst nie direkt angegriffen wurde.
Die Schwachstelle liegt dann nicht allein im Modell oder im verwendeten Werkzeug, sondern an den Übergängen. Eine aktuelle Analyse der Autorisierung in Mehragentensystemen beschreibt drei prägende Eigenschaften dieser Angriffsfläche: delegierte Werkzeugbefugnisse, persistenter gemeinsamer Speicher und Kommunikation zwischen Agenten. Sie verweist zugleich auf das Problem, dass eine Transportidentität nicht ohne Weiteres erkennen lässt, welcher menschliche oder technische Auftraggeber am Anfang einer längeren Kette stand.
Drei Kontrollgrenzen werden besonders wichtig
Aus der Präsentation und der begleitenden Sicherheitsdebatte ergibt sich eine betriebliche Zuordnung zu drei Übergängen. Sie ist eine redaktionelle Übersetzung der dokumentierten Risiken, nicht eine vom NIST verabschiedete Kontrollliste.
- Nachrichten: Der Empfänger muss Herkunft und Integrität prüfen, darf eine authentifizierte Nachricht aber nicht automatisch als berechtigte Anweisung behandeln. Entscheidend ist auch, ob der Inhalt Daten, Kontext oder eine auszuführende Aufgabe darstellt.
- Gemeinsamer Speicher: Einträge benötigen nachvollziehbare Herkunft, begrenzte Schreibrechte und einen definierten Gültigkeitsbereich. Andernfalls kann manipulierter Kontext über den ursprünglichen Vorgang hinaus bestehen bleiben und weitere Agenten beeinflussen.
- Delegation: Weitergereichte Rechte müssen an die konkrete Teilaufgabe gebunden bleiben. Jeder zusätzliche Agent sollte nur die Befugnisse erhalten, die für seinen Teil des Ablaufs erforderlich sind, statt stillschweigend die Rechte des übergeordneten Agenten zu übernehmen.
Diese Grenzen hängen zusammen. Eine korrekt signierte Nachricht kann schädlichen oder veralteten Kontext enthalten; eine eindeutig identifizierte Komponente kann mit zu weit gefassten Rechten handeln. Identität beantwortet daher zunächst, wer kommuniziert, nicht aber, ob der Inhalt vertrauenswürdig ist und die verlangte Aktion noch vom ursprünglichen Auftrag gedeckt wird.
Protokolle müssen mehr als den letzten Aufruf zeigen
Herkömmliche Anwendungsprotokolle erfassen häufig den abschließenden API- oder Werkzeugaufruf. Für Mehragentensysteme reicht das nicht, wenn die Entscheidung aus mehreren Nachrichten, Speicherzugriffen und Delegationen hervorgegangen ist. Sicherheitsanalysen benötigen eine zusammenhängende Spur vom auslösenden Inhalt bis zur ausgeführten Aktion.
Eine solche Spur muss die beteiligten nichtmenschlichen Identitäten, den jeweiligen Berechtigungsumfang, Änderungen am gemeinsamen Zustand und die Weitergabe des Auftrags unterscheidbar machen. Sonst kann jeder einzelne Aufruf formal zulässig wirken, obwohl die gesamte Kette eine Befugnis erweitert oder manipulierten Kontext weitergetragen hat.
Auch Überwachung auf Komponentenebene hat hier Grenzen. Wenn jedes System nur den eigenen Ein- und Ausgang kennt, bleibt möglicherweise unsichtbar, dass sich eine problematische Anweisung über mehrere Stationen verbreitet. Der relevante Prüfgegenstand ist deshalb der vollständige Arbeitsablauf und nicht nur der Agent, der die letzte Aktion ausführt.
Grundregeln gelten weiter, agentenspezifische Vorgaben fehlen
Die neue Präsentation fügt sich in die breitere NIST-Arbeit zur Sicherheit von KI-Agenten ein. Eine am 18. Mai veröffentlichte NIST-Auswertung eingegangener Stellungnahmen hält einen weitreichenden Konsens fest: Grundlegende Cybersicherheitsprinzipien bleiben relevant, müssen für KI-Agenten jedoch angepasst werden. Genannt werden außerdem staatliche Aufgaben wie Umsetzungshilfen, Informationsaustausch und die Förderung von Standards.
Für Mehragentensysteme bedeutet das keinen vollständigen Bruch mit etablierten Verfahren. Least Privilege, getrennte Verantwortlichkeiten, belastbare Identitäten, Eingabeprüfung und nachvollziehbare Protokolle bleiben Ausgangspunkte. Neu ist vor allem, dass diese Kontrollen eine dynamische Kette aus nichtmenschlichen Akteuren und wechselnden Zuständen abbilden müssen.
Noch offen ist, welche Erkenntnisse in konkrete NIST-Profile, Messverfahren oder technische Standards einfließen werden. Zum Stand vom 7. September liegen eine dokumentierte GSA-Präsentation und die allgemeinere NIST-Konsensauswertung vor. Verbindliche agentenspezifische Regeln für Identität, Nachrichtengrenzen, gemeinsamen Speicher und lückenlose Delegationsprotokolle wurden damit nicht veröffentlicht.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.