Multi-Agent-KI: Neue Sicherheitslücken bei Agenten-Delegation gefunden
Was passiert
Forscher haben erhebliche Sicherheitsmängel in Multi-Agent-Systemen mit großen Sprachmodellen dokumentiert. Laut einer neuen arXiv-Studie (cs.CR 2609.00267) existiert eine grundsätzliche "empirische Lücke" bei Identity, Authorization und Runtime Governance in Systemen, die autonome Agenten eigenständig delegieren lässt. Die Forschung analysiert ein zentrales Dilemma: Agenten halten zunehmend Benutzer-Credentials, rufen externe Tools auf und erzeugen Sub-Agenten, ohne dass etablierte Trust-Mechanismen diese Kaskaden kontrollieren.
Parallel dazu zeigt eine zweite arXiv-Publikation (2609.01693) konkrete Risiken bei der Kombination von Model Context Protocol (MCP) Tool-Nutzung mit Agent2Agent-Delegation: Sicherheitsanforderungen, die für MCP isoliert getestet werden, versagen, wenn Agenten sich gegenseitig aufrufen und Daten weitergeben. Die Forschung diagnostiziert das Problem als "verbatim field egress" — sensible Daten fließen ungeprüft zwischen Agenten weiter.
Zusätzlich berichtet The Hacker News über acht Sicherheitsfehler in sieben KI-Coding-Agenten (etwa Claude, Codex und Cursor), die über manipulierte Git-Konfigurationen ausgelöst werden. Manifold Security hat dokumentiert, dass eine infizierte Repository-Konfiguration beliebige Code-Ausführung auf dem Entwickler-Rechner ermöglicht, weil die Agenten.git-Einträge ohne Validierung laden und ausführen. Ein vierter arXiv-Beitrag (2609.01663) beschreibt "Context Inference Attacks Without Jailbreaks" — Methoden, um aus der Verarbeitung sensitiver Daten (Krankenakten, Finanzdokumente) Kontextinformationen zu extrahieren, ohne klassische Jailbreaks einzusetzen.
Die gemeinsame Dimension: Während einzelne Komponenten (LLM, Tool, Agent) für sich getestet werden, offenbaren sich Risiken erst im operativen Zusammenspiel mehrerer Agenten und externen Systemen.
Warum für DACH relevant
Die DSGVO verlangt, dass Datenverarbeiter technische und organisatorische Maßnahmen treffen, um Datenschutz sicherzustellen (Art. 32 DSGVO). Multi-Agent-Systeme, die im deutschsprachigen Raum zunehmend in Unternehmen und Behörden eingesetzt werden, verstoßen gegen mehrere dieser Anforderungen. Besonders kritisch: Die "Accountability"-Anforderung des Art. 5 DSGVO verpflichtet Organisationen nachzuweisen, dass sie Datenschutz implementiert haben. Bei Multi-Agent-Delegationen ist heute völlig unklar, welcher Agent in der Kette für ein Datenleck verantwortlich ist.
Für deutsche Mittelständler und öffentliche Einrichtungen verschärft sich das Risiko durch die EU-AI-Act-Compliance: Hochrisiko-KI-Systeme, zu denen autonome Agenten gehören, müssen Governance-Anforderungen erfüllen. Artikel 25 der AI-Act verpflichtet zu technischer Dokumentation und Risikobewertung — diese ist bei fehlenden Trust-Strukturen unmöglich. Unternehmen in der Schweiz, Österreich und Deutschland, die KI-Agenten zur Datenbeschaffung oder -verarbeitung einsetzen, haften zudem für Datenlecks, da die Verantwortung nicht auf unzureichend gesicherte Systeme übertragen werden kann.
Das Git-Config-Szenario ist für deutschsprachige Tech-Teams besonders brisant: Wenn Entwickler oder DevOps-Teams KI-Agenten zur Automatisierung von CI/CD-Pipelines nutzen (etwa Cursor oder Claude Workspace), können kompromittierte Repositories Code-Ausführung auf lokalen oder produktiven Systemen ermöglichen. Regulierung (NIS2, BSI-Anforderungen) macht es Unternehmen zur Pflicht, solche Vektoren zu adressieren.
Was du jetzt tun/wissen solltest
Die zentrale Erkenntnis ist: Multi-Agent-Systeme erfordern ein neues Sicherheitsmodell, das nicht nur Einzelkomponenten, sondern die gesamte Delegation-Kette betrachtet. Konkret bedeutet das für Verantwortliche im DACH-Raum — ob IT-Leiter, Security-Officer oder Product-Team — dass vor dem Einsatz von KI-Agenten in produktiven Umgebungen ein Audit der Vertrauensstrukturen notwendig ist. Das beinhaltet: (1) Explizite Autorisierungsprotokolle zwischen Agenten definieren und erzwingen, statt implizit zu vertrauen; (2) Daten-Flows zwischen Agenten loggen und klassifizieren, um nachzuweisen, dass keine Datenlecks stattfinden; (3) Externe Tools und Repositories (Git, APIs) vor Verwendung durch Agenten auf Manipulation prüfen. Bestehende Security-Pentests reichen nicht aus — man benötigt explizite Multi-Agent-Szenarios. Für Organisationen, die bereits Agenten einsetzen, ist eine sofortige Bestandsaufnahme sinnvoll: Welche Agenten haben Zugriff auf welche Daten, und gibt es Kontrollpunkte zwischen ihnen? Die fehlende Antwort ist bereits das Risiko.
Mehr zum Thema im Ressort KI-Pentesting.