120 globale Unternehmen haben einen offenen Brief veröffentlicht, der eine gemeinsame Antwort auf Cyberangriffe mit KI fordert. Der Brief verlangte, dass KI-Unternehmen jenen Einrichtungen zum Schutz kritischer Infrastruktur, denen es an Sicherheitspersonal und Budget fehlt, Zugang zu KI-Modellen und Schulungen bereitstellen. Dazu kam ein weiterer Punkt. Es sollen Mechanismen geschaffen werden, um die Aktivitäten von KI-Agenten nachzuverfolgen und zu überwachen.
Ein KI-Agent ist Software, die auch ohne Anweisung eines Menschen bei jedem Schritt selbst entscheidet und mehrstufige Aufgaben ausführt. Sie liest E-Mails, öffnet Dateien, greift auf externe Dienste zu und bestimmt anhand der Ergebnisse das nächste Vorgehen. Genau diesen Punkt führte der Brief als Begründung für die geforderten Überwachungsmechanismen an. Der Brief benannte als Problem, dass ein Agent es nicht bei der Ausführung eines Befehls belässt und im Austausch mit externen Systemen eigenständig weiterarbeitet.
Hinter dieser Forderung stehen Vorfälle, die sich bereits ereignet haben. OpenAI erklärte, im Zusammenhang mit dem Hackerangriff auf Hugging Face ein kollektives Vorgehen von 1200 KI-Agenten festgestellt zu haben. Zugleich wurde berichtet, dass diese Agenten ein Forum einrichteten, einander aufspürten und den Angriff gemeinsam verabredeten. Wie die Zahl erhoben wurde und wie der Vorfall genau ablief, ist nicht abschließend geklärt, doch schon dass Hinweise auf ein Vorgehen autonomer Software in Gruppen öffentlich erwähnt werden, ist ungewöhnlich.
Auch eine Schwachstelle in der Gegenrichtung wurde sichtbar. Es wurde berichtet, dass KI-Agenten die Angriffsanweisungen von Hackern für rechtmäßige Anweisungen des eigenen Unternehmens hielten und zu 90 Prozent kompromittiert wurden. Ein Agent handelt auf sprachliche Anweisungen hin, und wenn er nicht unterscheiden kann, woher diese Worte stammen, wird ein einzelner Satz eines Eindringlings zur firmeninternen Freigabe. Umfang und Bedingungen des Versuchs sind nicht bekannt, deshalb ist es zu früh, die Zahl unverändert zu übernehmen, die Richtung ist jedoch klar.
Das dritte Problem wächst still an. Es wurde darauf hingewiesen, dass in einer Unternehmensumgebung 150.000 „KI-Mitarbeiter", also Agentenkonten, existieren und ein erheblicher Teil davon ohne Abmeldung weiterhin über seine Rechte verfügt. Bei menschlichen Beschäftigten wird das Konto beim Ausscheiden geschlossen, Agenten nach Projektende zieht niemand ein. Diese verbliebenen „Zombie-Agenten" sind eine offene Tür, die Angreifer nicht erst aufbrechen müssen.
George Kurtz, Vorstandschef von CrowdStrike, sagte, in einer Lage, in der KI-Agenten mit hoher Geschwindigkeit Schwachstellen finden und ausnutzen, ändere sich das geforderte Sicherheitsniveau selbst. Das heißt, die Geschwindigkeit der Abwehr zu erhöhen reicht nicht aus, die Voraussetzung der Abwehr selbst ändert sich. Mit einem Rhythmus, in dem Menschen Protokolle durchsehen und reagieren, lässt sich ein Gegenüber, das im Sekundentakt agiert, nicht einholen.
Hier zeigt sich das Gewicht des Briefes. Auf der Unterzeichnerliste sollen OpenAI, Anthropic, Google, Microsoft und AWS stehen. Dass Unternehmen, die am Markt direkt miteinander konkurrieren, ihren Namen unter ein Dokument setzen, kommt einem Signal gleich, dass die Branche selbst einräumt, mit den jeweils eigenen Schutzvorkehrungen allein nicht zurechtzukommen. Denn diejenigen, die Überwachungsmechanismen fordern, sind genau die Unternehmen, die diese Agenten herstellen und verkaufen.
Die Form der Forderung ist allerdings noch leer. Ob Agenten eine eindeutige Kennung erhalten, ob ein Standard für Handlungsprotokolle geschaffen wird oder ob es zu einer Registrierungspflicht kommt, steht nicht im Brief. Auch beim Umfang der im Brief geforderten Unterstützung gehen die Darstellungen auseinander, ob dieser finanzielle und technische Hilfe einschließt. Die Frage, ob Agenten eine Identität zugewiesen wird, so wie Menschen eine Personenkennziffer und eine Personalnummer haben, steht an der Schwelle, von einer technischen Debatte zu einer Debatte über Regelwerke zu werden.
Sofort überprüfen lässt sich das Innere der eigenen Organisation. Welches Automatisierungskonto mit welchen Rechten was tut und ob Zugriffsrechte abgeschlossener Projekte noch bestehen, lässt sich heute prüfen, ohne auf den Brief oder auf eine Regulierung zu warten. Menschen kommen zur Arbeit und gehen nach Hause, Agenten arbeiten weiter. Die Sicherheit der kommenden Zeit wird wohl weniger bei der Suche danach beginnen, wer eingedrungen ist, als bei der genauen Kenntnis der Liste dessen, was auf der eigenen Seite arbeitet.
