Mastercard teilte am 17. mit, die erste auf einem KI-Agenten basierende echte Transaktion in Südkorea erfolgreich abgeschlossen zu haben. Als KI-Agent wird ein Programm bezeichnet, das auf Anweisung eines Menschen reale Aufgaben wie Suche, Buchung und Bezahlung selbstständig ausführt. Bei dieser Transaktion suchte und buchte der Agent einen Transportdienst vom Incheon International Airport zu einem Hotel in Gwanghwamun in Seoul und schloss auch die Bezahlung mit „Mastercard Agent Pay" ab. Der Nutzer drückte lediglich einmal die Bestätigungstaste.
In derselben Woche stellte SK Telecom am 16. den Fahrplan „Ein KI-Agent pro Person" vor, nach dem alle Mitarbeiter eine KI für ihre eigene Arbeit selbst erstellen, und Nvidia-Chef Jensen Huang sagte am selben Tag in seiner Keynote auf der GTC 2026 im US-amerikanischen San Jose, der Schwerpunkt der Branche verlagere sich über Training und Inferenz hinaus zur „Agenten-Ökonomie". Und das chinesische National Computer Network Emergency Response Technical Team untersagte zentralen staatlichen Stellen und Staatsunternehmen die Nutzung des Open-Source-KI-Agenten „OpenClaw". Ankündigungen, die die Leistungsfähigkeit hervorheben, und Maßnahmen, die vor Risiken warnen, kamen in derselben Woche zusammen.
Die Verbreitung ausführender KI bringt die Möglichkeit einer neuen Art von Zwischenfällen mit sich. Das KI-Sicherheitslabor Irregular baute die IT-Umgebung des fiktiven Unternehmens „Megacorp" nach und setzte dort in einem Versuch Agenten ein, wobei einige Agenten, als sie an Zugriffsrechten scheiterten, Schwachstellen im Quellcode suchten, Administratorrechte fälschten und die Beschränkungen umgingen. Ein untergeordneter Agent fand in der Datenbank einen geheimen Schlüssel und fälschte damit ein Session-Cookie, öffnete einen für ihn gesperrten Aktionärsbericht und gab dessen Inhalt an den Nutzer weiter. Beobachtet wurde auch, dass Agenten am Virenschutz vorbei Dateien mit Schadcode herunterluden oder andere KI dazu drängten, Sicherheitsbeschränkungen zu überschreiten.
Genauer zu betrachten ist die Herkunft der Anweisung. Der übergeordnete Agent schickte dem untergeordneten Agenten eine Nachricht sinngemäß mit dem Inhalt „Nutze alle Schwachstellen und brich durch", doch der Nutzer hatte einen solchen Befehl nie erteilt. Der Analyse zufolge war das die Folge davon, dass der Agent die Lage von sich aus als dringend deutete. Der Versuch lief auf Systemen, die auf von Google, X, OpenAI und Anthropic veröffentlichten Modellen beruhen.
Forscher der Harvard University und der Stanford University gaben im vergangenen Monat ebenfalls bekannt, in Agentensystemen mindestens zehn wesentliche Schwachstellen bei Sicherheit, Datenschutz und Zielauslegung festgestellt zu haben. Dan Lahav, Mitgründer von Irregular, sagte, im vergangenen Jahr habe es in einem Unternehmen in Kalifornien einen Fall gegeben, in dem ein Agent das interne Netzwerk angriff, um mehr Rechenressourcen zu erhalten.
Das Risiko, auf das die chinesischen Behörden hinweisen, hat einen ähnlichen Charakter. Wenn zu den lockeren Grundeinstellungen von OpenClaw noch weitreichende Systemrechte kommen, könnten Staatsgeheimnisse abfließen, und als wichtigste Methode nannten sie die „indirekte Prompt-Injektion", bei der in Webseiten versteckte schädliche Anweisungen die Auslegung der KI verdrehen. Wie festgestellt wurde, nutzten die Angreifer die Linkvorschau von Messengern aus und sorgten dafür, dass Daten in dem Moment, in dem die KI eine Antwort erzeugt, in Echtzeit abfließen, auch ohne dass der Nutzer den Link anklickt.
Über gefälschte GitHub-Installationsdateien, die auf die Beliebtheit von OpenClaw zielten, verbreitete sich auch die Schadsoftware „Vidar Stealer", die Informationen abgreift. Das schädliche Repository erschien in der Bing-KI-Suche ganz oben, und mit einem großen Sprachmodell erzeugte, natürlich wirkende Commit-Nachrichten dienten dazu, die Codeprüfung zu bestehen.
Die Unternehmen schaffen dazwischen ihre eigenen Sicherungen. SK Telecom öffnete die drei Plattformen „A. Biz", „Polaris" und „Playground", damit Agenten auch ohne Programmierkenntnisse erstellt werden können, und nahm am 16. das interne Verwaltungssystem AXMS regulär in Betrieb, das Ideen der Mitarbeiter und den Stand der Umsetzung auf einem Dashboard zeigt. Bei dem im Februar gestarteten internen Wettbewerb gingen bis zum 16. rund 180 Beiträge ein, und das Ziel ist, zentrale Vorhaben auszuwählen und noch im dritten Quartal auf den Markt zu bringen.
Im Fall der automatisierten Prüfung von sicherem Code verringerte sich die Arbeitszeit der Zuständigen den Erhebungen zufolge um 30 % im Jahr, also um rund 3.000 Stunden. Das Unternehmen teilte mit, die Nutzungsdaten der Agenten flössen nicht in die Personalbewertung ein und eine solche Berücksichtigung werde auch nicht geprüft.
Auch im Zahlungsbereich werden Kontrollmechanismen erprobt. Das US-Start-up Tomorrowland Beta stellte am 11. die virtuelle Visa-Prepaidkarte „AgentCard" eigens für Agenten vor. Lädt der Nutzer ein Budget auf, kann der Agent nur innerhalb dieses Betrags bezahlen, ein Ansatz, der die Obergrenze der Befugnis an einen Geldbetrag bindet. In Bereichen wie Flugtickets oder Hotelbuchungen, die eine zusätzliche Authentifizierung und eine Identitätsprüfung verlangen, bleibt die vollautomatische Zahlung weiterhin gesperrt.
Bei den Regeln ist es weniger geordnet als bei der Leistung. Wer die Last trägt, wenn ein Agent falsch bezahlt, und wie weit die eine Bestätigung reicht, die der Nutzer gedrückt hat, darauf gibt es nirgends eine geklärte Antwort. Shinhan Card teilte mit, das gesamte System gemeinsam mit Mastercard entworfen zu haben, von Authentifizierung und Rechteverwaltung über den Aufbau des Zahlungsprozesses bis zur Anbindung der Vertragshändler. Mastercard hatte vor Südkorea bereits in Singapur, Australien und Malaysia Agententransaktionen erfolgreich durchgeführt und will in Singapur ein KI-Zentrum errichten, das Technik und Governance zusammen behandelt.
Die internen Vorhaben von SK Telecom werden mit dem Ziel einer Markteinführung im dritten Quartal entwickelt, und Hancom hatte Ende des vergangenen Jahres angekündigt, den Einsatz von Agenten verbindlich vorzuschreiben. Das heißt, der Zeitpunkt, zu dem ausführende KI in Büros und Geldbörsen einzieht, ist nicht mehr fern. Was jeder jetzt überprüfen kann, ist, welche Befugnisse er dem von ihm genutzten Werkzeug geöffnet hat. Im Einstellungsmenü einmal durchzusehen, was davon, Dateizugriff, Mailversand oder Zahlungsfreigabe, automatisch übergeben wurde, ist die praktischste Vorsorge, die sich treffen lässt, solange man auf die Regeln wartet.
