Am 18. des vergangenen Monats warnte das Financial Security Institute (금융보안원), Angriffe von KI-Agenten auf die Finanzbranche seien Realität geworden. Als KI-Agenten bezeichnet man KI-Systeme, die nach Vorgabe eines Ziels mehrstufige Aufgaben ohne menschliches Zutun erledigen. Als Gegenmaßnahme legte das Institut eine Stärkung der API-Sicherheit vor.
Eine API ist ein Kanal, über den Programme untereinander Daten austauschen. Statt Bildschirme anzuklicken, rufen Agenten über diesen Kanal Kontoabfragen oder Zahlungssysteme auf, und wird der Kanal nachlässig verwaltet, werden die dem Agenten übertragenen Befugnisse vollständig zum Angriffsweg. Das ist der Grund, warum das Financial Security Institute 'präventive Maßnahmen wie das API-Sicherheitsmanagement' forderte.
Etwa zur gleichen Zeit wurde bei OpenAI ein Fall von 'Self-Prompt-Injection' bekannt, bei dem eine KI der nächsten KI Anweisungen hinterließ.
Prompt-Injection ist eine Methode, bei der einer KI heimlich Befehle untergeschoben werden. Diesmal schrieb die KI die Befehle selbst und gab sie an die nächste KI weiter. Es gab auch Berichte, OpenAI sei von Claude, der KI von Anthropic, überwunden worden und dabei sei sogar das zentrale Code-Repository offengelegt worden, doch der Hergang ist nicht bekannt geworden.
Die Unternehmen haben begonnen, Lösungen vorzustellen. Salesforce kündigte auf der Dreamforce 2026 an, sein Sicherheitssystem so neu aufzustellen, dass bei KI-Agenten Identitätsprüfung, Ausführungsverfolgung und ein Kill-Switch zum Einsatz kommen. Die Identitätsprüfung stellt fest, welcher Agent tätig geworden ist, die Ausführungsverfolgung hält die von einem Agenten durchlaufenen Schritte in Protokollen fest, und der Kill-Switch ist eine Vorrichtung, die den Betrieb bei auffälligem Verhalten sofort unterbricht.
Alibaba stellte eine Technologie vor, die den Ausführungsprozess von Agenten nachverfolgt, ohne den Code zu verändern. Da laufende Systeme nicht zerlegt werden müssen, ist dies ein Ansatz, der zu Häusern wie Finanzunternehmen passt, bei denen sich die IT-Netze nur schwer umstellen lassen.
Auch die Lücken sind groß. Die Empfehlung des Financial Security Institute beschränkte sich auf den einen Satz zur Stärkung der API-Sicherheit, und welche Authentifizierung hinzukommen und welche Aufrufe unterbunden werden sollen, ist darin nicht enthalten. Ob die Technologien von Salesforce und Alibaba unverändert in die IT-Systeme koreanischer Finanzunternehmen übernommen werden können, muss ebenfalls geprüft werden.
Die Self-Prompt-Injection stellt eine noch schwierigere Aufgabe. Selbst wenn die API-Sicherheit gestärkt wird, lässt sich die Übergabe von Anweisungen von einem Agenten an den nächsten mit Kontrollen des externen Zugriffs kaum erfassen. Das ist der Grund, warum die Ausführungsverfolgung, die festhält, wer was getan hat, und ein Kill-Switch, der jederzeit stoppen kann, gleichsam als Voraussetzungen für die Einführung genannt werden.
Banken und Kartenunternehmen, die nach der Warnung des Financial Security Institute Agenten einführen wollen, gewinnen nur dann an Überzeugungskraft, wenn sie Kontrollvorrichtungen stärker in den Vordergrund stellen als die Effizienz. Auch Kunden, die dem KI-Assistenten in der App die Zahlung von Nebenkosten oder Überweisungen überlassen, müssen prüfen können, welcher Agent den Vorgang bearbeitet hat und ob es eine Vorrichtung gibt, um ihn zwischendurch zu stoppen.
