KI-Agenten erhalten in Unternehmen Zugriff auf E-Mails, Dateien, Datenbanken und Werkzeuge. Microsoft schlägt deshalb einen bemerkenswert nüchternen Umgang vor: Man sollte ihnen nicht einfach vertrauen, sondern sie wie mögliche Insider überwachen und begrenzen.
Quellen:
https://blogs.microsoft.com/blog/2026/10/19/securing-the-agentic-insider/
🔎 Was ist passiert?
Microsoft erweitert sein Sicherheitssystem Project Perception um sogenannte Guardian Agents. Diese Wächter sollen andere KI-Agenten fortlaufend beobachten, ihr Risiko bewerten und ihre Berechtigungen anpassen. Ein Agent könnte beispielsweise Dokumente lesen dürfen, während Schreibzugriffe blockiert oder bei riskanten Schritten von einer menschlichen Freigabe abhängig gemacht werden.
Microsoft bezeichnet eingesetzte Agenten als „agentic insiders“. Gemeint ist nicht, dass sie böswillige Angestellte wären. Das Risiko entsteht vielmehr daraus, dass nicht vollständig vorhersehbare Modelle mit internen Daten, Werkzeugen und weitreichenden Rechten arbeiten. Schon eine Prompt Injection, ein missverstandener Auftrag oder eine unerwartete Kombination mehrerer Schritte kann dann Folgen haben.
Zum Paket gehören außerdem eine gemeinsame Agentenregistrierung mit Microsoft Agent 365 und Funktionen in Defender, die laut TechCrunch bis zu 60 Arten von Agenten erkennen sollen – darunter Claude Code, Codex und OpenClaw.
⚖️ Der Realitätscheck
Microsoft liefert hier keine unabhängige Studie, die ein neues Ausmaß realer Schäden beziffert. Das Unternehmen stellt eine Sicherheitsarchitektur und zugleich eigene Produkte vor. Es profitiert wirtschaftlich davon, wenn Firmen neben KI-Agenten auch Microsofts Überwachung, Identitätsverwaltung und Sicherheitsdienste kaufen.
Der Vergleich mit einem Insider ist trotzdem nützlich, solange man ihn nicht vermenschlicht. Ein KI-Agent hat keine Loyalität, keine Absicht und keinen Verrat im menschlichen Sinn. Er kann aber technisch dieselben sensiblen Zugänge besitzen wie ein Beschäftigter und Aktionen in hoher Geschwindigkeit ausführen.
Auch Guardian Agents lösen das Grundproblem nicht automatisch. Wenn ein Modell ein anderes Modell überwacht, können beide Fehler machen. Entscheidend bleiben deterministische Grenzen außerhalb des Modells: minimale Rechte, getrennte Konten, Protokolle, isolierte Laufzeitumgebungen und menschliche Freigaben bei folgenreichen Aktionen.
💡 Warum ist das interessant?
Die Debatte verschiebt sich damit von der Frage „Ist dieses Modell vertrauenswürdig?“ zu einer praktischeren Frage: Wie bauen wir ein System, das auch dann sicher bleibt, wenn das Modell einen Fehler macht oder manipuliert wird?
Dieses Prinzip ist aus der klassischen IT-Sicherheit vertraut. Auch einem gut ausgebildeten Menschen gibt man nicht automatisch Zugriff auf jedes System. Für Agenten gilt dasselbe – nur dass sie schneller handeln, rund um die Uhr arbeiten und Fehler in vielen Schritten vervielfachen können. Microsofts Eigeninteresse sollte man offen benennen; die Idee, Intelligenz und Entscheidungsbefugnis voneinander zu trennen, bleibt dennoch überzeugend.
Schreibe einen Kommentar