Die Angriffsfläche von KI wächst, da Modelle Zugriff auf Tools, Anmeldedaten, Code und Produktionssysteme erhalten. Die von April bis Juli 2026 veröffentlichten Forschungsergebnisse von F5 Labs zeigen vor allem eines: Das KI-Risiko für Unternehmen hängt nicht nur davon ab, ob ein Modell manipuliert werden kann, sondern auch davon, worauf das umgebende System zugreifen kann und welche Aktionen es ausführen darf, wenn es zu Manipulationen oder Fehlern kommt.
Die Untersuchungen von F5 zeigen, dass Modelle mit vergleichbarer Leistungsfähigkeit völlig unterschiedliche Sicherheitsprofile aufweisen können, dass sich diese Profile nach der Bereitstellung verändern können, dass nützliche Funktionen neue Angriffswege eröffnen können und dass übermäßige Berechtigungen eine Schwachstelle auf Modellebene zu einem geschäftsrelevanten Sicherheitsvorfall machen können. Dieses Risiko ist längst nicht mehr nur theoretischer Natur. Bei von F5 Labs untersuchten Vorfällen manipulierten Angreifer einen KI-gestützten Prozess zur Kontowiederherstellung, um Zugangsdaten zu ändern, während ein Coding-Agent eine Produktionsdatenbank samt Sicherungskopien löschte.
Für CISOs liegt der Wert der Studie nicht in einer Zusammenfassung von Ranglisten, sondern in den praktischen Erkenntnissen, die sie für die Modellauswahl, die Beschaffung, die kontinuierliche Absicherung und die Kontrolle darüber liefert, worauf KI-Systeme zugreifen und welche Aktionen sie ausführen dürfen.
F5 Labs verwendet zwei sich ergänzende Messgrößen, um diese Risiken zu bewerten. Der F5 Comprehensive AI Security Index (F5 CASI) bewertet die Widerstandsfähigkeit gegen Prompt-Injection- und Jailbreak-Angriffe, während der F5 Agentic Resistance Score (F5 ARS) die Widerstandsfähigkeit gegen anhaltende, mehrstufige Angriffe in agentenbasierten Szenarien bewertet. Beide reichen von 0 bis 100, wobei höhere Werte auf eine stärkere Widerstandsfähigkeit hinweisen.
“Untersuchungen von F5 zeigen, dass Modelle mit vergleichbarer Leistungsfähigkeit völlig unterschiedliche Sicherheitsprofile aufweisen können, dass sich diese Profile nach der Bereitstellung verändern können, dass nützliche Funktionen neue Angriffswege eröffnen können und dass übermäßige Berechtigungen eine Schwachstelle auf Modellebene zu einem geschäftlichen Sicherheitsvorfall machen können.”
Berechtigungen machen aus Modellrisiken geschäftliche Auswirkungen
Eine Schwachstelle auf Modellebene wird zu einem geschäftlichen Vorfall, wenn das umgebende System Handlungen mit weitreichenden Folgen zulässt. Ein Modell, das eine unsichere Antwort erzeugt, stellt ein Risiko dar. Ist ein Modell mit Code, Zugangsdaten, Prozessen zur Kontowiederherstellung oder Produktionsdaten verbunden, kann daraus ein Vorfall entstehen.
In einem von F5 Labs untersuchten Fall löschte ein Coding-Agent eine Produktionsdatenbank und deren Sicherungskopien. In einem anderen Fall manipulierten Angreifer einen KI-gestützten Prozess zur Kontowiederherstellung, um die Zugangsdaten prominenter Social-Media-Konten zu ändern. Das entscheidende Versagen bestand nicht nur darin, dass die KI zu einer falschen Schlussfolgerung gelangte. Das umgebende System ermöglichte es, dass diese Schlussfolgerung eine folgenschwere Aktion auslöste.
Die JadePuffer-Ransomware-Operation untermauerte diese Erkenntnis aus Sicht des Angreifers. Ein Mensch wählte das Opfer aus, stellte Zugangsdaten bereit und richtete die Infrastruktur ein, doch der Agent automatisierte wesentliche Teile der Aufklärung, Ausnutzung, lateralen Bewegung und Verschlüsselung. Vollständige Autonomie war nicht erforderlich; bereits die teilweise Automatisierung verringerte den nötigen Zeitaufwand sowie die erforderlichen Kenntnisse und Anstrengungen.
Für CISOs besteht das unmittelbare Risiko nicht nur in der Autonomie, sondern auch in den Befugnissen. KI-Agenten sollten wie privilegierte Identitäten verwaltet werden – mit eng begrenzten Anmeldedaten, eingeschränktem Zugriff auf Tools, kontinuierlicher Überwachung und unabhängiger Genehmigung für Aktionen mit weitreichenden Auswirkungen. Als Nächstes stellt sich die Frage, wie Angreifer genau jene Verhaltensweisen ausnutzen, die diese Systeme überhaupt erst nützlich machen.
Nützliche Funktionen eröffnen Angriffswege
Untersuchungen von F5 Labs ergaben, dass Angreifer wiederholt Verhaltensweisen ausnutzten, die Unternehmen von KI-Systemen ausdrücklich erwarten. Developer Role Attack zielte darauf ab, wie Modelle privilegierte Anweisungen interpretieren. BiasJailbreak nutzte demografisches Framing, um Inkonsistenzen im Ablehnungsverhalten offenzulegen, während Topic Bridge die Kontinuität von Gesprächen nutzte, um Modelle schrittweise von legitimen Themen zu schädlichen Anfragen zu führen.
Adversarial Tales setzte dasselbe Muster fort, indem schädliche Vorgehensweisen in fiktive Erzählungen eingebettet und die Modelle aufgefordert wurden, die Geschichte zu analysieren, anstatt auf eine offenkundig böswillige Anfrage zu reagieren. Bei 26 führenden Modellen von neun Anbietern erzielte die Technik eine durchschnittliche Angriffserfolgsquote von 71,3 %.
Diese Angriffe zielten auf das Befolgen von Anweisungen, kontextbezogenes Schlussfolgern, Rollenbewusstsein und die Analyse von Inhalten ab – Fähigkeiten, die legitimen Anwendungsfällen in Unternehmen zugrunde liegen. Sie zeigen, wie nützliche Funktionen die Angriffsfläche von KI-Systemen vergrößern können. Statische Filter und Bibliotheken bekannter Jailbreaks stoßen an ihre Grenzen, wenn Angreifer ihre böswillige Absicht beibehalten und lediglich deren Darstellung verändern können.
Nützliche Verhaltensweisen können somit den Weg für Manipulationen ebnen, während Befugnisse und Zugriffsrechte das potenzielle Ausmaß der geschäftlichen Auswirkungen bestimmen. Die Wahrscheinlichkeit einer Manipulation hängt zudem von der grundlegenden Widerstandsfähigkeit des Modells ab, für die seine Leistungsfähigkeit nur ein unzureichender Indikator ist.
Leistungsfähigkeit lässt keine Rückschlüsse auf die Widerstandsfähigkeit zu
Tests von F5 Labs haben ergeben, dass Modelle mit ähnlichen Fähigkeiten an entgegengesetzten Enden der Sicherheitsrangliste stehen können, während sich Modelle derselben Familie sehr unterschiedlich verhalten können.
Das deutlichste Beispiel lieferte Qwen3.5. Das Modell mit 2 Milliarden Parametern erzielte beim F5 CASI einen Wert von 1,28, während die Version mit 4 Milliarden Parametern auf 80 kam – ein Unterschied von fast 79 Punkten zwischen zwei Modellen derselben Modellfamilie.
Die jüngsten Tests bestätigten dieses Muster. Bei Flaggschiffmodellen mit relativ ähnlichen Fähigkeiten reichten die F5-CASI-Werte von 93,08 bis 16,25. Die F5-ARS-Daten eröffneten eine weitere Perspektive: Qwen3.5-4B erzielte 91,04 bei F5 ARS, aber 58 bei F5 CASI, bei einer durchschnittlichen Leistung von 16 Prozent. Dieser Kontrast verdeutlicht, warum F5 CASI, F5 ARS und die Leistung als unterschiedliche, sich ergänzende Indikatoren betrachtet werden sollten.
Für CISOs zeigen Leistungsbenchmarks, ob ein Modell eine Aufgabe bewältigen kann, nicht aber, ob es dies auch sicher tut. Jedes Modell und jede Version muss sowohl bei der Beschaffung als auch während des gesamten Einsatzes unabhängig bewertet werden. Die Modellauswahl ist jedoch nur die erste Entscheidung; Sicherheitsteams müssen auch berücksichtigen, wie sich die Widerstandsfähigkeit im Laufe der Zeit verändert.
Die KI-Sicherheitslage kann sich nach der Bereitstellung verändern
Die Resilienz von Modellen ist nicht unveränderlich. F5 Labs beobachtete bei einem Modell innerhalb eines Monats einen Rückgang um mehr als 29 F5-CASI-Punkte, während sich ein anderes im untersuchten Zeitraum um mehr als 55 Punkte veränderte. Andere Versionen blieben vergleichsweise stabil, sodass auch die Beständigkeit selbst Teil des Risikobildes ist.
Anbieter können System-Prompts, Klassifikatoren und Sicherheitskontrollen aktualisieren, ohne den für Kunden sichtbaren Modellnamen zu ändern. Ein Modell kann daher unverändert erscheinen, obwohl sich seine Sicherheitslage wesentlich verändert hat.
Dies ist kein herkömmliches Problem, das sich durch Patches beheben lässt. Eine einmalige Freigabe reicht nicht aus, wenn sich die Sicherheitslage eines Modells ändern kann, ohne dass es einen neuen Modellnamen oder ein sichtbares Bereitstellungsereignis gibt. Sicherheitsteams sollten Modelle nach Aktualisierungen durch den Anbieter, Konfigurationsänderungen und wesentlichen Änderungen an der Anwendung erneut bewerten und kontinuierlich überprüfen, ob die umgebenden Kontrollen weiterhin wirksam sind.
Diese Volatilität macht eine kontinuierliche Absicherung unerlässlich, doch eine Bewertung allein reicht nicht aus. CISOs müssen auch kontrollieren, worauf KI-Systeme zugreifen und welche Aktionen sie ausführen dürfen.
Was CISOs jetzt tun sollten
Die wichtigste Erkenntnis aus der Studie ist, dass Berechtigungen das Ausmaß der Auswirkungen bestimmen. CISOs sollten KI-Systeme danach steuern, worauf sie zugreifen und welche Aktionen sie ausführen dürfen, und dabei die zugrunde liegenden Modelle, Kontrollen und Systeme kontinuierlich bewerten.
- Behandeln Sie KI-Agenten wie privilegierte Identitäten. Erfassen Sie sämtliche Zugangsdaten, Tools, Daten und Produktionssysteme und beschränken Sie den Zugriff darauf; verlangen Sie für Aktionen mit weitreichenden Auswirkungen eine unabhängige Genehmigung und protokollieren Sie jeden relevanten Schritt.
- Bewerten Sie kontinuierlich das gesamte KI-System. Bewerten Sie jedes Modell und jede Version unabhängig voneinander sowohl bei der Beschaffung als auch während des gesamten Einsatzes, führen Sie nach Änderungen am Anbieter oder an der Konfiguration eine erneute Bewertung durch und testen Sie Gateways, Pakete, Plug-ins, Workflows, Identitäten und Integrationen – nicht nur das Modell.
Wie F5 Labs die Resilienz von KI misst
F5 CASI und F5 ARS sind Vergleichsmaßstäbe und keine dauerhaften Sicherheitszertifizierungen. Die Ergebnisse sollten stets im Zusammenhang mit der genauen Modellversion, dem Bewertungsdatum, dem vorgesehenen Verwendungszweck und den umgebenden Kontrollmaßnahmen interpretiert werden.
In ihrer Gesamtheit zeigen die Forschungsergebnisse eine zusammenhängende Risikokette auf: Leistungsfähigkeit lässt keine Rückschlüsse auf die Widerstandsfähigkeit zu, die Widerstandsfähigkeit kann sich nach der Bereitstellung verändern, nützliche Funktionen können die KI-Angriffsfläche vergrößern und übermäßige Befugnisse können eine Schwachstelle des Modells zu einem geschäftlichen Sicherheitsvorfall werden lassen.
Für CISOs stellt sich nicht mehr nur die Frage, ob ein KI-Modell manipuliert werden kann. Entscheidend ist vielmehr, welche Handlungen das umgebende System diesem Modell ermöglicht, wenn die Manipulation erfolgreich ist.
Mehr erfahren
- Entdecken Sie die neuesten F5 CASI und F5 ARS AI Security Leaderboards, um die Widerstandsfähigkeit von Modellen zu vergleichen und nachzuverfolgen, wie sich die KI-Sicherheitslage im Laufe der Zeit verändert.
- Erfahren Sie, wie F5 AI Red Team Unternehmen dabei unterstützt, Modelle, Anwendungen und Agenten auf reale Angriffe zu testen.
- Entdecken Sie die F5 AI Security Platform für kontinuierliche Transparenz, Governance und Schutz in allen KI-Anwendungen, -Modellen und -Agenten Ihres Unternehmens.
Über die Autoren
Malcolm Heath ist Principal Threat Researcher bei F5 Labs. Im Laufe seiner Karriere war er sowohl bei sehr großen als auch bei sehr kleinen Unternehmen in den Bereichen Incident Response, Programmmanagement, Penetrationstests, Code-Audits, Schwachstellenforschung und Exploit-Entwicklung tätig. Bevor er zu F5 Labs kam, war er Senior Security Engineer beim F5 SIRT.
Weitere Blogbeiträge von Malcolm HeathLouise Scully ist Senior Managerin im Produktmarketing für KI-Sicherheit und Threat Intelligence bei F5. Im Laufe ihrer Karriere war sie in den Bereichen Produktmarketing, Produktmanagement, Markteinführungsstrategie, Kommunikation, Thought Leadership und Kategorieentwicklung für KI-Sicherheit und Unternehmenstechnologie tätig. Bevor sie zu F5 kam, leitete Louise das Marketing bei CalypsoAI und Artomatix und trug dazu bei, KI-Technologien und Forschungsergebnisse auf den Markt zu bringen.
Weitere Blogbeiträge von Louise ScullyÄhnliche Blogbeiträge
Vier Gründe, warum Sie den F5 Post-Mythos Security Summit nicht verpassen sollten
Holen Sie sich Expertenrat, um Ihre Apps, APIs und Modelle in der Post-Mythos-Welt zu schützen.
Von einer App zu einer Flotte von KI-Agenten: Ein 90-Tage-Framework für KI-Sicherheit
Vermeiden Sie den kostspieligen Ansatz „Erst bereitstellen, später absichern“ – mit einem umfassenden Framework zum Schutz von KI-Modellen, Anwendungen und autonomen Agenten.
Fünf Stufen antifragiler Cyberresilienz verwandeln Praxis in Ergebnisse
Erfahren Sie, wie fünf Stufen antifragiler Resilienz Störungen in adaptive Verhaltensweisen überführen, die Ausfälle begrenzen und hybride Multicloud-Architekturen stärken.
Warum Ihre KI-Richtlinien, Governance und Leitplanken nicht warten können
KI-Richtlinien und -Governance dürfen nicht länger als reine Formalitäten oder Zukunftsthemen betrachtet werden. Sie müssen durch praktische, durchsetzbare Leitplanken ergänzt werden.
Wenn „privat“ nicht privat ist: Wie ChatGPT-Unterhaltungen öffentlich wurden
KI verändert die Arbeitsabläufe in Unternehmen, doch eine übersehene Einstellung hat bereits Tausende vertraulicher Unterhaltungen öffentlich zugänglich gemacht
KI-Nutzung verstehen: Warum Unternehmen Transparenz brauchen
Anstatt einen zu laxen oder zu strengen Ansatz zu verfolgen, können Unternehmen durch mehr Transparenz bei der KI-Nutzung fundierte und durchsetzbare Entscheidungen treffen.