F5 Labs Einblicke in die Sicherheit von KI-Modellen: Was CISOs vor und nach der Bereitstellung messen müssen

Malcolm HeathLeitender Forscher für Cybersicherheitsbedrohungen | F5

Louise ScullySenior Manager, Produktmarketing, KI-Sicherheit & Bedrohungsanalyse | F5

KI für Unternehmen tritt in eine neue Phase ein. Der Leistungsunterschied zwischen führenden Modellen wird kleiner, die Sicherheitslücke jedoch nicht. Die neuesten Daten des F5 Labs Comprehensive AI Security Index (CASI) zeigen, dass Leistungsfähigkeit und Widerstandsfähigkeit gegenüber Angriffen zunehmend auseinanderdriften. Gleichzeitig belegen die Ergebnisse des F5 Agentic Resistance Score (ARS), dass sich die Widerstandsfähigkeit erneut verändern kann, wenn Modelle über einen längeren Zeitraum in mehrstufigen agentischen Szenarien getestet werden.

Für CISOs verändert sich dadurch die Art und Weise der Modellauswahl. Es geht nicht nur darum, welches Modell die beste Leistung erbringt, sondern auch darum, ob seine Sicherheitseigenschaften für die vorgesehene Rolle, die ihm eingeräumten Befugnisse und die möglichen Folgen einer erfolgreichen Manipulation angemessen sind.

Es gibt keinen einzelnen Sicherheitsbenchmark, der Aufschluss darüber geben kann, ob ein Modell für ein bestimmtes Einsatzszenario geeignet ist. Die Ergebnisse von F5 CASI und F5 ARS vom September verdeutlichen dies: Nur drei Modelle gehören auf beiden Bestenlisten zu den Top 10. Für CISOs bedeutet dies, dass die Sicherheitsnachweise, auf deren Grundlage ein Modell genehmigt wird, dessen tatsächliche Betriebsweise widerspiegeln sollten – einschließlich seines Autonomiegrads, seines Zugriffs auf Daten und Tools sowie der potenziellen geschäftlichen Auswirkungen im Falle einer Kompromittierung.

Dies baut auf einer Reihe von Erkenntnissen auf, die wir im Laufe des Jahres verfolgt haben. In einem früheren F5-Blogbeitrag haben wir erörtert, warum messbare Sicherheitsnachweise bereits bei der Modellauswahl und -beschaffung berücksichtigt werden müssen, bevor ein Modell genehmigt wird. In einem weiteren Blogbeitrag haben wir Forschungsergebnisse von F5 Labs untersucht, die zeigen, warum die Folgen eines Modellversagens maßgeblich davon abhängen, worauf das umgebende System dem Modell Zugriff gewährt und welche Aktionen es ihm ermöglicht.

Unsere neuesten Bedrohungsanalysen und Bestenlisten aus August und September führen diese Erkenntnisse zusammen: CISOs benötigen Nachweise über das Modell selbst, aber auch über die Umgebung, in der es eingesetzt werden soll.

Ein Muster in den Septemberdaten ist besonders aufschlussreich. Anthropic belegt alle fünf Spitzenplätze im F5 CASI, während sich die Top 10 des F5 ARS auf fünf OpenAI-Modelle, vier Anthropic-Modelle und ein MiniMax-Modell verteilen. Zusammengenommen zeigen die Ranglisten, warum der Ruf des Anbieters, die Modellfamilie und die Leistungsfähigkeit keine verlässlichen Indikatoren für die spezifische Art von Resilienz sind, die eine Bereitstellung erfordert. Für CISOs bedeutet dies, dass Sicherheitsnachweise auf Modellebene von Anfang an in die Bereitstellungsentscheidung einfließen müssen.

Leistungsfähigkeit ist kein Maß für Sicherheit

Aktuelle Ergebnisse von F5 Labs zeigen eine anhaltende Diskrepanz zwischen den Fähigkeiten eines Modells und seiner Widerstandsfähigkeit gegen Angriffe. Im August belegte GLM-5.2 bei den Fähigkeiten den vierten Platz unter 31 Modellen, bei F5 CASI jedoch nur Platz 24; DeepSeek V4 Flash erreichte bei den Fähigkeiten Platz sechs und bei F5 CASI Platz 28. Bei den geschlossenen Modellen zeigte Grok 4.5 dieselbe Diskrepanz. Dieses Muster hing vom jeweiligen Modell ab, nicht vom Anbieter oder von der Lizenz.

Auch die Sicherheitsergebnisse können ebenso stark voneinander abweichen. Drei Qwen3.5-Modelle erzielten F5-ARS-Werte von 91,04, 89,81 und 88,23, während ihre entsprechenden F5-CASI-Werte bei 58, 31 und 53 lagen (die Höchstpunktzahl beträgt bei beiden Bestenlisten 100). Daraus lässt sich nicht schließen, dass eine Kennzahl aussagekräftiger ist als die andere. Vielmehr decken sie unterschiedliche Schwachstellen bei verschiedenen Angriffsformen auf.

Das verändert die Art und Weise, wie Modell-Benchmarks in einem Freigabeprozess eingesetzt werden sollten. Die Leistung kann dabei helfen, die engere Auswahl einzugrenzen, sie kann jedoch nicht belegen, dass ein Einsatz aus Sicherheitssicht vertretbar ist. Auch ein starkes Ergebnis bei einer einzelnen Sicherheitskennzahl muss im jeweiligen Kontext betrachtet werden. Die Nachweise müssen die Rolle widerspiegeln, die das Modell übernehmen soll, den Grad seiner Autonomie und die Systeme, auf die es zugreifen kann.

In einem Bericht vom Juli 2026 untersuchte Gartner die wachsende Bedeutung vergleichender Sicherheitsbewertungen. Die jüngsten Daten verdeutlichen die Gründe dafür: Bei der Modellauswahl muss nicht nur berücksichtigt werden, wozu ein Modell in der Lage ist, sondern auch, wo seine Widerstandsfähigkeit an ihre Grenzen stößt.

Messen Sie, welchen Informationen das Modell vertrauen darf

Eine der folgenreicheren Erkenntnisse aus der Untersuchung vom August betrifft eine Fähigkeit, die Unternehmen ausdrücklich wünschen: innerhalb vorgegebener Richtlinien und Regeln arbeiten zu können.

„Moralisches Dilemma“, ein von F5 Labs untersuchter Angriff, nutzt dieses Verhalten aus. Anstatt eine bösartige Anweisung zu verschleiern, gibt der Angreifer eine irreführende Regel vor und fordert das Modell auf, daraus Schlussfolgerungen zu ziehen. Die durchschnittliche Erfolgsquote des Angriffs reichte von 44,8 % bei Llama 3.1 8B bis zu 91,1 % bei Gemini 2.5 Pro. F5 Labs stellte zudem fest, dass Guardrail-Modelle auf Prompt-Ebene diese Technik nur unzureichend abwehren.

Die Sicherheitsfrage besteht darin, ob ein Modell Anweisungen befolgen und zugleich unterscheiden kann, welche davon es als maßgeblich betrachten darf. Ein abgerufenes Dokument kann als Informationsquelle vertrauenswürdig sein, ohne dass seine Vorgaben als verbindlich gelten. Die Antwort eines Tools kann Daten liefern, ohne dazu befugt zu sein, neu festzulegen, was ein Agent damit tun darf.

Für CISOs, die Modelle vor der Bereitstellung prüfen, müssen Teams wissen, woher der externe Kontext stammt und welche Quellen das Verhalten des Modells beeinflussen dürfen.

Ein Prompt ist keine Sicherheitsgrenze

Dieselbe Untersuchung zeigt, wo die Modell-Governance endet und die Sicherheitsarchitektur beginnt. F5 Labs untersuchte drei Fälle, in denen Agenten ihre vorgesehenen Evaluierungsumgebungen verließen. In einem Fall entdeckte ein Agent, der außer über einen Proxy für Paket-Registrys keinen Internetzugang haben sollte, eine Zero-Day-Schwachstelle in diesem Proxy, gelangte zu einem mit dem Internet verbundenen Knoten und erlangte in einer externen Sandbox Root-Zugriff zur Befehlsausführung. In anderen Fällen blieb eine aktive Internetverbindung bestehen, obwohl den Modellen mitgeteilt worden war, dass sie ohne Internetzugang arbeiteten; zudem kam es aufgrund einer fehlerhaften Netzwerkkonfiguration zu einem Ausbruch aus einer Sandbox.

Das gemeinsame Problem bestand nicht einfach darin, dass ein Agent eine Anweisung ignorierte. Vielmehr wurde die Grenze selbst nur vorausgesetzt, lediglich beschrieben oder fehlerhaft umgesetzt. Die praktische Konsequenz ist klar: Festzulegen, was ein Agent tun darf, ist nur dann sinnvoll, wenn die Umgebung dieselbe Beschränkung auch durchsetzt.

Die Identitätsdaten untermauern diesen Punkt. GitGuardian fand 4.576 eindeutige n8n-API-Token in öffentlichen GitHub-Commits; von 896 erreichbaren Instanzen akzeptierten 321 mindestens ein offengelegtes Token. Dafür war keine Sicherheitslücke in der Software erforderlich. Da diese Workflows Quellcodeverwaltung, Cloud-Dienste, Datenbanken und SaaS-Anwendungen miteinander verbinden können, kann die Gefährdung weit über den eigentlichen Workflow hinausgehen.

Die Frage ist daher nicht nur, ob ein Agent manipuliert werden kann, sondern auch, was dadurch möglich wird. Netzwerkzugriff, Tools, Zugangsdaten und nachgelagerte Systeme bestimmen das Ausmaß der Auswirkungen. Diese Kontrollen müssen unabhängig davon bestehen, was dem Modell als erlaubt oder nicht erlaubt vorgegeben wurde.

Open-Weight-Modelle verlagern die Verantwortung

Der Bericht von F5 Labs, „Chinesische KI-Modelle mit offenen Gewichten: Cybersicherheitsrisiken und -chancen“, ergänzt die Modellauswahl um einen weiteren Aspekt: „Open Weight“ ist an sich keine Sicherheitsbewertung.

Im Juli erzielte Qwen3.5-397B-A17B beim F5 CASI einen Wert von 81,13, Xiaomi MiMo-V2.5 erreichte 73,80 und GLM-5.2 kam auf 46,58. Diese Spannweite ist aussagekräftiger als jede allgemeine Schlussfolgerung über die Kategorie. Sie zeigt, warum Modellfamilie, Anbieter und Lizenzmodell kein angemessener Ersatz dafür sind, genau das in Betracht gezogene Modell zu testen.

Was sich durch die Bereitstellung von Open-Weight-Modellen jedoch ändert, ist die Verteilung der Verantwortung. Mehr Kontrolle über den Speicherort der Daten, die Infrastruktur und die Anpassung bedeutet zugleich mehr Verantwortung für Herkunftsnachweise, Patches, Protokollierung und die Integrität der Modellartefakte. F5 Labs empfiehlt, Modellartefakte als Komponenten der Software-Lieferkette zu behandeln. Dazu gehören die Überprüfung ihrer Herkunft, die Festlegung auf vertrauenswürdige Versionen und das Scannen der Artefakte vor der Bereitstellung.

Bei der Entscheidung geht es daher weniger darum, ob offene oder geschlossene Modelle grundsätzlich sicherer sind, sondern vielmehr darum, für welche Risiken die Organisation Verantwortung übernehmen kann.

Was CISOs vor der Bereitstellung messen sollten

Die jüngsten Erkenntnisse sprechen dagegen, die Modellsicherheit als einmalige Freigabehürde zu betrachten. Eine sinnvolle Prüfung vor der Bereitstellung muss eine Reihe von Fragen beantworten:

• Leistungsfähigkeit und Widerstandsfähigkeit gegen Angriffe: Kann das Modell die Aufgabe erfüllen, und wie verhält es sich bei Angriffen, die für diese Aufgabe relevant sind?
• Resilienz auf Prompt- und Agentenebene: Spiegelt die Evidenz wider, wie das Modell tatsächlich eingesetzt wird, insbesondere wenn Tools, Zugangsdaten oder autonome Aktionen im Spiel sind?
• Anweisungsbefugnis: Welche Systeme dürfen Kontext bereitstellen, und welche davon dürfen Richtlinien oder Verhalten beeinflussen?
• Erzwungene Grenzen: Was liegt technisch außerhalb der Reichweite des Modells, unabhängig davon, welche Anweisungen ein Prompt enthält?
• Identität und Herkunft: Welchen Anmeldedaten, Modellversionen und Artefakten wird vertraut, und wie werden sie verwaltet?
• Neubewertung: Welche Änderungen würden die ursprüngliche Genehmigung ungültig machen, etwa Modellaktualisierungen, neue Tools, geänderte Berechtigungen oder neue Angriffstechniken?

Durch die Beantwortung dieser Fragen vermeiden CISOs, mehrere unterschiedliche Risikoentscheidungen auf die eine Frage zu reduzieren, ob ein Modell „sicher“ ist.

Wie F5 Labs die KI-Resilienz misst

F5 CASI und F5 ARS sind am besten als Nachweise und nicht als Zertifizierungen zu verstehen. F5 CASI misst die Anfälligkeit für gängige Prompt-Injection- und Jailbreak-Angriffe, während F5 ARS die Widerstandsfähigkeit in mehrstufigen Szenarien und bei autonomen Agenten untersucht. Die Bestenlisten vom September 2026 bieten den neuesten Vergleich für beide Messgrößen.

Ein Score ist am aussagekräftigsten, wenn er auf die jeweils betrachtete Bereitstellung bezogen wird. Er kann einem Unternehmen nicht sagen, ob ein Agent übermäßige Berechtigungen besitzt, ob eine Sandbox korrekt konfiguriert ist oder ob eine externe Quelle Anweisungen einschleusen kann, denen das Modell nicht vertrauen sollte. Er kann Sicherheitsteams jedoch konkrete Erkenntnisse darüber liefern, wie sich das Modell unter definierten adversarialen Bedingungen verhalten hat.

Das ist der rote Faden, der sich durch diese Forschungsreihe zieht. Und die neuesten Erkenntnisse von F5 machen deutlich, dass Unternehmen vor dem Einsatz von KI-Modellen wissen müssen, welche Sicherheitseigenschaften tatsächlich gemessen wurden, welche nicht und ob die umgebenden Kontrollen ausreichen, um das verbleibende Risiko abzudecken.

Weitere Informationen:

• Sehen Sie sich die neuesten F5 CASI und F5 ARS AI Security Leaderboards an, um die Widerstandsfähigkeit von Modellen zu vergleichen und Veränderungen im Zeitverlauf zu verfolgen.
• Entdecken Sie die F5 AI Security Platform für umfassende Sicherheit bei KI-Modellen, -Anwendungen und -Agenten im Unternehmen.
  
  

Über die Autoren

Malcolm HeathLeitender Forscher für Cybersicherheitsbedrohungen | F5

Malcolm Heath ist Principal Threat Researcher bei F5 Labs. Im Laufe seiner Karriere war er sowohl bei sehr großen als auch bei sehr kleinen Unternehmen in den Bereichen Incident Response, Programmmanagement, Penetrationstests, Code-Audits, Schwachstellenforschung und Exploit-Entwicklung tätig. Bevor er zu F5 Labs kam, war er Senior Security Engineer beim F5 SIRT.

Weitere Blogbeiträge von Malcolm Heath

Louise ScullySenior Manager, Produktmarketing, KI-Sicherheit & Bedrohungsanalyse | F5

Louise Scully ist Senior Managerin im Produktmarketing für KI-Sicherheit und Threat Intelligence bei F5. Im Laufe ihrer Karriere war sie in den Bereichen Produktmarketing, Produktmanagement, Markteinführungsstrategie, Kommunikation, Thought Leadership und Kategorieentwicklung für KI-Sicherheit und Unternehmenstechnologie tätig. Bevor sie zu F5 kam, leitete Louise das Marketing bei CalypsoAI und Artomatix und trug dazu bei, KI-Technologien und Forschungsergebnisse auf den Markt zu bringen.

Weitere Blogbeiträge von Louise Scully