Chancen und Risiken von Multi-Agenten-Systemen

Stellen Sie sich vor, Sie geben jemandem Ihre Autoschlüssel und bitten die Person, Lebensmittel einzukaufen. Wenn das Geschäft in der Nähe ist und Ihre Einkaufsliste überschaubar, kann kaum etwas schiefgehen. Doch je anspruchsvoller die Aufgabe wird – etwa durch bestimmte Marken, Ernährungseinschränkungen und ein knappes Budget –, desto größer wird die Komplexität. Geht diese scheinbar alltägliche Aufgabe schief, können die Folgen von nicht genehmigten Einkäufen bis hin zu einem Totalschaden am Fahrzeug reichen.

Viele Unternehmen stehen derzeit bei der Implementierung von KI-Agenten vor einer ähnlichen Situation. Es ist schwierig und kostspielig, Agenten zu entwickeln, die alle Aufgaben innerhalb eines Workflows auf außergewöhnlich hohem Niveau ausführen können. Zudem fehlten bis vor Kurzem einheitliche Standards für die Kommunikation zwischen Agenten und Tools – ein KI-Äquivalent zu HTTP für die Verbindung im Web.

Hier kommen Multi-Agenten-Systeme (MAS) ins Spiel – ein neues KI-Paradigma, bei dem die Verantwortlichkeiten auf viele hoch spezialisierte Agenten verteilt werden, die gemeinsam präzisere und relevantere Ergebnisse liefern. MAS erreichen dies, indem der Aufgabenbereich, die Zugriffsrechte und das Training der Fachkompetenz jedes Agenten bewusst begrenzt werden. Gleichzeitig steigert die modulare Ausführung von Aufgaben die Skalierbarkeit. Das Potenzial von MAS ist überzeugend. Doch wenn Unternehmen agentenbasierter KI die „Schlüssel zum Königreich“ überlassen, geht dieses Potenzial mit einer Flut von Sicherheitsherausforderungen einher. Hinter den Chancen lauern Gefahren: eine Ausweitung der Angriffsflächen und die Notwendigkeit, Sicherheit, Vertrauen und Verantwortlichkeit in agentenbasierten KI-Systemen neu zu denken.

Was sind Multi-Agenten-Systeme?

Grundsätzlich ist MAS ein Framework für den Aufbau verteilter agentenbasierter KI-Systeme. Anstatt auf monolithische KI-Agenten zu setzen, die viele Aufgaben nur suboptimal erledigen können, verteilt MAS die Aufgaben auf Agenten, die auf einen oder wenige Bereiche spezialisiert sind und häufig Hierarchien oder Cluster von Unteragenten bilden. Diese Agenten agieren autonom, arbeiten jedoch zusammen, um individuelle und gemeinsame Ziele zu erreichen. Innerhalb von MAS sind einige zentrale Kategorien von Agenten zu berücksichtigen:

• Superagenten – Workflow-Orchestratoren innerhalb eines MAS. Ihr Zentralisierungsgrad variiert je nach Anwendungsfall, wobei in einigen einfachen MAS-Workflows alle Agenten gleichermaßen autonom agieren.
• Triage-Agenten – Ressourcenzuweiser, die dafür sorgen, dass jeder Agent Zugriff auf die Tools und Ressourcen hat, die er zur effektiven Ausführung von Aufgaben benötigt.
• Guardian-Agenten – Prüfinstanzen, die als zusätzliche Kontrollebenen fungieren, Ergebnisse auf ihre Richtigkeit prüfen und sicherstellen, dass die Absicht des Nutzers eingehalten wird.

Warum ist MAS plötzlich realisierbar?

Das Konzept eines verteilten Systems oder eines Expertengremiums ist nicht neu. Bis vor Kurzem fehlten jedoch einheitliche Standards für die Kommunikation zwischen KI-Agenten, die eine praktische Umsetzung ermöglicht hätten. Mit der Einführung von Anthropics Model Context Protocol (MCP) gibt es nun einen universellen Standard für den Datenabruf und den Zugriff auf Tools über strukturierte Quellen hinweg. Und dank Googles Agent-to-Agent-Framework (A2A) steht KI-Agenten jetzt ein modellunabhängiges Framework zur Verfügung, über das sie in natürlicher Sprache mit anderen Agenten kommunizieren können. Vereinfacht gesagt dient MCP der Kommunikation zwischen Agenten und Daten, während A2A die Kommunikation zwischen Agenten ermöglicht.

Drei Gründe, warum die Einführung von MAS unmittelbar bevorsteht

Die größten Hürden für einen positiven ROI mit agentenbasierter KI sind Genauigkeit, Kosten und Skalierbarkeit. Trotz der unvermeidlichen Komplexität, die MAS mit sich bringen wird, zählt es zu den vielversprechendsten Mechanismen, um alle drei Bereiche zu optimieren:

1. Genauigkeit – Spezialisierte Agenten schaffen eine modulare Ebene zur Risikominderung und Qualitätssicherung, die an die Anforderungen des jeweiligen Workflows angepasst werden kann. Indem der Verantwortungsbereich jedes einzelnen Agenten eingegrenzt wird, verringert MAS im Vergleich zu monolithischen Modellen das Risiko von Halluzinationen oder Fehlinterpretationen (Yang et al., 2025).
2. Kosten – Während die Trainingskosten vieler spezialisierter Agenten im Vergleich zu einem generalistischen Agenten variieren können, dürften die Inferenzkosten in einer verteilten MAS-Umgebung aufgrund geringerer Redundanz und übermäßiger Verarbeitung niedriger ausfallen (Gandhi, Patwardhan, Vig, & Shroff, 2024).
3. Skalierbarkeit – MAS verändern die Art und Weise, wie Skalierbarkeit in KI-Ökosystemen funktioniert. Anstatt ganze Systeme zu ersetzen oder neu zu trainieren, können Agenten modular hinzugefügt werden, um neue Geschäftsanforderungen kostengünstiger zu erfüllen

Wenn MAS richtig funktioniert

Sehen wir uns anhand der folgenden Abbildung einen hypothetischen Anwendungsfall an. Stellen Sie sich vor, Sie sind Finanzberater und Ihre Kundin Alice erhält gerne individuell erstellte Berichte über die Wertentwicklung ihres Portfolios.

Der Super-Agent empfängt den Prompt, ermittelt die übergeordnete Absicht und ruft den Triage-Agenten auf, um die benötigten Ressourcen zu bestimmen. Der Triage-Agent oder die regelbasierte Engine entscheidet, den CRM-Agenten für den benutzerspezifischen Kontext, den Lokalisierungs-Agenten für das Land bzw. die Region von Alice und den Portfolio-Agenten für die Daten der Handelsplattform aufzurufen. Der Compliance-Agent prüft, auf welche Daten und Tools für diese Aufgabe zugegriffen werden darf, bevor der Triage-Agent mit diesen Aufrufen fortfährt.

Multi-Agenten-Systeme werden wahrscheinlich aus denselben Gründen eingeführt, aus denen die meisten Unternehmen auf hybride Umgebungen setzen: Bei der Abwägung von Leistung, Sicherheit und Kostenmanagement wiegt Flexibilität schwerer als die meisten anderen Aspekte.

Jeder dieser nachgelagerten Agenten verfügt über zusätzliche Hierarchien und Gruppen von Unteragenten für bestimmte Aufgaben wie die Personalisierung oder die Analyse von Nachrichten. Einige arbeiten dabei vernetzt, während andere isoliert agieren.

Sobald ein Bericht zusammengestellt ist, wird er an den Compliance-Agenten gesendet, der überprüft, ob er alle regulatorischen Anforderungen erfüllt. Anschließend wird er an den Kontrollagenten oder einen eingebundenen Menschen weitergeleitet, um sicherzustellen, dass die Ausgabe korrekt ist und den Absichten des Kunden entspricht. Das Ergebnis ist die präzise und individuell zugeschnittene Bereitstellung eines wertvollen Assets.

Was passiert, wenn bei MAS etwas schiefläuft?

Stellen wir uns vor, Ihr MAS-Workflow wird nicht unter optimalen Bedingungen umgesetzt. Jede Verbindung zwischen Ihren Agenten erfolgt über eine Standard-API – einen häufigen Angriffsvektor, dem viele Unternehmen nach wie vor ausgesetzt sind.

Ihr ursprünglicher Prompt wurde durch einen Injection-Angriff manipuliert und enthält die Anweisung, Alices Abschlussbericht an die E-Mail-Adresse eines Angreifers zu senden. Wenn der Compliance-Agent dies erkennt, sollte das kein Problem darstellen. Eine ungesicherte API-Verbindung ermöglicht jedoch einen Spoofing-Angriff. Der Angreifer gibt sich als Compliance-Agent aus, erlaubt nachgelagerten Agenten den Zugriff auf Alices Bankkonto- und Kreditkartendaten und hebt weitere Beschränkungen auf.

Ohne Schutzmechanismen kommt es bei Agenten zu einer exponentiellen Ausweitung der Berechtigungen, sodass auf alles zugegriffen wird, worauf zugegriffen werden kann. Der Personalisierungsagent könnte nun entscheiden, dass der Kontostand von Alices Sparkonto ein relevanter Kontext ist, oder der Finanzanalyseagent könnte proprietäre Handelsalgorithmen und Partnerschaftsvereinbarungen fälschlicherweise als relevante Eingaben für benachbarte Agenten einstufen.

Wenn die Ausgabe zur Validierung einen Menschen oder einen Schutzagenten erreicht, wirkt sie korrekt und entspricht der Absicht des Benutzers. Doch zugleich haben sich Vertrauen, die Offenlegung von Informationen und die Ausweitung von Berechtigungen über zahlreiche Verbindungen hinweg unkontrolliert ausgebreitet. Mit einer einzigen einfachen Anfrage haben wir das Vertrauen unserer Kunden und Partner untergraben und unzählige Schwachstellen offengelegt.

Die Realität liegt irgendwo zwischen Präzision und Gefahr

Der Betrieb von Multi-Agenten-Systemen im Durchschnittsfall liegt zwischen diesen beiden Beispielen: Die Genauigkeit der Ergebnisse steigt deutlich, zugleich wird es jedoch erheblich schwieriger, die Angriffsfläche abzusichern. Obwohl vollständig agentenbasierte Anwendungen inzwischen technisch möglich sind, wird die praktikabelste Umsetzung dieser Systeme weitgehend hybrid sein und sowohl bestehende Infrastrukturen als auch KI-Komponenten integrieren. Dieser Wandel wird nicht über Nacht stattfinden. Angesichts der Komplexität dieser Herausforderung müssen jedoch alle Beteiligten proaktiv zusammenarbeiten, um agentenbasierte Systeme zu entwickeln, die einen geschäftlichen Mehrwert schaffen, ohne mehr Risiken als Nutzen mit sich zu bringen.

Leitfaden zum Schutz

In der Geschichte moderner Anwendungen zeigt sich immer wieder ein Zyklus aus Konsolidierung und Hybridisierung. Unternehmen setzen anfangs häufig vollständig auf monolithische Plattformen, wechseln letztlich jedoch zu hybriden Portfolios, die funktionale Anforderungen und Kosten besser in Einklang bringen. Agentenbasierte KI wird wahrscheinlich eine ähnliche Entwicklung durchlaufen. Die anfängliche Begeisterung für monolithische Plattformen wird einem verteilten Ökosystem aus Anwendungen und APIs weichen, das On-Premises-, SaaS- und Edge-Umgebungen sowie die heute unvermeidliche Vielzahl an Tools umfasst. Indem sie diesen Zyklus frühzeitig berücksichtigen, können Unternehmen proaktive Maßnahmen ergreifen, um sich auf MAS-gesteuerte Workflows und die verteilte Zukunft der KI vorzubereiten.

1. Sichern Sie Ihre APIs – Mit dem Aufkommen von MCP-Verbindungen und agentenbasierten Systemen wird API-Sicherheit immer wichtiger. Lösungen müssen sämtliche bekannten und unbekannten APIs abdecken, Schwachstellen dynamisch erkennen und kontinuierliche Transparenz bieten.
2. Erklärbares Verhalten voraussetzen – Auch wenn die KI nach wie vor eine „Blackbox“ ist, können Agenten mit bewusst eingeschränkten Aufgabenbereichen mit programmierbarem Erklärbarkeitsverhalten kombiniert werden, um Halluzinationen und schädliche Ausgaben besser nachvollziehen zu können. Die Ausgaben von Agenten sollten protokolliert, bei problematischem Verhalten während der Laufzeit gekennzeichnet und analysiert werden, um eine unbefugte Verbreitung zu verhindern.
3. Richtlinien für Human-in-the-Loop (HITL) festlegen – Wird bei Aufgaben eingesetzt, bei denen Fehlentscheidungen schwerwiegende Folgen haben, menschliche Kontrolle zur Einhaltung von Vorschriften erforderlich ist und für Sonderfälle keine etablierten Protokolle vorliegen. Schutzagenten sind kein Ersatz für menschliche Intelligenz und können ein attraktives Ziel für Angreifer darstellen. Um Engpässe zu vermeiden, sind herkömmliche regelbasierte Systeme mit HITL nach wie vor die sicherste Methode, um das Risiko unter einem bestimmten Schwellenwert zu halten. Unterhalb festgelegter Schwellenwerte sollten Schutzagenten nur sparsam eingesetzt werden, um das Risiko weiter zu mindern. Unternehmen müssen jedoch die durch einen Agenten erzielte Risikominderung gegen das Worst-Case-Szenario eines kompromittierten Agenten abwägen.
4. Zero Trust für sensible Daten durchsetzen – Wenden Sie das Prinzip der geringsten Zugriffsrechte an, um einzuschränken, auf welche Daten Agenten zugreifen und welche sie weitergeben können. Überprüfen Sie Berechtigungen kontinuierlich, um eine Ausweitung von Zugriffsrechten zu verhindern, und gehen Sie bei jeder Phase und jedem Agenten von einer möglichen Sicherheitsverletzung aus.
5. Unterschiedliche Tools konsolidieren – Da sich rasant verbreitende Agenten die ohnehin schon unübersichtliche heutige Tool-Landschaft zusätzlich erweitern, lässt sich Observability nicht mehr durch Insellösungen gewährleisten. Unternehmen müssen in einheitliche Sicherheitsplattformen investieren, die die Tools und Einblicke bündeln, die Sicherheitsexperten benötigen, um über die neue, erweiterte Angriffsfläche hinweg eine starke Sicherheitslage aufrechtzuerhalten.

Die unkontrollierte Verbreitung von KI-Agenten lässt sich nicht allein durch Red Teaming bewältigen

Systeme mit nicht deterministischen Ausgaben lassen sich nicht durch deterministische Lösungen absichern. Herkömmliche Testverfahren, die auf deterministischen Ausgaben beruhen, werden einer Technologie nicht gerecht, deren Ergebnisse von einem Durchlauf zum nächsten variieren. Da zudem eine einzelne Organisation wahrscheinlich weder Eigentümerin der meisten APIs oder Agenten in einem Workflow ist noch diese kontrolliert, erfordern Multi-Agenten-Systeme (MAS) einen umfassenderen Sicherheitsansatz.

Multi-Agenten-Systeme erhöhen die Komplexität zugunsten einer höheren Genauigkeit. Jede neue Verbindung birgt Risiken, jede Vertrauensgrenze schafft zusätzliche Schwachstellen und jeder Agent vergrößert die Angriffsfläche. In vielerlei Hinsicht sind die neuen Regeln jedoch nach wie vor die alten – ihre Einhaltung ist heute nur noch wichtiger. Die Absicherung von APIs, die konsequente Umsetzung von Zero Trust und die Überwachung des Systemverhaltens sind grundlegende Maßnahmen, die mit der zunehmenden Verbreitung von MAS immer dringlicher werden.

Auch wenn eine breite Einführung nicht über Nacht erfolgen wird, ist Ihr Unternehmen durch die Vorbereitung Ihrer Sicherheitsinfrastruktur auf diese Entwicklung nicht nur für Multi-Agenten-Systeme gerüstet, sondern auch gegen die Bedrohungen, denen moderne Systeme zunehmend ausgesetzt sind.

KI-Implementierungen haben die Angriffsfläche bereits vergrößert, und die Systeme, die Sie heute absichern, bilden morgen das Fundament Ihrer Abwehrmaßnahmen. Wenn Sie KI-Anwendungen in großem Maßstab bereitstellen, erfahren Sie, wie F5 KI-Anwendungen überall bereitstellt und absichert.