Anthropics Claude Mythos, das aufgrund seiner fortschrittlichen Cybersicherheitsfähigkeiten im Rahmen von Project Glasswing derzeit nur einer kleinen Zahl vertrauenswürdiger Organisationen zugänglich ist, unterscheidet sich grundlegend von früheren KI-Generationen.
Das Risiko von Frontier-KI hat wenig mit böswilligen Absichten zu tun; es ergibt sich vielmehr aus der Fähigkeit des Modells, in Echtzeit Schlussfolgerungen zu ziehen, zu planen, sich anzupassen und Optimierungen vorzunehmen. Ob autonom oder über eine kompromittierte Integration: Ein Modell der Mythos-Klasse kann äußerst überzeugende Social-Engineering-Kampagnen erstellen, APIs mit Maschinengeschwindigkeit sondieren, Sicherheitskontrollen kontinuierlich testen und seine Taktik sofort ändern, sobald es auf Widerstand stößt.
Das verändert die wirtschaftlichen Rahmenbedingungen der Cyberabwehr.
Die meisten Sicherheitsarchitekturen in Unternehmen wurden entwickelt, um Angreifer abzuwehren, die erkennbaren Mustern folgen. Signaturbasierte Erkennung, vordefinierte Richtlinien und die Untersuchung durch Menschen haben sich für Unternehmen bewährt, da menschliche Angreifer zwischen Aufklärung, Ausnutzung und Anpassung zwangsläufig Zeit verstreichen lassen.
Ein Reasoning-Modell macht diesen Vorteil zunichte. Wenn ein KI-Agent innerhalb von Sekunden beobachten, lernen und sein Verhalten ändern kann, können es sich Sicherheitsteams nicht mehr leisten, erst nach der Erkennung zu reagieren. Wo Sie den Angriff abfangen, ist heute wichtiger als die Frage, ob Sie ihn erkennen.
Die Antwort liegt im Datenverkehrspfad. Jeder Prompt, jeder API-Aufruf, jede Anfrage über das Model Context Protocol (MCP) und jeder Tool-Aufruf muss die Anwendungsbereitstellungsschicht durchlaufen, bevor etwas Wertvolles erreicht werden kann. Unabhängig davon, wie intelligent ein KI-Modell wird, kann es das Netzwerk nicht umgehen. Das ist der eine Kontrollpunkt, dem ein Angreifer nicht ausweichen kann.
“Wenn ein KI-Agent innerhalb von Sekunden beobachten, lernen und sein Verhalten ändern kann, können es sich Sicherheitsteams nicht mehr leisten, erst nach der Erkennung zu reagieren.”
Drei sehr unterschiedliche Kontrollmodelle verstehen
Eine der größten Ursachen für Verwirrung auf dem heutigen Markt für KI-Sicherheit ist die synonyme Verwendung von Begriffen wie „Echtzeit“, „Runtime“ und „Inline“. Sie bezeichnen jedoch nicht dasselbe, und diese Unterscheidung ist wichtig. Worin liegen also die Unterschiede?
Echtzeitkontrollen (Transparenz und Warnmeldungen nach der Aktion): Echtzeitkontrollen erkennen verdächtige Aktivitäten unmittelbar bei ihrem Auftreten und generieren innerhalb von Sekunden oder Minuten Warnmeldungen. Sie schaffen Transparenz, sind für das Ergreifen von Maßnahmen jedoch in der Regel auf ein anderes System – oder einen menschlichen Analysten – angewiesen.
Stellen Sie sich vor, ein KI-Agent fragt um 2:47 Uhr mit hoher Frequenz die API einer Kundendatenbank ab. Ihr SIEM erkennt das ungewöhnliche Verhalten korrekt und erstellt sofort einen Vorfall.
Die Warnmeldung ist zutreffend. Der Zeitpunkt ist optimal. Doch bis ein Analyst das Ticket prüft, hat die KI ihre Erkundung bereits abgeschlossen und ist zum nächsten Ziel übergegangen. Eine Erkennung ohne Durchsetzung protokolliert einen Angriff lediglich, anstatt ihn zu stoppen.
Laufzeitkontrollen (Schutzmechanismen auf Ausführungsebene): Laufzeitkontrollen setzen Richtlinien aktiv durch, während eine Anwendung, ein Endpunkt oder ein Agent ausgeführt wird.
Dies stellt eine erhebliche Verbesserung gegenüber der reinen Erkennung dar, da automatisch Maßnahmen ergriffen werden. Der Laufzeitschutz ist jedoch weiterhin durch vordefinierte Richtlinien und die Beobachtungsmöglichkeiten der jeweiligen Laufzeitumgebung eingeschränkt.
Angenommen, ein Endpoint-Agent blockiert einen verdächtigen Systemaufruf eines lokalen KI-Assistenten. Das Modell analysiert den Fehlschlag, identifiziert einen alternativen Ausführungspfad, der in der Richtlinie nicht berücksichtigt wurde, und erreicht dasselbe Ziel mit einer anderen Technik.
Laufzeitschutz funktioniert äußerst gut bei erwartetem Verhalten. Schlussfolgernde Modelle sind jedoch gezielt darauf ausgelegt, unerwartetes Verhalten hervorzubringen.
Inline-Netzwerk- und Anwendungskontrollen (Abfangen im Datenverkehrspfad): Inline-Kontrollen arbeiten auf einer völlig anderen Ebene. Anstatt darauf zu warten, dass eine Anwendung oder ein Endpunkt eine Entscheidung trifft, erfolgt die Inline-Durchsetzung direkt im Datenverkehrspfad und prüft jede Anfrage, bevor sie die Inferenz-Engine, API, Anwendung oder einen nachgelagerten Dienst erreicht.
Stellen Sie sich vor, ein Modell der Mythos-Klasse versucht mittels einer ausgeklügelten, mehrstufigen Prompt-Injection, Trainingsdaten durch indirekte Schlussfolgerungen zu extrahieren.
Möglicherweise gibt es keine bekannte Signatur, kein früheres Beispiel und keinen historischen IOC, mit dem ein Abgleich möglich wäre. Dennoch kann die Anfrage geprüft, bewertet und blockiert werden, bevor sie überhaupt das Modell erreicht – oder bevor unsichere Ausgaben den Benutzer erreichen.
Diese Unterscheidung ist entscheidend: Inline-Sicherheit verhindert von vornherein, dass die Anfrage vollständig ausgeführt wird, anstatt erst zu reagieren, wenn die Kompromittierung bereits erfolgt ist.
Warum KI an der technologischen Grenze traditionelle Sicherheitsannahmen infrage stellt
In der Vergangenheit profitierten Verteidiger von einem entscheidenden Vorteil: Zeit. Selbst hoch qualifizierte Angreifer benötigten Stunden oder Tage, um die Phasen der Aufklärung, Ausnutzung von Schwachstellen und Rechteausweitung zu durchlaufen. Sicherheitsteams konnten verdächtige Aktivitäten erkennen, untersuchen, Signaturen aktualisieren und Schutzmaßnahmen verstärken, bevor erheblicher Schaden entstand.
KI an der technologischen Grenze verkürzt diesen Zeitrahmen drastisch. Innerhalb einer einzigen Sitzung kann ein gegnerischer KI-Agent:
- Offengelegte, unbekannte und nicht verwaltete APIs erkennen.
- Generieren Sie Tausende von Prompt-Varianten, um unzureichende Schutzmechanismen zu identifizieren.
- Ermitteln Sie, welche Antworten auf eine tatsächliche Durchsetzung und welche lediglich auf eine einfache Filterung hindeuten.
- Techniken, Kodierungen und Payload-Strukturen sofort ändern.
- Sensible Informationen über scheinbar legitime Ausgabekanäle exfiltrieren.
Was früher mehrere Tage Arbeit eines erfahrenen Red Teams erforderte, kann heute innerhalb weniger Minuten geschehen. Deshalb werden Architekturen, die auf menschliches Eingreifen angewiesen sind, zunehmend unwirksam. Wenn der Schutz davon abhängt, dass ein Analyst Warnmeldungen prüft, Signaturen aktualisiert oder Richtlinien manuell anpasst, hat der Angreifer bereits mehrere Iterationen abgeschlossen, bevor die erste Reaktion überhaupt beginnt.
Gegen schlussfolgernde KI müssen Schutzmaßnahmen mit Leitungsgeschwindigkeit durchgesetzt werden.
Die dafür erforderliche Architektur
Um KI mit Schlussfolgerungsfähigkeit direkt auf Netzwerkebene zu begegnen, ist ein anderer Architekturansatz erforderlich als der, für den die meisten Sicherheits-Stacks konzipiert wurden.
Die Kontrolle muss sich als einheitliche Oberfläche über den gesamten Bereitstellungspfad der Anwendung erstrecken, anstatt auf isolierte Einzellösungen verteilt zu sein. Die Prüfung muss direkt auf der Inferenzebene erfolgen, damit Prompts und Antworten in Echtzeit analysiert werden, bevor sie einen Menschen oder ein Modell erreichen. Die API-Erkennung muss kontinuierlich erfolgen, da verwaltete Bestandsverzeichnisse die nicht verwalteten und Schatten-APIs, nach denen autonome Agenten zuerst suchen, nur selten erfassen.
Tests anhand von Angriffstechniken müssen kontinuierlich statt in regelmäßigen Abständen erfolgen, und die Erkenntnisse müssen direkt in die Durchsetzung von Schutzmaßnahmen einfließen – andernfalls werden Schutzmechanismen in einem in Wochen bemessenen Richtlinienzyklus aktualisiert, während Angreifer ihre Methoden innerhalb von Minuten weiterentwickeln. KI-Agenten müssen zudem als eigenständige Identitätskategorie betrachtet werden, getrennt von menschlichen Nutzern und herkömmlichen Bots, damit der Datenverkehr zwischen Agenten und Tools, einschließlich MCP-Austauschvorgängen, denselben Governance-Regeln unterliegt wie die Benutzerauthentifizierung.
All dies funktioniert nicht als Ansammlung voneinander unabhängiger Tools. Es muss als einheitliche Durchsetzungsarchitektur betrieben werden, die APIs, Inferenzdatenverkehr, Agentenidentitäten und Anwendungssicherheit umfasst und einem gemeinsamen Richtlinienrahmen für Hybrid- und Multi-Cloud-Umgebungen unterliegt.
Warum dies angesichts der fortschreitenden Entwicklung der KI wichtig ist
Die heutige Diskussion konzentriert sich häufig auf Prompt-Injection. Die Herausforderung von morgen werden autonome Systeme sein, die Tausende von API-Aufrufen koordinieren, Tools einsetzen und weitgehend ohne menschliches Eingreifen mit anderen Agenten zusammenarbeiten – und Unternehmen werden einen entsprechenden Anstieg des maschinell erzeugten Datenverkehrs verzeichnen.
Jede dieser Interaktionen erfordert eine weitere Entscheidung über die Durchsetzung von Sicherheitsrichtlinien. Der Schutz einzelner, isolierter Ebenen – hier ein Prompt-Filter, dort ein API-Gateway und an anderer Stelle eine Bot-Erkennung – schafft Bruchstellen in der Architektur, und genau dort wird eine schlussfolgernde KI zuerst nach Schwachstellen suchen. Je leistungsfähiger der Angreifer wird, desto wichtiger ist eine konsistente Architektur.
Der strategische Handlungsauftrag für CISOs
Frontier-KI verändert die Art der Cyberabwehr. Da autonome Modelle immer tiefer in Unternehmensanwendungen, APIs und Geschäftsabläufe integriert werden, wird der Datenverkehrspfad zur wichtigsten Kontroll- und Durchsetzungsebene unter Ihrer Kontrolle – jede Eingabeaufforderung, jeder API-Aufruf, jeder MCP-Austausch und jeder autonome Tool-Aufruf durchläuft ihn.
Echtzeitkontrollen zeigen Ihnen, was bereits geschehen ist. Laufzeitkontrollen stoppen, was durch Richtlinien vorhergesehen wurde. Inline-Kontrollen stoppen das, was gerade geschieht, noch bevor die Anfrage ihr Ziel erreicht.
Für CISOs ist das die entscheidende Frage der Architektur.
Für Sicherheitsverantwortliche ist der strategische Auftrag klar: Richten Sie die Verteidigung Ihres Unternehmens auf die eine strukturelle Ebene aus, die ein Angreifer nicht umgehen kann.
Weitere Informationen finden Sie auf unserer Webseite zur F5 Application Delivery and Security Platform.
Über den Autor
Ähnliche Blogbeiträge
Vier Gründe, warum Sie den F5 Post-Mythos Security Summit nicht verpassen sollten
Holen Sie sich Expertenrat, um Ihre Apps, APIs und Modelle in der Post-Mythos-Welt zu schützen.
Von einer App zu einer Flotte von KI-Agenten: Ein 90-Tage-Framework für KI-Sicherheit
Vermeiden Sie den kostspieligen Ansatz „Erst bereitstellen, später absichern“ – mit einem umfassenden Framework zum Schutz von KI-Modellen, Anwendungen und autonomen Agenten.
Fünf Stufen antifragiler Cyberresilienz verwandeln Praxis in Ergebnisse
Erfahren Sie, wie fünf Stufen antifragiler Resilienz Störungen in adaptive Verhaltensweisen überführen, die Ausfälle begrenzen und hybride Multicloud-Architekturen stärken.
Warum Ihre KI-Richtlinien, Governance und Leitplanken nicht warten können
KI-Richtlinien und -Governance dürfen nicht länger als reine Formalitäten oder Zukunftsthemen betrachtet werden. Sie müssen durch praktische, durchsetzbare Leitplanken ergänzt werden.
Wenn „privat“ nicht privat ist: Wie ChatGPT-Unterhaltungen öffentlich wurden
KI verändert die Arbeitsabläufe in Unternehmen, doch eine übersehene Einstellung hat bereits Tausende vertraulicher Unterhaltungen öffentlich zugänglich gemacht
KI-Nutzung verstehen: Warum Unternehmen Transparenz brauchen
Anstatt einen zu laxen oder zu strengen Ansatz zu verfolgen, können Unternehmen durch mehr Transparenz bei der KI-Nutzung fundierte und durchsetzbare Entscheidungen treffen.