KI-Agenten: Die neue Enterprise-Angriffsfläche

Die These, die der Markt nicht einpreist

KI-Agenten werden bis 2027 zur größten Angriffsfläche in Enterprise-Software. Das ist eine dokumentierte Entwicklung, die im Einbruch der Kosten für agentische Ausführung verwurzelt ist. Der Konsens beobachtet die Modelle und diskutiert ethische Ausrichtung.

Das eigentliche Risiko liegt woanders: im Layer, der Agenten Zugang zu Tools, Credentials und APIs gewährt.

Das ist ein Regimewechsel, kein bloßer Trend. Jeder autonome Agent, der Aktionen ausführt, erhält Berechtigungen. Jede Berechtigung öffnet eine Tür.

Der Markt bepreist das falsche Gespräch. Die finanzielle Disziplin im Bereich Sicherheit folgt noch immer dem Netzwerkperimeter, während der Risikoschwerpunkt zur ausführenden Autonomie wandert.

Der Konsens hat den falschen Rahmen

90 % der Analysten haben Recht hinsichtlich der Gegenwart. Sie liegen falsch beim Tempo des Wandels. Die dominierende Diskussion dreht sich um Modellsicherheit: Bias, Prompt Injection, verbotene Inhalte.

Diese Debatte misst die falschen Daten. Anthropic hat gerade Claude Fable 5.1 angekündigt, mit reduziertem Preis und präziseren Safeguards für biologische Fragestellungen, wie The Verge berichtet^[1].

Das öffentliche Gespräch konzentriert sich auf generierte Inhalte. Die relevante Angriffsfläche ist operativ: was ein Agent ausführen kann, welche Systeme er berührt, welche Geheimnisse er im Speicher hält.

Air hat 50 Millionen Dollar eingesammelt, um Unternehmen bei der Überprüfung von Skills und Add-ons zu helfen, die von KI-Agenten eingesetzt werden, laut TechCrunch^[2]. Das Kapital folgt dem echten Risiko.

Die Kostenkurve sagt alles

Die Kosten für den Betrieb eines autonomen Agenten fallen entlang einer steilen Kurve. Anthropic gibt an, dass Claude Fable 5.1 für typische Nutzung rund 25 % günstiger ist als der Vorgänger und bei komplexen agentischen Aufgaben bis zu 45 % günstiger – dank des reduzierten Preises für gecachte Daten, wie The Verge dokumentiert^[1].

Drei Punkte zur Entwicklung: Der Preis pro Token bei Frontier-Modellen ist in zwei Jahren um mehr als eine Größenordnung gefallen; Caching reduziert die Grenzkosten wiederholter Aufrufe; die Token-Effizienz pro Aufgabe verbessert sich mit jeder Release.

Die Schlussfolgerung ist direkt: Tausend Agenten zu betreiben wird so viel kosten wie heute einer.

Wenn die Kosten einer autonomen Aktion gegen null tendieren, explodiert die Anzahl autonomer Aktionen. Die Angriffsfläche skaliert mit der Anzahl aktiver Agenten. Jede Release senkt die Kosten weiter, und diese Kompression ermöglicht Deployment-Muster, die bisher wirtschaftlich unrentabel waren.

Cliff Event: Wenn die Adoption springt

Die Agenten-Adoption wird aufhören, linear zu wachsen, und einen Sprung machen. Cliff Event: agentische Kosten unter der psychologischen Schwelle, 2027, Massendeployment in der Produktion.

Ab diesem Punkt delegiert jede Unternehmensfunktion die Ausführung an einen Agenten. Vertrieb, Finanzen, IT, Support. Jede Delegation erfordert Credentials mit Privilegien.

The Register dokumentierte eine aktiv ausgenutzte Artifactory-CVE mit ausdrücklicher Unsicherheit in einem Punkt: War der Angreifer ein KI-Agent oder ein Mensch, wie The Register berichtet^[3]. Diese Ambiguität ist das Signal.

Die Unterscheidung zwischen menschlichem Angreifer und autonomem Agenten schwindet. Exploits werden skriptierbar, wiederholbar, skalierbar zu den Kosten eines API-Aufrufs.

Sicherheitsteams stehen vor Gegnern, die erfolgreiche Taktiken in Echtzeit klonen. Ein erfolgreicher Exploit wird zu einem Template, das auf Tausende parallele Instanzen verteilt werden kann.

Drei Kategorien, die sich bis 2028 grundlegend verändern werden

Drei Säulen der Sicherheitssoftware werden unter diesem Druck ihre Form verändern – und die Veränderung wird strukturell sein.

Identity and Access Management wird für Agenten neu geschrieben. Systeme, die für menschliche Identitäten konzipiert wurden, verwalten schlecht Entitäten, die in Millisekunden entstehen, agieren und verschwinden. Der traditionelle IAM-Markt steht vor struktureller Obsoleszenz.

Anwendungssicherheit migriert vom Perimeter zur Aktion. Was ein Agent ausführt, zählt – nicht, von wo er sich verbindet. Legacy-Firewall-Anbieter verkaufen die Karte einer sich auflösenden Welt.

Der Skill-Verifizierungs-Layer wird kritische Infrastruktur. Die Finanzierungsrunde von Air bestätigt es: Unternehmen werden dafür zahlen zu wissen, welche Add-ons ein Agent aufruft. Das ist der Wettbewerbsvorteil des nächsten Jahrzehnts.

Meine Position – und was sie revidieren würde

Meine Position ist klar: Der Wert der KI-Sicherheit wird vom Modell-Layer zum Aktions-Layer wandern, und Unternehmen, die „Modellsicherheit" kaufen, kaufen eine kommende Commodity.

Das Argument stützt sich auf die Kostenkurve und den Mechanismus der Privilegiendelegation. Jeder wirtschaftliche Agent multipliziert die offenen Türen.

Ich beobachte Patentanmeldungen und GitHub-Aktivitäten rund um die Runtime-Isolierung von Agenten. Das Volumen wächst, die Reife bleibt gering. Diese Distanz definiert das Risikofenster.

Was meine These ändern würde: Eine Runtime-Architektur, die Agenten standardmäßig isoliert und von den drei wichtigsten Anbietern bis 2027 übernommen wird, würde die Angriffsfläche vor dem Cliff Event reduzieren. Diese Evidenz würde mich dazu bringen, den Zeithorizont zu überdenken.

Die Prognose – mit Kill Signal

Explizite Prognose: Bis Ende des vierten Quartals 2027 wird ein öffentlich bestätigter Vorfall einen kompromittierten KI-Agenten betreffen, der durch gewährte Tool-Zugänge schädliche Aktionen ausführt und eine Datenpanne im Enterprise-Maßstab verursacht.

Konfidenz: 70 von 100. Zeithorizont: Ende 2027. Der Kausalmechanismus ist die Privilegiendelegation bei Grenzkosten nahe null.

Kill Signal: Das Ausbleiben, bis zum 31. Dezember 2027, jeglicher Enterprise-Sicherheitsverletzung, die öffentlich einem kompromittierten KI-Agenten zugeschrieben wird. Dieses Faktum würde die These falsifizieren.

Was das für Entscheidungsträger bedeutet

Für den CTO: Überprüfe den Identity-Stack und das Secrets-Management, bevor das agentische Deployment zur Selbstverständlichkeit wird. Architekturschulden, die jetzt aufgehäuft werden, werden morgen zur Sicherheitslücke.

Für Venture Capital: Der Layer zur Verifizierung agentischer Skills erscheint heute wie eine Nischenwette. Die Daten machen ihn binnen drei Jahren zur Infrastruktur. Die Finanzierungsrunde von Air ist die erste Preisbildung.

Für den Chief Strategy Officer: Jeder Dreijahresplan, der von statischen Sicherheitsperimetern ausgeht, setzt eine sich auflösende Welt voraus.

Für das Procurement: Ein mehrjähriger Vertrag für Legacy-Perimeter-Firewalls bindet Kapital an eine Technologie, die überholt wird. Lies die Ausstiegsklauseln jetzt neu.