LONDON (IT BOLTWISE) – In vielen Unternehmen sind KI-Agenten inzwischen Teil von Drittsoftware, ohne dass Identity-Systeme sie standardmäßig erfassen. Laut einem „State of Agent Security“-Kontext sind etwa 1.280 Drittprodukte mit KI im Einsatz, nur rund 282 davon hinter Single Sign-on. Das verschiebt den Sicherheitsfokus: Nicht der Modell-Gateway-Check reicht, wenn die entscheidenden Kontrollpunkte bei „übernommenen“ Agenten fehlen.
Es ist weniger das KI-Modell selbst als vielmehr die Umgebung, in der ein Agent lebt. Genau das wird in der Debatte um Agent Security zunehmend sichtbar: Wenn Agenten im Unternehmensalltag „mitgeliefert“ werden, entsteht eine Sicherheitslücke dort, wo bisher am meisten geprüft wurde. In den untersuchten Umgebungen rund um das „State of Agent Security“-Umfeld für 2026 sind etwa 1.280 Drittanbieter-Produkte mit KI aktiv. Nur ungefähr 282 davon hängen über Single Sign-on in der Identitätswelt des Unternehmens. Der Rest bleibt standardmäßig außerhalb der Identity-Infrastruktur – nicht, weil jemand bewusst etwas versteckt, sondern weil diese Architektur nur steuern kann, was überhaupt über sie authentifiziert.
Diese Beobachtung lässt sich als Wendepunkt in der Denkweise der Sicherheitsabteilungen lesen. „KI-Sicherheit“ war lange Zeit vor allem ein First-Party-Problem: Das Unternehmen entscheidet sich für ein Modell, beschafft Lizenzen, deployt die Instanz hinter einem Gateway – und die Security-Maßnahmen richten sich auf genau diese von der Fachabteilung ausgewählte Komponente. Agenten kommen aber meist anders ins Haus: Sie sitzen bereits in Software, die das Unternehmen ohnehin nutzt, und sie werden eingeführt, ohne dass ein klarer Adoption-Entscheidungsprozess sichtbar wird. Damit fehlt ein typischer Kontroll-„Moment“: Wer kein neues Modell „ausrollt“, hat auch keinen eindeutigen Prüf- und Instrumentierungspunkt für Scanner, Prompt-Inspektion oder Richtlinien-Workflows.
Am Beispiel „Slack Code“ wird das besonders greifbar. Die Funktion, die im August 2026 veröffentlicht wurde, erlaubt Nutzern, in einem Gespräch einen Coding-Agenten zu taggen. Der Agent greift auf den geteilten Kontext zu, schreibt Code und eröffnet einen Pull Request. Die Ankündigung verspricht dabei, dass Agenten „eingebautes“ Sicherheitsmodell, Berechtigungen und Admin-Controls aus Slack übernehmen, ohne zusätzliche IT-Last. Aus Sicht eines Security-Teams klingt das zunächst beruhigend, weil Governance scheinbar schon vorhanden ist. In der Praxis beschreibt dieser Satz aber vor allem eine neue Art von Reichweite: Governance läuft hier über den Kanalzugang in einem Chat – und genau in dieser Kette gibt es weniger „adoptionsbezogene“ Kontrollpunkte für klassische Security-Workflows, weil der Agent ohne separaten Rollout operiert.
Für die Einordnung unterscheiden Security-Leads häufig nur zwei Kategorien: „gekauft“ und „gebaut“. Laut der Analyse existiert jedoch eine dritte, sehr große Klasse: „geerbt“ bzw. „inherited“ Agents. Gekaufte und konfigurierte Agenten wachsen besonders schnell, weil viele Plattformen sich selbst zu Agent-Plattformen weiterentwickeln und ihre KI-Funktionen als Produktupdates bereitstellen. Konfigurierte Agenten entstehen, wenn ein Unternehmen eigene Prompts und Logik in die Laufzeit eines Drittanbieters einsetzt – also auf dessen Modell, Runtime und Connectors vertraut. Die dritte Variante, „built agents“, sind offene Frameworks auf Infrastruktur, die das Unternehmen Ende-zu-Ende besitzt. Diese Kategorie bleibt kleiner und langsamer, gerade weil sie typischerweise auch eine eigene Scannbarkeit und eine Build-/Gate-Mechanik mitbringt. Das Ziel aller drei Ursprünge ist jedoch gleich: Ein Agent, der in einem CRM startet, kann am Ende ein Daten-Ökosystem lesen und Tickets schreiben; ein Agent aus einer Cloud-Plattform kann Tokens in mehreren SaaS-Welten halten.
Für die tatsächliche Risikobewertung lohnt dann ein Perspektivwechsel weg vom Modell hin zum „Scaffolding“, das aus einem Modell eine handelnde Einheit macht. Das heißt: Ein Agent besteht aus dem reasoningfähigen Modell und der Umgebung, die festlegt, woran der Agent wired ist, welche Calls er ausführen darf und unter welchen Bedingungen er handelt. Die Kerngefahr liegt dabei laut der Argumentation selten im Modell selbst. Sie steckt im Zusammenspiel aus Identität, Berechtigungen, Konnektivität und Aktivität. Vier Fragen decken dieses Gerüst ab: Gibt es eine registrierte Identität oder läuft der Agent still als derjenige, der ihn gebaut hat? Welche Berechtigungen wurden ererbt – und wurde diese Auswahl bewusst getroffen oder ist sie nur „mitgeliefert“? Wie weit kann der Agent direkt und transitiv in die erreichbare Umgebung hineinreichen, inklusive Produkte, Datenstores, anderer Agenten und Freigaben? Und schließlich: Was tut der Agent tatsächlich im Betrieb – gemessen an Verhalten, nicht an der Beschreibung in seinem Prompt. Entscheidend ist dabei: Besonders die Konnektivität ist ein Bereich, den ein Agent nicht selbst in der Konfigurationsmaske vollständig offenlegt, weil sie eine Eigenschaft des gesamten Environments ist.
Dass diese Lücke nicht nur theoretisch ist, zeigt auch die Priorität großer Käufer. Patrick Opet, Global CISO von JPMorgan Chase, hatte bereits 2025 die Third-Party-Supply-Chain als systemisches Risiko eingeordnet und dabei Vorfälle genannt, die so ernst waren, dass kompromittierte Lieferanten isoliert werden mussten. In der Folge wurde diese Logik – so die Darstellung – auf Agenten übertragen: Im Idealzustand besitzt ein Agent eine Identität, aber keine Entitlements per Default; IT stellt außerdem sicher, dass klar ist, in wessen Auftrag der Agent handelt, bevor er außerhalb eines definierten Rahmens irgendetwas berühren darf. Sobald ein Käufer dieser Größenordnung Agenten als Supply-Chain-Risiko adressiert, wandert die Fragestellung typischerweise in die Sicherheitsfragebögen anderer Unternehmen innerhalb weniger Quartale. Parallel darauf verschieben Regulierungsthemen den Erwartungsdruck: Die EU AI Act Pflichten, die ab 2026 gestaffelt in Kraft treten, setzen voraus, dass Unternehmen ihre KI-Systeme inventarisieren, Eigentümer benennen und Oversight nachweisen können. Wer Agenten nicht aufzählen kann, wird die Compliance-Arbeit schwerlich belastbar nachweisen können.
Operativ wird das Problem zudem durch die Skalierung überdeutlich. Ein Ansatz, der fünfige oder hundert Agenten über Spreadsheets und Quartalsreviews im Blick hält, bricht spätestens bei 500 Einheiten zusammen – und 500 ist schon ein Update davon entfernt, fünf- bis zehnmal so groß zu werden. Was dann nötig wird, ist eine „Live“-Antwort: laufend aktualisiert und in der Lage, sowohl Betriebszustand als auch geerbte Berechtigungen und erreichte Umgebungen zu erklären. Einige Plattformen bauen genau dafür eine Abbildung der Realität. Ein genanntes Beispiel ist Reco mit dem Reco Graph, der menschliche und nicht-menschliche Identitäten, Anwendungen, Permissions und Agent-Aktionen in eine einzige, fortlaufende Sicht verbindet – mit dem Anspruch, dass „Reach“ statt Konfiguration die zentrale Einheit der Analyse wird. Für Unternehmen bedeutet das: Die Sicherheitsarbeit rückt stärker in Richtung Laufzeit-Transparenz und weniger in Richtung Dokumentationspflege. Gleichzeitig wird klar, warum Investitionen in Agent-Discovery und runtime-orientierte Kontrollen jetzt besonders wichtig werden – weil genau die Agenten, die man selbst nicht bewusst „adoptiert“ hat, in der Praxis die Mehrheit bilden.
Für Teams, die Sicherheit, Identity und Plattformbetrieb zusammenziehen müssen, heißt das praktisch: Der Prüfplan darf nicht beim Modell oder beim Gateway enden, sondern muss die „Ankunftsform“ des Agents abbilden – also über welche Produktupdates, Connectors und Chat-Kanäle er überhaupt Zugriff erhält. Damit verschiebt sich auch die Zusammenarbeit zwischen Security, IT-Admin und den Plattformverantwortlichen: Man braucht Metadaten über Identität und Berechtigungen, aber ebenso eine Methode, die transitive Reichweite realistisch zu messen. Wenn das gelingt, wird Agent Security vom reinen Prüfprozess zum kontinuierlichen Betriebskonzept – und aus dem „Third-Party-Agent-Problem“ wird eine konkret adressierbare Betriebsaufgabe statt ein dauerhaftes Bauchgefühl.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Das Third-Party-Agent-Problem: Warum Agenten-Sicherheit oft am falschen Punkt ansetzt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Das Third-Party-Agent-Problem: Warum Agenten-Sicherheit oft am falschen Punkt ansetzt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Das Third-Party-Agent-Problem: Warum Agenten-Sicherheit oft am falschen Punkt ansetzt« bei Google Deutschland suchen, bei Bing oder Google News!