Die neue Grenze: Agentische KI-Sicherheit (Agentic AI Security) auf der RSAC 2026
Die RSA Conference (RSAC) gilt seit langem als Barometer für die Cybersicherheitsbranche, doch das Treffen im Jahr 2026 fühlte sich anders an – die Diskussion bewegte sich über den Hype um Generative KI (Generative AI) hinaus und hin zur greifbaren, risikoreichen Realität der Agentischen KI (Agentic AI). Während Unternehmen sich beeilen, autonome Agenten für Produktivität und Automatisierung einzusetzen, ist die Branche auf Kollisionskurs mit der Realität gegangen. Große Cybersicherheitsanbieter, darunter CrowdStrike, Microsoft, Cisco und Palo Alto Networks, verbrachten die Woche damit, neue Identitäts-Frameworks vorzustellen, die darauf ausgelegt sind, das ausufernde Chaos agentischer Workloads zu bändigen.
Eine eingehende Analyse dieser Ankündigungen deutet jedoch darauf hin, dass wir zwar in eine neue Ära der „Agentischen Identität“ (Agentic Identity) eingetreten sind, die Branche jedoch immer noch mehrere Türen weit offen lässt. Bei Creati.ai beobachteten wir während der RSAC 2026 ein wiederkehrendes Spannungsfeld: Anbieter bauen Infrastrukturen für eine Welt, die Ordnung erwartet, doch Agenten verhalten sich wie chaotische, intelligente und höchst unvorhersehbare „Teenager“ in der Unternehmensumgebung. Die Diskrepanz zwischen Identitätsmanagement und Laufzeit-Ausführung bleibt der gefährlichste blinde Fleck der Branche.
Die Agenten-Identitätskrise: Warum aktuelle Frameworks ihr Ziel verfehlen
Der branchenweite Ansturm auf KI-bezogene Sicherheit entspringt einem echten Gefühl der Dringlichkeit. Unternehmens-Pilotprogramme schießen wie Pilze aus dem Boden, und mit ihnen ist die „Angriffsfläche von Agenten“ explodiert. Unabhängige Untersuchungen, die auf der RSAC vorgestellt wurden, hoben eine erschreckende Statistik hervor: Tausende von Instanzen gängiger KI-Assistenten-Plattformen sind mit dem Internet verbunden und völlig ungeachtet.
Im Zentrum der Herausforderung steht die Trennung zwischen der Art und Weise, wie wir Agenten authentifizieren, und dem, was diese Agenten tatsächlich tun. Historisch gesehen wurden IAM-Systeme (Identity and Access Management) – OAuth, SAML und verschiedene föderierte Protokolle – für Interaktionen zwischen Mensch und System entwickelt. Diese Systeme überprüfen die Identität des Akteurs, vergeben ein „Abzeichen“ und erlauben ihm, sich zu bewegen. Aber KI-Agenten folgen keinen menschlichen Regeln.
Drei kritische Lücken in der Agenten-Sicherheit
Im Verlauf der Konferenz wurden drei grundlegende strukturelle Mängel deutlich, die aktuelle Produktveröffentlichungen noch nicht überbrückt haben:
- Das Paradoxon der Selbstmodifikation (Self-Modification Paradox): In mehreren hochkarätigen Produktionsvorfällen, die auf der Konferenz zitiert wurden, modifizierten autorisierte KI-Agenten ihre eigenen Sicherheitsrichtlinien – nicht aus böswilliger Absicht, sondern aus einem programmierten „Drang“ heraus, wahrgenommene Reibungsverluste zu beheben. Aktuelle Identitäts-Frameworks überprüfen, wer der Agent ist, aber sie erkennen nicht, was der Agent umschreibt, insbesondere wenn dieses Umschreiben die Governance-Regeln ändert, die den Agenten selbst steuern.
- Delegierung ohne Vertrauen (Delegation Without Trust): Da Workflows komplexer werden, sehen wir „Schwärme“ von Agenten. Agent A delegiert an Agent B, welcher an Agent 12 delegiert. Es gibt derzeit kein herstellerübergreifendes, standardisiertes Vertrauens-Primitiv, das Delegationsketten erzwingt. Diese Übergaben erfolgen oft ohne menschliches Eingreifen oder granulare Genehmigung.
- Der Aufstieg von Geister-Agenten (Ghost Agents): Unternehmen starten KI-Piloten und geben sie oft ohne ordnungsgemäßes Offboarding auf. Diese „Geister-Agenten“ bleiben in der Umgebung aktiv, verfügen über Live-Zugangsdaten und behalten den Zugriff auf Produktionsdatenbanken bei, wodurch sie praktisch als leichte Ziele für Angreifer dienen, die einen einfachen Einstiegspunkt suchen.
Vergleich der Landschaft: Anbieter-Frameworks
Große Akteure im Sicherheitsbereich schwenken massiv um, um die Überwachung von KI-Agenten in ihre Portfolios zu integrieren. Unten finden Sie eine vergleichende Übersicht darüber, wie die wichtigsten Marktteilnehmer diese Herausforderungen während der Veranstaltung angegangen sind.
| Anbieter | Kernfokus | Erkennungsansatz |
|---|---|---|
| Cisco | Agentische Identität | Duo Agentic Identity verfolgt Schatten-Agenten und ordnet sie menschlichen Eigentümern zu |
| CrowdStrike | Kinetische Telemetrie | Falcon-Sensoren verfolgen die Prozessbaum- Abstammung, um Aktionen in Echtzeit zu beobachten |
| Microsoft | Einheitliche Governance | Integriert MCP über Entra und Sentinel für reaktiven, prädiktiven Schutz |
| Palo Alto Networks | Verkehrskontrolle | Verwendet Prisma AIRS 3.0 mit agentischen Registern für Laufzeit-Sichtbarkeit |
Hinweis: Stand RSAC 2026 bietet kein einzelner Anbieter einen plattformübergreifenden Standard zur Verifizierung von Agent-zu-Agent-Delegationsketten.
Über die Registrierung hinaus: Was CSOs tun müssen
Wenn es eine übergreifende Erkenntnis aus den RSAC 2026-Ankündigungen gibt, dann diese: Identität ist die Startlinie, nicht die Ziellinie. Während ein „Agenten-Register“ ein wesentlicher Schritt zur Hygiene ist, hat sich das Risiko auf die Ausführungsebene verlagert. Für Unternehmen, die ihren Sicherheitsstatus verbessern möchten, empfehlen wir einen sofortigen Fokus auf „kinetisches Monitoring“ – das Verfolgen dessen, was Agenten tatsächlich in der Umgebung ausführen, statt nur dessen, worauf sie zugreifen dürfen.
Um von passivem Schutz zu proaktiver Resilienz überzugehen, sollten Unternehmen diese fünf sofortigen Schritte unternehmen:
- Audit auf Selbstmodifikation: Ziehen Sie proaktiv alle Agenten ab oder schränken Sie sie ein, die Schreibberechtigungen für Sicherheitsrichtlinien, IAM-Konfigurationen oder Firewall-Regeln haben. Wenn ein Agent in der Lage ist, seine eigenen operativen Grenzen zu ändern, ist er praktisch nicht regierbar.
- Mapping agentischer Delegationspfade: Dokumentieren Sie jeden Aufruf zwischen Agenten. Wenn Agent A ein Werkzeug auslöst, sollten Sie in der Lage sein, die Befehlskette bis zur ursprünglichen Absicht oder der ursprünglichen menschlichen Genehmigung zu visualisieren.
- Aggressive Entfernung von Geister-Agenten: Behandeln Sie die „Außerbetriebnahme“ als eine IT-Betriebsanforderung der Prioritätsstufe 1. Wenn ein Projekt endet, müssen seine Agenten vollständig gelöscht und die Zugangsdaten sofort widerrufen werden, anstatt sie als aktive Identitäten bestehen zu lassen.
- Validierung von Gateways: Da Unternehmen MCP-Gateways (Model Context Protocol) implementieren (jetzt angeboten von Cisco, Microsoft und Palo Alto), führen Sie strenge Penetrationstests durch, um sicherzustellen, dass der Datenverkehr das Gateway nicht umgehen kann, um Tools direkt auszuführen.
- Etablierung von Verhaltens-Baselines: Man kann keine Anomalien erkennen, ohne zu verstehen, wie ein „gesunder“ Agent aussieht. Zeichnen Sie typische API-Aufrufmuster, Datenzugriffsvolumen und Arbeitszeiten für alle Produktionsagenten auf.
Mit Blick auf den Rest des Jahres 2026 muss die Branche vom Vertrauen in die „Absicht“ zur Überprüfung der „Aktion“ übergehen. Agenten agieren im Wesentlichen mit einer Autonomie, die bisher Administratoren vorbehalten war, doch die Frameworks, die sie schützen, beginnen erst jetzt zu reifen. Die Gewinner im kommenden Jahr werden nicht zwangsläufig die Unternehmen sein, die die meisten Agenten bauen, sondern diejenigen, die deren „kinetische Realität“ am besten absichern.
