Microsoft will KI-Agenten in Unternehmen so überwachen wie Beschäftigte mit weitreichenden Zugriffsrechten. Die Sicherheitssoftware Defender erkennt dafür künftig 60 Agenten wie Claude Code und OpenAI Codex, eigene Wächter-Agenten greifen vor riskanten Aktionen ein. Microsofts Warnung gilt auch den Modellen von OpenAI und Anthropic, an denen der Konzern beteiligt ist.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
„Führende KI-Modelle sind nicht vertrauenswürdig, gleich welcher Herkunft“, schreibt Hayete Gallot, Chefin der Sicherheitssparte von Microsoft, in einem Blogbeitrag vom 19. Oktober.[1] Bösartig seien die Modelle nicht, sie seien auf Ergebnisse trainiert und nicht auf die Regeln und das Urteilsvermögen eines Unternehmens. Gallot vergleicht KI-Agenten deshalb mit Innentätern im eigenen Unternehmen.
Das Wichtigste in Kürze
- Wächter-Agenten in Microsofts Sicherheitssystem Project Perception prüfen jede Aktion anderer Agenten vorab.
- Jeder Agent soll ein eigenes Konto bekommen und nur die Rechte, die seine aktuelle Aufgabe verlangt.
- Steigt das Risiko, entzieht das System Rechte schrittweise, statt den Agenten sofort zu stoppen.
- Preise und Starttermine nannte Microsoft nicht.
Warum reichen die Rechte des Nutzers nicht?
Viele Agenten arbeiten bisher im Konto der Person, die sie startet, und erben damit jede ihrer Freigaben. Microsoft nennt als Beispiel einen Agenten, der Spesenabrechnungen prüft und Routinefälle freigibt.[2] Liest der Agent in einem fremden Dokument eine versteckte Anweisung, ändert sich sein Verhalten, ohne dass jemand seine Einrichtung anfasst. Mit einer solchen Prompt Injection handelt der Agent dann mit allen Rechten seines Nutzers, auch mit denen, die mit Spesen nichts zu tun haben.
Microsoft setzt deshalb auf Dynamic Permissions: Ein Agent startet ohne Rechte und erhält nur, was die freigegebene Aufgabe verlangt, befristet auf deren Dauer. Die Rechte des Nutzers bilden die Obergrenze. Verarbeitet der Agent fremde Inhalte oder versucht eine aufgabenfremde Aktion, steigt sein Risikowert, und die Zugriffssteuerung in Microsoft Entra reagiert abgestuft: Lesen bleibt erlaubt, Schreiben nicht, für folgenreiche Schritte braucht der Agent die nachweisbare Freigabe eines Menschen.[2]
Was prüfen die Wächter-Agenten?
Die Guardian Agents laufen in Project Perception, einem Sicherheitssystem, das Microsoft im Juli vorgestellt hat. Laut Gallot sollen die Wächter-Agenten „jede Aktion jedes Agenten“ überwachen und steuern, bevor sie geschieht.[1] Künftig will Microsoft auch den Gedankengang der Modelle auswerten, nicht nur Ein- und Ausgaben, um zu erkennen, ob ein Agent von seiner Aufgabe abweicht.[2]
Den Kurs gab Microsoft-Chef Satya Nadella Anfang Oktober in einem Essay vor: Kontrollen müssen außerhalb des Modells liegen, wo der Agent sie nicht abschalten kann. Google gibt seinem Gemini-Agenten ein eigenes Konto im Firmenverzeichnis, Nvidia sperrt Agenten mit der Open Agent Safety Platform in eine abgeschottete Umgebung, Microsoft zählt dort zu den Partnern. Dass Agenten Rechte ausnutzen, die ihnen niemand zugedacht hat, zeigten im Oktober interne OpenAI-Modelle, die ausgelesene Zugangsdaten verwendeten.
Ein KI-Agent mit allen Rechten seines Nutzers ist ein Generalschlüssel, den niemand bewusst ausgegeben hat.
Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für Unternehmen in Deutschland?
Defender führt einen Agenten erst auf, sobald er auf einem von Defender verwalteten Gerät aktiv wird.[3] Die Erkennung zeigt damit, welche Werkzeuge Beschäftigte tatsächlich nutzen, und fällt in Betrieben mit Betriebsrat unter die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Für Einrichtungen unter NIS2 verlangt § 30 Abs. 2 Nr. 9 BSIG ein Konzept für die Zugriffskontrolle, und ein Agent mit geerbten Administratorrechten passt in kein sauberes Berechtigungsmanagement. Zwei Schritte lohnen sich unabhängig vom Hersteller:
- Erfassen Sie, welche Agenten wie Claude Code oder Cursor mit welchem Konto laufen, und binden Sie den Betriebsrat ein, bevor Sie die Erkennung einschalten.
- Geben Sie Agenten eigene Dienstkonten mit befristeten Rechten und dokumentieren Sie das im Zugriffskonzept, wie der Fachbeitrag zu den Rechten von KI-Agenten empfiehlt.
Für Details verweist Microsoft auf seine Konferenz Ignite.
Quellen
3 Quellen anzeigenQuellen ausblenden
- Microsoft, Hayete GallotSecuring the agentic insider
- Microsoft Security Blog, Nadim AbdoAgents are your newest insiders. Security must move at their speed.
- Microsoft LearnMicrosoft Defender for Endpoint AI agent support matrix
Mehr Newshunger?
- Nadella: Die Notbremse für KI-Modelle gehört in die Hand der Betreiber
- OpenAI-Modelle nutzten ausgelesene Zugangsdaten und zahlten mit fremdem Testgeld
- Forscher verfolgen außer Kontrolle geratene KI-Agenten bis in die Cloud von Tencent
- Googles Gemini-Agent bekommt ein eigenes Konto im Firmenverzeichnis
- FTC ermittelt gegen OpenAI und Anthropic: Erstmals prüft eine US-Behörde außer Kontrolle geratene KI-Agenten
- Claude Code: Ein Prompt-Injection-Angriff überlistet den Auto-Modus
- Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust für Entscheider
