Agenten haben Credentials, rufen Tools auf und handeln ohne einen Menschen im Loop. Die meisten wurden so eingerichtet, dass sie funktionieren, nicht so, dass sie sicher sind.
Wie Agent-Setups abdriften
Ein Agent startet mit einem Tool und einem Service-Account. Sechs Monate später hat er zwölf Tools, einen geteilten API-Key, den drei andere Systeme nutzen, und Schreibzugriff, an dessen Vergabe sich niemand erinnert. MCP-Server kommen mit Standard-Vertrauen dazu. Niemand kann sagen, was der Agent darf, geschweige denn, wer es freigegeben hat.
Wo Angriffe hereinkommen
Nicht über das Chatfenster. Über die Dokumente, die der Agent abruft, die Tickets, die er liest, die Tool-Ausgaben, denen er vertraut. Eine Anweisung, die in einem PDF versteckt ist, bleibt eine Anweisung. Indirekte Prompt Injection macht jede Datenquelle zur Angriffsfläche, und ein überberechtigter Agent macht daraus echte Aktionen.
Eine Anweisung, die in einem PDF versteckt ist, bleibt eine Anweisung.
Was wir tun
Wir inventarisieren jeden Agenten, seine Identitäten und Tools, und bauen ein Bedrohungsmodell. Dann Least Privilege: begrenzte Identitäten pro Agent, Berechtigungen pro Tool, Ausgabe- und Rate-Limits, isolierte MCP-Server. Wir härten gegen Injection, ergänzen Freigabe-Gates für folgenreiche Aktionen und machen jeden Tool-Aufruf nachvollziehbar. Euer Team setzt die Findings um, oder wir bauen die Guardrails mit euch.