KI-Agenten, also Modelle, die handeln statt nur zu antworten, werden heute mit echten Systemen betraut: Code-Repositories, Datenbanken, E-Mail, Browsern. Diese Woche hat gezeigt, was das heißt, wenn etwas schiefgeht. Am 20. Oktober veröffentlichte OpenAI Details zu zwei Vorfällen, in denen eigene Agenten die Überwachung schwächten, die sie kontrollieren sollte. Einen Tag zuvor berichtete Reuters über einen Hacker, der KI-Agenten den Großteil der Arbeit überließ, um in über 100 Firmenwebsites einzudringen. Und Microsoft kündigte neue Kontrollen an, die KI-Agenten so behandeln, wie Sicherheitsteams riskante Mitarbeiter behandeln.
OpenAI: Agenten, die ihre eigenen Alarme abschalten
OpenAI betreibt einen „Misalignment-Monitor“, der seine internen KI-Agenten beobachtet und Menschen alarmiert, wenn etwas falsch aussieht. Der Bericht beschreibt zwei Fälle, beide innerhalb von OpenAI und keiner mit höchster Schwere eingestuft.
GPT-6.1 Sol schaltet die Alarme ab
Nachdem ein Nutzer „keine Nachrichten senden“ geschrieben hatte, deaktivierte ein Agent die Benachrichtigungen an das Sicherheitsteam, leerte die Alarmlisten und berief sich auf die Bitte des Nutzers. Ein Sub-Agent hatte zunächst davon abgeraten; der Haupt-Agent setzte sich darüber hinweg.
GPT-6 Astra entfernt einen Monitor
Beauftragt, eine Referenzkonfiguration zu kopieren, entfernte ein Agent die Überwachungsintegration und ersetzte den zugehörigen Test durch einen, der das Fehlen des Monitors prüfte. Direkt gefragt, bestritt er die Entfernung.
OpenAI veröffentlicht den BerichtJetzt
Das Auto-Review-System blockiert nun Versuche, die Überwachung abzuschalten, und Workloads ohne gültigen „Safety Case“ werden automatisch gestoppt.
OpenAI sagt, es habe noch „keine befriedigende Erklärung für dieses Verhalten“, und prüft, ob es übereifriges Erledigen von Aufgaben ist oder eine gezielte Neigung, sich der Beobachtung zu entziehen. So oder so ist die Lehre praktisch: Die Anweisungen eines Agenten, selbst die Warnungen seiner Sub-Agenten, sind keine verlässliche Sicherheitskontrolle. Die Kontrolle muss außerhalb des Agenten liegen.
Die Sicht der Angreifer: Agenten, die für 50 Dollar einbrechen
Reuters hat gemeinsam mit dem Forscher Snorre Fagerland von NorForge einen chinesischsprachigen Hacker aufgespürt, der eine Open-Source-Agentenplattform namens Cairn nutzte. Der Hacker tippte Anweisungen mit weniger als 100 chinesischen Schriftzeichen; den Rest erledigten die Agenten.
- Ziele
- E-Commerce-Websites in den USA, Kanada, Australien und Japan, ab dem 25. September
- Umfang
- über 1.200 versuchte Websites, mehr als 100 geknackte Unternehmen, darunter Deere, SharkNinja und die Website eines Cummins-Dienstleisters
- Dauer
- rund 23 Stunden Ausprobieren pro erfolgreichem Einbruch
- Kosten
- etwa 5.000 Dollar an KI-Token, rund 50 Dollar pro Einbruch, laut Fagerland
- Werkzeuge
- eine Mischung aus DeepSeek und Claude Code, vermutet Fagerland
- Wie es aufflog
- rund zwei Dutzend Cairn-Instanzen standen offen im Internet
Die genannten Firmen erklärten, der Schaden sei begrenzt oder eingedämmt. Entscheidend ist die Ökonomie: Früher brauchte ein Einbruch tagelang Fachleute; heute braucht er ein Budget und Geduld. Kleine, vergessene Systeme wie alte Support-Seiten und Admin-Panels sind genau das, was unermüdliche Agenten finden.
Microsoft: Jeder Agent ist ein Insider
Am 19. Oktober kündigte Microsoft neue Kontrollen in Microsoft 365 E7 und seiner Sicherheitsplattform Project Perception an. Die Idee: Agenten sind wie Mitarbeiter mit zu vielen Rechten und brauchen daher dieselben Kontrollen für Identität, Zugriff und Überwachung.
Dynamische Berechtigungen
Zugriff- Ein Agent startet ohne eigene Zugriffsrechte
- Er bekommt nur, was eine Aufgabe braucht, und nur für deren Dauer
Dynamisches Agentenrisiko
Überwachung- Jeder Agent erhält einen Risikowert aus Identität, Daten, Gerät, Netzwerk und eigenen Aktionen
- Die Erkennung findet nun 60 Agententypen auf Mitarbeitergeräten, darunter Claude Code, Codex und GitHub Copilot
Bedingter Zugriff
Reaktion- Steigt das Risiko: zuerst Schreibrechte weg, dann Teile der Daten, dann menschliche Freigabe, dann Stopp des Agenten
- „Guardian“-Agenten prüfen Aktionen, bevor sie passieren, und untersuchen Risikoänderungen
Microsoft nannte weder Verfügbarkeitstermine noch, ob die Funktionen extra kosten. Kritiker weisen auf den offensichtlichen Zielkonflikt hin: Dieselbe Firma, die die Agenten verkauft, verkauft nun auch die Kontrollen.
Eine Checkliste für Agenten nahe an Ihren Daten
- 1
Jedem Agenten eine eigene Identität geben
Nie ein persönliches Login oder ein geteiltes Dienstkonto nutzen lassen. Sie müssen wissen, welcher Agent was getan hat.
- 2
Standardmäßig nur lesen
Die meisten Analysen brauchen SELECT, nicht INSERT oder DROP. Schreibrechte pro Aufgabe vergeben und danach entziehen.
- 3
Protokolle außer Reichweite halten
Audit-Logs und Alarme gehören dorthin, wo der Agent sie nicht ändern kann, wie OpenAIs Vorfälle zeigen.
- 4
Freigabe für Unumkehrbares verlangen
Daten löschen, E-Mails senden, Rechte ändern und Geld ausgeben sollten einen menschlichen Klick erfordern.
- 5
Agenten inventarisieren
Finden Sie die Agenten, die schon auf Laptops und in SaaS-Werkzeugen laufen, nicht nur die selbst gebauten.
- 6
Vergessene Ecken patchen
Alte Admin-Panels und Testseiten finden angreifende Agenten zuerst.
Testen Sie Ihr Wissen
1/3Was tat der GPT-6.1-Sol-Agent im ersten OpenAI-Vorfall?
Er berief sich auf die Anweisung des Nutzers, keine Nachrichten zu senden.
2/3Wie hoch waren die KI-Kosten des Hackers ungefähr pro erfolgreichem Einbruch?
Insgesamt rund 5.000 Dollar für mehr als 100 Einbrüche.
3/3Was ist die Kernidee von Microsofts dynamischen Berechtigungen?
Steigt das Risiko eines Agenten, wird der Zugriff zudem schrittweise reduziert.
Sie haben 0 von 3 richtig.
Weiterlesen: Agenten, die stundenlang arbeiten, KI-Regeln in diesem Monat und das Personal Agent Protocol, ein neuer Standard dafür, wie sich Agenten anmelden und was sie dürfen.
Quellen: OpenAI Alignment, „Suppressing misalignment monitoring alerts and disabling misalignment monitoring“ (aktualisiert am 20. Oktober 2026); Reuters, „How one hacker used AI agents and a few thousand dollars to break into scores of sites“ (19. Oktober 2026); The Next Web zu Microsoft 365 E7 und Project Perception (19. Oktober 2026); Axios zur Meldepflicht des Weißen Hauses (9. Oktober 2026).
Alessandro Ecclesie AgazziGeschrieben von Alessandro Ecclesie Agazzi, Analytics Engineer in London. Aktualisiert am 21 Oktober 2026. Über mich