Das Whitepaper von Anthropic beginnt mit einer Aussage, die die Vergangenheit und Gegenwart von KI und Datensicherheit darstellt: „Die Perimeter-basierte Verteidigung der Cyber-Security kann mit modernen Bedrohungen nicht Schritt halten und die Bedrohungen selbst nehmen immer schneller zu.“
Die erste Hälfte trifft seit Jahren zu. Social Engineering hat Malware als bevorzugte Angriffsmethode abgelöst. Gestohlene Zugangsdaten spielen in 86 % aller Sicherheitsverstößen eine Rolle und umgehen Perimeter-basierte Cyber-Security-Maßnahmen vollständig.
Der zweite Teil trifft nunzu. KI beschleunigt die Bedrohungen – sie gibt Angreifern mehr Tools zum Skalieren von Social Engineering an die Hand und offenbart das gesamte Ausmaß des potenziellen Schadens, das gesamte Volumen der Daten, die eine einzelne kompromittierte Identität erreichen kann. Angreifer umgehen die Anwendungskontrollen, die vorher zwischen Identitäten und Daten standen, stellen eine direkte Verbindung zu Datenbanken, APIs und Datenspeichern her und greifen mit Maschinengeschwindigkeit auf Daten zu.
Anthropics Antwort ist die Anwendung von Zero Trust auf Agenten.
Die sechs Säulen des Zero-Trust-Rahmens von Anthropic
Die Zero Trust-Philosophie – null Vertrauen, alles verifizieren, annehmen, dass ein Sicherheitsverstoß bereits stattgefunden hat – ist seit den frühen 1990er Jahren eine Sicherheitsphilosophie. Es ist eine bewährte Grundlage. Anthropic argumentiert, dass dieses Prinzip eine neue Gestaltung für Agentic Systeme benötigt: „Identitäten, die kryptografisch verankert sind, Berechtigungen pro Aufgabe zuweisen, vor Manipulation geschützter Speicher und Abwehrmaßnahmen, die mit der Geschwindigkeit autonomer Angreifer ausgeführt werden.“
Das Whitepaper legt ein praktisches Framework dar, das um sechs Kernsäulen herum geordnet ist:
- Agentenidentität und -authentifizierung: Übergang von der Identität des Menschen bzw. des Nutzers hin zu einer kryptografisch verankerten Agentenidentität. Jeder Agent muss einen verifizierbaren Nachweis darüber mit sich führen, was er ist, wer ihn bereitgestellt hat und wozu er berechtigt ist.
- Verwaltung von Zugriffskontrolle und Berechtigungen: Ersetzen Sie rollenbasierten Zugriff durch Berechtigungen, die auf einzelne Aufgabe begrenzt sind. Ein Agent, der befugt ist, eine Datenbank für eine Abfrage zu lesen, sollte diesen Zugriff für nicht für die nächste behalten.
- Beobachtbarkeit und Überprüfung: Umfassende Protokollierung und Monitoting des Agentenverhaltens, der Tool-Aufrufe und des Datenzugriffs.
- Monitoring des Verhaltens und Reaktion: Kontinuierliche Analyse der Agentenaktionen zur Erkennung anomaler, bösartiger oder nicht richtlinienkonformer Muster – mit Maschinengeschwindigkeit, nicht mit menschlicher Geschwindigkeit.
- Eingabevalidierung und Ausgabekontrollen: Verteidigung gegen Prompt-Injektion, Tool-Manipulation und Datenlecks an jeder Agentengrenze.
- Integrität und Wiederherstellung: Schutz des Agentenspeichers vor Manipulation und Sicherstellung, dass Systeme sich von der Kompromittierung erholen können.
Anthropic identifiziert auch die konkreten Bedrohungen, durch die Agenten sich von traditioneller IT unterscheiden: Prompt Injektion, Tool-Manipulation, Missbrauch von Identität und Berechtigungen, Speicher-Manipulation und Angriffe auf die Lieferkette.
Dies ist nicht theoretisch. Frontier-KI-Modelle sind bereits in der Lage, mehrere Schwachstellen miteinander zu verketten und innerhalb von Stunden funktionsfähige Exploits zu generieren und einen Zeitrahmen zu verkürzen, der früher Monate dauerte.
Angriffsabläufe wie „Neuer Prompt“ werden bereits verwendet, um KI-Systeme gegen die Organisationen zu richten, die sie einsetzen. Abdiel Santos, Spezialist für KI-Angriffe bei Varonis, führte vor kurzem ein KI-Angriffslabor aus, um zu demonstrieren, wie das Verhalten von Chatbots und Agenten umgelenkt werden kann, um unbefugte Aktionen durchzuführen.
Das Framework von Anthropic ordnet diese sechs Kernsäulen in drei Stufen von Reifegrad ein – grundlegend, erweitert und optimiert – und skizziert einen Implementierung-Workflow in acht Phasen, der Identität, Zugangsfestlegung, Sandboxing, Eingabe-/Ausgabekontrollen und Speicherschutzmaßnahmen abdeckt. Er führt außerdem das Konzept von Agentic SOAR ein: Sicherheitsorchestrierung, Automatisierung und Reaktion, die schnell genug ausgeführt werden, um mit KI-beschleunigten Angreifern zu konkurrieren.
Es ist ein gut organisierter und nützlicher Ausgangspunkt für jede Organisation, die Agenten einsetzt. Wir empfehlen Ihnen,es zu lesen.
Das Framework ist solide. Durchsetzung ist entscheidend.
Das „Zero Trust for AI Agents“-Framework von Anthropic ordnet das Was zu. Die nächste Frage, die sich jede Organisation stellen sollte, lautet:„Wie?“ Wie kann man „Zero Trust for AI Agents“ in einer sich ausbreitenden, heterogenen KI-Umgebung tatsächlich durchsetzen?
Wir teilen die Überzeugung von Anthropic, dass KI-Sicherheit einen grundlegend anderen Ansatz erfordert. Wie David Gibson, unser Senior Vice President für strategische Programme, schreibt: KI schafft keine neuen Datenrisiken – sie verstärkt die vorhandenen. Übermäßige Berechtigungen, die jahrelang ungenutzt blieben, werden kritisch, sobald ein Agent sie übernimmt. Sensitive Daten, die theoretisch zugänglich waren, werden praktisch offengelegt, wenn ein KI-Agent sie finden, analysieren und innerhalb von Sekunden darauf reagieren kann.
Die erste Reaktion der Sicherheitsbranche bestand darin, KI-spezifische Kontrollen auf bestehende Stapel zu setzen: Prompt-Filter, Modellscanner und eigenständige Inventare. Diese behandeln die KI-Schicht. Sie übersehen die Datenschicht. Und es ist die Datenschicht, wo der Schaden angerichtet wird.
Hier kommt Varonis Atlas ins Spiel.
Wie Varonis Atlas Zero Trust für KI-Agenten durchsetzt
Varonis Atlas ist eine vollständige KI-Sicherheitsplattform. Mit Atlas verfügen Unternehmen über die notwendigen Funktionen, um Zero Trust für KI-Agenten über den gesamten Sicherheitslebenszyklus hinweg durchzusetzen.
So ordnet sich Atlas in das von Anthropic skizzierte Framework ein – und wo es darüber hinausgeht.
Entdecken: KI-Inventar und Shadow AI
Das Least-Privilege-Prinzip lässt sich für Agenten durchsetzen, von denen Sie nicht wissen, dass sie existieren. Atlas entdeckt kontinuierlich KI-Systeme in Cloud, SaaS, Code-Repositorys und KI-Plattformen, einschließlich Shadow AI, um ein komplettes, lebendiges Inventar von Agenten, Modellen und deren Datenzugriff aufzubauen.
Entdeckung ist grundlegend. Die Sicherheitslage kann nicht bewerten, was nicht bekannt ist. Monitoring kann nicht beobachten, was nicht sichtbar ist. Governance kann nicht kontrollieren, was nicht dokumentiert ist.
Bewerten: Verwaltung der KI-Sicherheitslage (AI-SPM)
Anthropic fordert eine kontinuierliche Beurteilung der Konfigurationen, Berechtigungen und Abhängigkeiten von Agenten. Atlas AI-SPM führt dies für Agenten, Chatbots und Modelle durch und identifiziert Schwachstellen, Fehlkonfigurationen und riskantes Daten Exposure.
Der Unterschied ist der Datenkontext. Zu wissen, dass ein Agent Zugriff auf SharePoint haben kann, ist eine Sache. Zu wissen, dass er auf Millionen sensibler Aufzeichnungen zugreifen kann, ist eine andere. Dieser Kontext wandelt die Haltung in eine echte Risikobewertung um.
Durchsetzen: Schutzvorkehrungen für KI-Ausführungszeit
Sichtbarkeit allein ist nicht Zero Trust. Atlas setzt Echtzeit-Schutzvorkehrungen über ein KI-Gateway im Anfragepfad ein und untersuche Prompts, Antworten und Agentenaktionen, bevor sie Modelle oder nachgelagerte Systeme erreichen. Diese Kontrollen blockieren das Exposure sensitiver Daten und nicht sicherem Verhalten – ohne dass Änderungen an den zugrunde liegenden Anwendungen erforderlich sind.
Da Atlas den Ausführungsfluss und die Toolketten versteht, geht es über die Schlüsselwort-Filterung hinaus, um indirekte Lecks und Tool-Verkettung-Angriffe zu stoppen, wie sie im Framework von Anthropic beschrieben sind.
Governance: KI-Compliance und Risiken durch Dritte
Anthropic betont die Ausrichtung auf Compliance. Atlas setzt sie um. Atlas ordnet KI-Systeme den Frameworks wie der EU-KI-Verordnung und NIST AI RMF mit revisionssicheren Nachweisen aus Live-Aktivitäten, Ergebnissen zur Sicherheitslage und Ausführung-Logs zu.
Zero Trust geht auch über interne Systeme hinaus. Atlas bewertet kontinuierlich Drittanbieter-KI-Anbieter und kombiniert Inventar, Fragebögen und KI-Stücklisten, um externe Risiken zu identifizieren und zu verwalten.
Beobachten: Monitoring, Erkennung und Reaktion auf KI-Aktivitäten
Anthropic hebt die Beobachtbarkeit als grundlegend hervor. Atlas bietet vollständige Sichtbarkeit des KI-Verhaltens in der Produktion und erfasst Prompts, Antworten, Agentenaktionen und Datenzugriff.
KI Erkennung und Reaktion identifiziert nicht sicheres oder bösartiges Verhalten in Echtzeit und wird aktive: Alarmierung, Blockierung und Integration in SIEM- und SOAR-Workflows, um Reaktionen in Maschinengeschwindigkeit zu ermöglichen.
Test: KI-Pen-Testen
Agenten sind dynamisch. Sobald ein Agent im Einsatz ist, treten selbst bei gut durchdachten Kontrollen Lücken auf.
Atlas testet kontinuierlich KI-Systeme mit gegnerischen Prompts und realen Angriffssimulationen, einschließlich Prompt-Injection und Jailbreaks. Die Ergebnisse fließen direkt in Schutzmaßnahmen und Richtlinien ein und schließen den Kreislauf vom Testen zum Schutz.
Zero Trust für KI-Agenten benötigt Datenkontext
Eine Sache überlässt das Framework von Anthropic notwendigerweise den Implementierern: die Datenschicht. Das Framework befasst sich mit Agentenverhalten, Identität und Zugriffskontrolle, aber KI-Sicherheit ohne Datensicherheit lässt den größten Risikovektor unberücksichtigt.
Ein Agent kann alle Zero Trust-Kontrollen durchlaufen – Authentifizierung, Autorisierung, Bereichsbeschränkung und Monitoring – und dennoch unbemerkt auf vier Millionen Kundendatensätze zugreifen, da die zugrunde liegenden Daten übermäßig offengelegt sind.
Da Atlas auf der Varonis Data Security Platform basiert, bietet es einen Datenkontext, mit dem eigenständige KI-Sicherheitstools nicht mithalten können. Bewertung des Sicherheitsstatus unter Berücksichtigung des tatsächlichen Datenkontexts. Auf der Klassifizierung basierende Schutzmaßnahmen. Monitoring, angereichert mit Identitäts- und Vertraulichkeitsinformationen. Compliance-Nachweise, die die Datenherkunft einbeziehen und nicht nur die Metadaten des KI-Systems.
Zero Trust für KI-Agenten ist ein starkes Framework. Seine Durchsetzung erfordert sowohl der Schutz von KI als auch der Daten, auf denen sie basiert.
Hinweis: Dieser Blog wurde mit Hilfe von KI übersetzt und von unserem Team überprüft.
