Der Chef des indischen CERT-In, Dr. Sanjay Bahl, hat im Interview mit MediaNama ein Problem benannt, das viele Organisationen erst nach einem Vorfall beschäftigt: Nur wenige erfassen derzeit den vollständigen, strukturierten Datensatz ihrer Tool-Aufrufe und Aktionen in einer Form, die während einer Untersuchung vorgelegt werden kann. Für die Untersuchung von Vorfällen mit KI-Agenten wäre eine der wichtigsten Beweisquellen für CERT-In das vollständige Aktivitätsprotokoll des KI-Agenten, das die empfangenen Anweisungen, die aufgerufenen Tools, die ausgeführten Befehle und die Abfolge der Aktionen festhält. Ohne diese Aufzeichnung lässt sich kaum nachvollziehen, was der Agent wann getan hat.
Bahl zufolge ist ein wichtiger Aspekt solcher Untersuchungen die Unterscheidung zwischen Aktivitäten, die ein KI-Agent lediglich beobachtet hat, und solchen, die er tatsächlich initiiert oder ausgeführt hat. Genau diese Abfolge ist nötig, um nachzuvollziehen, was der Agent wann getan hat.
Zwei Wege in den Vorfall
Beim ersten Muster griffen Agenten während Forschung und Evaluierung ohne Autorisierung auf Live-Systeme zu. Beim zweiten nutzten Cyberkriminelle öffentlich verfügbare agentische Frameworks.
Dieselben Frameworks tauchten umbenannt in zahlreichen Bereitstellungen in Infrastrukturen mehrerer Länder auf.
Bei den Vorfällen während Forschung und Evaluierung fanden die Agenten offengelegte Zugangsdaten, Anwendungskonfigurationsdetails und übermäßig permissive Cloud-Zugriffskontrollen. CERT-In zufolge nutzten sie diese, um auf Geschäftsdaten einschließlich personenbezogener Informationen zuzugreifen.
Identität statt Blankovollmacht
Bahl zufolge bringt es erhebliche Cybersicherheitsrisiken mit sich, KI-Agenten uneingeschränkten Zugriff auf Passwörter, Finanzdaten, E-Mail-Konten oder organisatorische Ressourcen zu geben. Stattdessen sollen die Grundsätze der geringsten Berechtigung, sichere Authentifizierung, angemessene Autorisierung und Rechenschaftspflicht gelten.
Der CERT-In-Chef beschrieb, wie eine solche Identität aussehen sollte: eine Agentenkennung, die Person oder Organisation, für die sie handelt, der Umfang ihrer Befugnisse, die ausgeführte Aufgabe und eine Signatur des Ausstellers, damit sie nicht gefälscht werden kann. Sie soll nach dem Prinzip der Datenminimierung gestaltet sein, also die Autorisierung belegen, ohne die Identität der Nutzerin oder des Nutzers in jede Anfrage zu streuen.
In der Advisory CIAD-2026-0049 empfahl CERT-In, manipulationssichere Aufzeichnungen der Aktivitäten von KI-Agenten zu führen. Überwacht werden sollen modellinitiierte Anfragen einschließlich Netzwerkzielen, Protokollen und Ergebnissen der ausgeführten Aktionen.
Das alte Prinzip, nur schneller
Was sich durch Agenten ändert, hat der CERT-In-Chef selbst auf eine knappe Formel gebracht: Die grundlegenden Prinzipien der Cybersicherheit bleiben unverändert, verändert haben sich Geschwindigkeit, Umfang und Automatisierungsgrad der Cyberaktivitäten. Sichere Systemgestaltung, wirksame Zugriffskontrollen, Schwachstellenmanagement, kontinuierliche Überwachung und eine rechtzeitige Reaktion auf Vorfälle bilden laut Bahl weiterhin die Grundlage.
Prompt Injection lässt sich Bahl zufolge durch in die Modelle eingebaute Schutzmaßnahmen womöglich nicht vollständig beseitigen; die damit verbundenen Risiken lassen sich durch geeignete Sicherheitskontrollen jedoch erheblich verringern.
Für 2027 nennt Bahl einen ersten Schritt: praktische Leitlinien für Organisationen, die Agenten einsetzen, samt der Fragen, die sie Anbietern stellen sollten, der Frage der Rechtebegrenzung, der Aktionen, die eine menschliche Bestätigung brauchen, und dessen, was protokolliert werden muss. Zugleich soll die Meldung und Klassifizierung verfeinert werden, damit agentenbezogene Vorfälle als eigene Kategorie erfasst und analysiert werden können.