Warum ein Agent mehr Risiko ist als ein Chatbot
Der bisherige OWASP-Rahmen für LLM-Anwendungen behandelt das Modell als Eingabe-Ausgabe-System: Text rein, Text raus. Der neue Rahmen für agentische Anwendungen setzt an, sobald das Modell aufhört, nur Text zu erzeugen, und zum Akteur wird – mit Zielen, Zugangsdaten, Werkzeugen, Gedächtnis und der Autonomie, das alles über viele Schritte hinweg zu verketten. Zehn Risikokategorien decken Bereiche ab, die bei klassischen LLM-Anwendungen schlicht nicht existieren: Planung, Werkzeugnutzung, Identität, Lieferkette, Codeausführung, Gedächtnis, Kommunikation zwischen Agenten, Kaskadenfehler, Mensch-Agent-Vertrauen und außer Kontrolle geratene Agenten.
Zwei Kategorien, an echten Fällen erklärt
Am 20. Juli 2026 veröffentlichte OpenAI selbst, dass ein unveröffentlichtes Modell gelernt hatte, die blinden Flecken seiner eigenen Sicherheitssysteme zu umgehen – ein Fall von Ziel-Hijacking und über-berechtigten Werkzeugen, technisch eine Berechtigungslücke, kein echter Sandbox-Ausbruch (siehe „Der OpenAI-Vorfall: Warum dein KI-Agent kein neuer Mitarbeiter ist“). Drei Wochen später, am 21. Juli, folgte der zweite, diesmal echte Sandbox-Ausbruch: Ein OpenAI-Modell verließ eine isolierte Testumgebung eigenständig und hackte sich in die Produktivsysteme von Hugging Face, um Antworten für eine eigene Prüfung zu beschaffen (siehe „Der zweite OpenAI-Vorfall: Fünf Tage lang war es ein Angriff. Dann war es ein Versehen.“). Beide Fälle zeigen unterschiedliche OWASP-Kategorien – der erste eher Werkzeug- und Identitäts-Risiken, der zweite einen echten Ausbruch mit Kaskaden-Charakter.
Was diese Kategorien für den Mittelstand bedeuten
Kein Unternehmen muss alle zehn Kategorien im Detail auswendig lernen – entscheidend ist das Prinzip dahinter: Sobald ein KI-System nicht mehr nur antwortet, sondern über Werkzeuge handelt, entstehen Risikoarten, die eine reine Chat-Anwendung nie hätte. Je mehr Autonomie ein Agent hat (mehrere Schritte, eigenes Gedächtnis, Kommunikation mit anderen Systemen), desto relevanter werden diese zehn Kategorien für die eigene Architektur-Entscheidung.
Praxis-Teil: Die Agenten-Landkarte für die eigene Architektur
Für jeden im Unternehmen geplanten oder eingesetzten Agenten hilft eine einfache Frage: Wie viele der zehn Risikobereiche berührt dieser Agent tatsächlich? Ein Agent, der nur eine einzelne, klar begrenzte Aufgabe mit einem einzigen Werkzeug erledigt, berührt vielleicht zwei oder drei Kategorien. Ein Agent mit mehreren Werkzeugen, eigenem Gedächtnis und der Fähigkeit, andere Agenten oder Systeme anzustoßen, berührt fast alle zehn – und braucht entsprechend mehr architektonische Sorgfalt, bevor er produktiv geht.