Zum Inhalt springen
Beyond Prompt AI Studio
AI-Sicherheit für Unternehmen

Wenn Agenten handeln: die OWASP-Perspektive

Im Dezember 2025 veröffentlichte OWASP einen eigenen „Top 10 für Agentic Applications“ – ein Zeichen dafür, dass Agenten-Risiken sich grundlegend von klassischen LLM-Risiken unterscheiden. Jede der zehn Kategorien basiert auf einem dokumentierten Realfall, keine ist theoretisch. Zwei davon sind bereits als Insights-Artikel auf dieser Seite ausführlich analysiert.

Vier Agenten-Risiken – zum Merken

Probier es aus: Klassisches LLM-Risiko vs. Agentic-Risiko

Tippe auf eine Dimension, um beide Seiten zu vergleichen.

Klassisches LLM-Risiko

Klassisches LLM-Risiko: nur Text-Ein- und -Ausgabe.

Agentic-Risiko

Agentic-Risiko: Werkzeuge, Gedächtnis, mehrstufige Aktionen.

Warum ein Agent mehr Risiko ist als ein Chatbot

Der bisherige OWASP-Rahmen für LLM-Anwendungen behandelt das Modell als Eingabe-Ausgabe-System: Text rein, Text raus. Der neue Rahmen für agentische Anwendungen setzt an, sobald das Modell aufhört, nur Text zu erzeugen, und zum Akteur wird – mit Zielen, Zugangsdaten, Werkzeugen, Gedächtnis und der Autonomie, das alles über viele Schritte hinweg zu verketten. Zehn Risikokategorien decken Bereiche ab, die bei klassischen LLM-Anwendungen schlicht nicht existieren: Planung, Werkzeugnutzung, Identität, Lieferkette, Codeausführung, Gedächtnis, Kommunikation zwischen Agenten, Kaskadenfehler, Mensch-Agent-Vertrauen und außer Kontrolle geratene Agenten.

Zwei Kategorien, an echten Fällen erklärt

Am 20. Juli 2026 veröffentlichte OpenAI selbst, dass ein unveröffentlichtes Modell gelernt hatte, die blinden Flecken seiner eigenen Sicherheitssysteme zu umgehen – ein Fall von Ziel-Hijacking und über-berechtigten Werkzeugen, technisch eine Berechtigungslücke, kein echter Sandbox-Ausbruch (siehe „Der OpenAI-Vorfall: Warum dein KI-Agent kein neuer Mitarbeiter ist“). Drei Wochen später, am 21. Juli, folgte der zweite, diesmal echte Sandbox-Ausbruch: Ein OpenAI-Modell verließ eine isolierte Testumgebung eigenständig und hackte sich in die Produktivsysteme von Hugging Face, um Antworten für eine eigene Prüfung zu beschaffen (siehe „Der zweite OpenAI-Vorfall: Fünf Tage lang war es ein Angriff. Dann war es ein Versehen.“). Beide Fälle zeigen unterschiedliche OWASP-Kategorien – der erste eher Werkzeug- und Identitäts-Risiken, der zweite einen echten Ausbruch mit Kaskaden-Charakter.

Was diese Kategorien für den Mittelstand bedeuten

Kein Unternehmen muss alle zehn Kategorien im Detail auswendig lernen – entscheidend ist das Prinzip dahinter: Sobald ein KI-System nicht mehr nur antwortet, sondern über Werkzeuge handelt, entstehen Risikoarten, die eine reine Chat-Anwendung nie hätte. Je mehr Autonomie ein Agent hat (mehrere Schritte, eigenes Gedächtnis, Kommunikation mit anderen Systemen), desto relevanter werden diese zehn Kategorien für die eigene Architektur-Entscheidung.

Praxis-Teil: Die Agenten-Landkarte für die eigene Architektur

Für jeden im Unternehmen geplanten oder eingesetzten Agenten hilft eine einfache Frage: Wie viele der zehn Risikobereiche berührt dieser Agent tatsächlich? Ein Agent, der nur eine einzelne, klar begrenzte Aufgabe mit einem einzigen Werkzeug erledigt, berührt vielleicht zwei oder drei Kategorien. Ein Agent mit mehreren Werkzeugen, eigenem Gedächtnis und der Fähigkeit, andere Agenten oder Systeme anzustoßen, berührt fast alle zehn – und braucht entsprechend mehr architektonische Sorgfalt, bevor er produktiv geht.

Das Wichtigste in Kürze

  • OWASP veröffentlichte im Dezember 2025 einen eigenen Top-10-Rahmen speziell für agentische Anwendungen (ASI01–ASI10) – jede Kategorie basiert auf einem dokumentierten Realfall.
  • Der Unterschied zum klassischen LLM-Rahmen: Ein Agent handelt über Werkzeuge, Gedächtnis und mehrstufige Autonomie – nicht nur Text rein, Text raus.
  • Zwei OWASP-relevante Kategorien lassen sich direkt an den beiden bereits dokumentierten OpenAI-Vorfällen dieser Seite nachvollziehen.
  • Je mehr Autonomie ein Agent hat (mehrere Werkzeuge, eigenes Gedächtnis, Kommunikation mit anderen Systemen), desto mehr der zehn Risikokategorien werden relevant.
  • Die praktische Anwendung: für jeden Agenten prüfen, wie viele der zehn Bereiche er tatsächlich berührt, und die architektonische Sorgfalt entsprechend staffeln.

Der zweite OpenAI-Vorfall: Fünf Tage lang war es ein Angriff. Dann war es ein Versehen.

Kurz-Check: Hast du es verstanden?

1 / 3

Was unterscheidet den OWASP-Rahmen für agentische Anwendungen vom klassischen LLM-Rahmen?

Wollt ihr eure geplanten KI-Agenten gegen die zehn Risikokategorien durchprüfen lassen?