Zustandsbehaftete Sicherheitsüberwachung stoppt Split-Angriffe auf Agenten

Kurz gesagt: Da Agenten mit langem Kontext ihren Speicher komprimieren, nutzen Angreifer diese Verdichtungen durch Split-Angriffe aus, um statische Prüfungen zu umgehen. Zustandsbehaftete Sicherheitsüberwachung, die Bedrohungsmarkierungen über diese Speicherverschiebungen hinweg mitführt, ist heute eine unverzichtbare Verteidigung für Unternehmens-KI.

Wo wir stehen

Die zustandsbehaftete Sicherheitsüberwachung ist die Praxis, den Speicherverlauf eines KI-Agenten über mehrere Interaktionen hinweg zu verfolgen und zu annotieren, um fragmentierte böswillige Absichten zu erkennen. Der Übergang von passiven Chatbots zu autonomen Programmieragenten in Unternehmen eröffnet eine völlig neue Angriffsfläche. Um innerhalb der Rechengrenzen zu funktionieren und die hohen Inferenzkosten zu bewältigen, müssen Agenten mit langem Kontext ihren internen Speicher regelmäßig komprimieren. Diese betriebliche Notwendigkeit schafft einen massiven blinden Fleck für Sicherheitsteams in Unternehmen, die sich noch immer auf Standard-Firewall-Regeln und statisches Prompt-Scanning verlassen.

Laut einer aktuellen Analyse, Catching split attacks across compactions in long-context coding agents, wird diese Schwachstelle bereits ins Visier genommen. Angreifer nutzen die Speicherkomprimierung aus, indem sie „Split-Angriffe“ einsetzen – die bewusste Aufteilung bösartiger Anweisungen in harmlos wirkende, fragmentierte Teile. Diese einzelnen Fragmente umgehen bei der Eingabe standardmäßige Sicherheitsprüfungen, da sie keine inhärent gefährliche Syntax enthalten. Sie werden erst später ausgeführt, wenn der Agent sie während eines Speicherkomprimierungszyklus autonom zusammensetzt. Die Forschungsarbeit stellt den LCM-Datensatz vor, um verschiedene Überwachungsstrategien gegen diese spezifische Bedrohung zu evaluieren. Die Ergebnisse belegen, dass eine Strategie mit annotiertem Verlauf, die im Wesentlichen als zustandsbehaftete Sicherheitsüberwachung fungiert, 93 % dieser fragmentierten bösartigen Aktionen in Agenten mit langem Kontext erfolgreich abfängt.

Die wirkenden Kräfte

Die zustandsbehaftete Sicherheitsüberwachung verändert grundlegend, wie wir KI-Risiken bewerten und steuern. Traditionelle Sicherheitsarchitekturen in Unternehmen sind in Bezug auf API-Gateways und Web Application Firewalls weitgehend zustandslos. Sie prüfen eine eingehende Anfrage, stellen fest, ob sie eine bekannte Signatur oder bösartige Absicht enthält, und blockieren oder erlauben den Datenverkehr. Ein autonomer KI-Agent ist jedoch kein zustandsloser Endpunkt; er ist eine logisch denkende Engine, die Kontext aufbaut, Pläne formuliert und Aktionen über längere Zeitfenster hinweg ausführt.

In einer typischen Unternehmensumgebung ist ein KI-Agent selten isoliert. Er ist tief in zentrale Geschäftsabläufe integriert und verfügt über aktive Berechtigungen, um interne Datenbanken abzufragen, CRM-Systeme zu aktualisieren oder Code in Produktions-Repositories zu übertragen. Wenn ein Angreifer einem Programmieragenten am Montag eine harmlose Funktionsdefinition und am Dienstag einen ebenso harmlosen Auslöser übergibt, sieht ein zustandsloser Scanner zwei vollkommen sichere Interaktionen. Der Agent kombiniert sie jedoch am Mittwoch während eines Komprimierungszyklus und führt einen Payload aus, der niemals in seiner vollständigen, zusammengesetzten Form gescannt wurde.

Diese zeitliche Lücke ist der Hauptgrund für den Bedarf an neuen Sicherheitsparadigmen in Unternehmen. Während Organisationen ihre Agentic Process Automation skalieren, erhalten diese Agenten zunehmend tieferen Zugriff auf kritische Infrastrukturen. Die hohen finanziellen und rechnerischen Kosten für den Betrieb dieser Workflows mit langem Kontext zwingen Entwicklungsteams dazu, aggressive Techniken zur Speicherkomprimierung und Zusammenfassung zu implementieren. Jedes Mal, wenn ein Agent seinen Verlauf zusammenfasst, um Tokens zu sparen, wird der ursprüngliche Eingabetext in eine verdichtete semantische Darstellung transformiert. Wenn Sicherheitsmarkierungen und Risikobewertungen nicht mit der semantischen Bedeutung dieses Textes mitreisen, verliert das Unternehmen jegliche Sichtbarkeit darüber, was der Agent tatsächlich vorzubereiten gedenkt. Ein Chief Information Security Officer kann ein autonomes System nicht freigeben, wenn die systemeigene Speicheroptimierungsroutine bösartige Absichten aktiv vor den Prüfprotokollen des Unternehmens verbirgt.

Szenarien für zustandsbehaftete Sicherheitsüberwachung

Da dieser Bedrohungsvektor sowohl von Angreifern als auch von Unternehmensverteidigern immer besser verstanden wird, wird die Einführung der zustandsbehafteten Sicherheitsüberwachung in Unternehmen in den nächsten achtzehn Monaten wahrscheinlich einer von drei Entwicklungen folgen.

Basisszenario: Die Flickenteppich-Verteidigung Die meisten Organisationen behandeln autonome Agenten weiterhin wie einfache Konversationsmodelle und setzen zu deren Absicherung Standard-API-Gateways und grundlegende Prompt-Scanner ein. Wenn diese Agenten auf komplexe, langlaufende Aufgaben skaliert werden, lassen sich Split-Angriffe erfolgreich ausführen, da der Sicherheitsebene das zeitliche Bewusstsein fehlt. Das Ergebnis ist eine Reihe von aufsehenerregenden, stillen Sicherheitsverletzungen, bei denen Agenten autonom bösartigen Code ausführen oder geistiges Eigentum exfiltrieren. Diese Vorfälle führen zu plötzlichen, vom Vorstand angeordneten Stopps bei der Einführung von Unternehmens-KI, was das Vertrauen der Führungsetage in die Automatisierung zerstört und Zeitpläne für die digitale Transformation um Jahre zurückwirft.

Beschleunigt: Native Orchestrierungs-Sicherheit Führende Unternehmen erkennen die Grenzen des statischen Scannens und schreiben eine zustandsbehaftete Sicherheitsüberwachung direkt auf der Orchestrator-Ebene vor. Anstatt Eingaben zustandslos zu prüfen, annotiert das System den Speicherverlauf des Agenten und überträgt Verdachtsmarkierungen, selbst wenn der zugrunde liegende Token-Kontext komprimiert wird. Dieser Ansatz spiegelt die Erfolgsquote von 93 % wider, die beim LCM-Datensatz nachgewiesen wurde. Sicherheit entwickelt sich zu einem kontinuierlichen, kontextbezogenen Prozess, der sich mit der Geschwindigkeit der logischen Schlussfolgerungen des Agenten bewegt und es dem Unternehmen ermöglicht, komplexe KI-Workloads mit langem Kontext bereitzustellen, ohne Governance oder Compliance zu gefährden.

Stagnierend: Die Rückkehr zu Walled Gardens Aus Angst vor der Komplexität, autonome Systeme gegen raffinierte Split-Angriffe abzusichern, erzwingen konservative Risiko- und Compliance-Teams harte Grenzen für die Kontextfenster von Agenten und maximale Aufgabendauern. Agenten werden stark auf zustandslose Einzeloperationen beschränkt, die sich nach einer einzigen Abfrage sofort zurücksetzen. Dieser stumpfe Ansatz beseitigt zwar die Komprimierungsschwachstelle, schränkt aber auch den Return on Investment stark ein. Das Unternehmen bleibt in der Ära einfacher Chatbots gefangen und hinkt KI-nativen Wettbewerbern, die die Herausforderung der zustandsbehafteten Überwachung erfolgreich gelöst haben, weit hinterher.

Worauf man achten sollte

Führungsteams in Unternehmen müssen die Entwicklung von Open-Source-Agenten-Frameworks und kommerziellen KI-Gateways beobachten. Der entscheidende Meilenstein wird erreicht sein, wenn diese Plattformen von externen, punktuellen Scannern zur nativen Integration von zustandsbehaftetem Tracking und annotierten Verläufen übergehen. Darüber hinaus sollten Führungskräfte genau verfolgen, wie sich regulatorische Rahmenbedingungen an autonome Fähigkeiten anpassen. Die Vorgaben der EU AI Governance erfordern bereits jetzt robuste Mechanismen für das Risikomanagement und die menschliche Aufsicht bei Hochrisikosystemen. Sobald die Aufsichtsbehörden die einzigartige Bedrohung durch Split-Angriffe in vollem Umfang erkennen, wird die Anforderung an kontinuierliche, zustandsbewusste Prüfpfade über Sitzungen mit langem Kontext hinweg von einer empfohlenen Best Practice zu einem strikten Compliance-Mandat.

Aaron Ranson, Chief AI Officer: „Statisches Prompt-Scanning ist in dem Moment veraltet, in dem ein Agent über Gedächtnis verfügt. Wenn Ihre Sicherheitskontrollen im Unternehmen den operativen Kontext schneller vergessen als Ihr Agent, fliegen Sie im Blindflug.“

Häufige Fragen

F: Was ist ein KI-Split-Angriff? A: Ein Split-Angriff tritt auf, wenn ein böswilliger Akteur eine schädliche Anweisung in mehrere harmlos wirkende Fragmente aufteilt. Diese Fragmente umgehen einzeln statische Sicherheitsscanner und werden erst später durch die Speicherprozesse des KI-Agenten kombiniert, um den bösartigen Payload auszuführen.

F: Wie funktioniert die KI-Speicherkomprimierung? A: Agenten mit langem Kontext komprimieren regelmäßig ihren Betriebsverlauf, um Rechenspeicher und Token-Kosten zu sparen. Dieser Zusammenfassungsprozess kann zuvor fragmentierte Eingaben zusammensetzen und so unbeabsichtigt einen neuen, gefährlichen Kontext schaffen, der von der Sicherheitsebene nie explizit gescannt wurde.

F: Was ist zustandsbehaftete Sicherheitsüberwachung für KI? A: Die zustandsbehaftete Sicherheitsüberwachung verfolgt den Kontext eines Agenten kontinuierlich im Zeitverlauf. Indem der Verlauf des Agenten annotiert wird und Verdachtsmarkierungen über Speicherkomprimierungen hinweg beibehalten werden, wird die aggregierte Absicht des Agenten bewertet, anstatt nur isolierte, einzelne Eingaben zu betrachten.

F: Warum versagen Standard-Firewalls bei autonomen Agenten? A: Standardmäßige Web Application Firewalls und API-Gateways sind von Natur aus zustandslos. Sie prüfen einzelne Anfragen zu einem bestimmten Zeitpunkt und sind daher nicht in der Lage, eine Bedrohung zu erkennen, die sich erst Tage später materialisiert, wenn ein Agent mehrere harmlose Eingaben zu einer einzigen bösartigen Aktion kombiniert.

Unsere Einschätzung

Wir bei Thinkia betrachten die zustandsbehaftete Sicherheitsüberwachung nicht nur als technischen Patch, sondern als grundlegende architektonische Voraussetzung für jedes Unternehmen, das autonome Systeme einsetzt. Man kann einen KI-Agenten nicht steuern, wenn man seinen Speicher nicht steuern kann. Die Daten zeigen deutlich, dass eine Strategie mit annotiertem Verlauf funktioniert und die überwiegende Mehrheit der fragmentierten Payloads effektiv neutralisiert, bevor sie ausgeführt werden können. Dieser Wandel erfordert eine neue Ebene der Zusammenarbeit zwischen Sicherheitsteams und KI-Ingenieuren – Sicherheit kann nicht länger eine externe Hülle sein, die nachträglich angewendet wird; sie muss direkt in die kognitive Architektur des Agenten selbst eingewoben werden.

Wir entwickeln die KI-Systeme, die Unternehmen tatsächlich betreiben. Das bedeutet, dass wir Orchestrierungsebenen entwerfen, die dieses zustandsbehaftete Tracking nativ handhaben. Durch Thinkia Synapse – unsere einheitliche agentische Plattform für KI-Governance, Sicherheit und Kostenkontrolle zur Orchestrierung von Agenten, Modellen und Workflows – stellen Unternehmen sicher, dass ihr Sicherheitskontext genau so lange erhalten bleibt wie ihr operativer Kontext. Indem wir Bedrohungsmarkierungen sicher über Speicherkomprimierungen hinweg mitführen, ermöglichen wir es Unternehmen, Agenten mit langem Kontext sicher zu skalieren und so fortschrittliche autonome Fähigkeiten perfekt mit den strengen Risikokontrollen in Einklang zu bringen, die von der Geschäftsführung gefordert werden.