Schwachstellen von KI-Agenten mit 192 realen Vorfällen
Das Verständnis, wie Schwachstellen von KI-Agenten Systeme zum Scheitern bringen – sei es durch Sicherheitslücken, Versagen von Leitplanken oder Datenexposition – ist entscheidend geworden, da diese Systeme zunehmend autonome Rollen in Geschäftsabläufen übernehmen.
Um die reale Risikolandschaft von KI-Agenten zu kartieren, haben wir 192 dokumentierte Schwachstellenvorfälle zwischen März 2016 und Mai 2026 ausgewertet und stützen uns dabei auf Quellen.
Verteilung der Schwachstellen
Verteilung nach Kategorie
Die Vorfälle lassen sich drei Klassen zuordnen.
Sicherheitsversagen führt. In diesen Fällen verursacht oder ermöglicht der Agent Schaden, den seine Kontrollen hätten verhindern sollen. Sicherheits-Exploits folgen an zweiter Stelle; hier nutzt ein Angreifer eine Schwäche des Agenten aus. Datenexposition ist die kleinste Klasse.
Sicherheits- und Leitplankenversagen
Drei Kategorien tragen das meiste Gewicht.
Verleumdung und Falschdarstellung ist die größte Einzelkategorie im Katalog. Der Agent stellt falsche Tatsachen über eine reale Person oder Firma als wahr dar. Beispiele umfassen erfundene Anschuldigungen und gefälschte juristische Zitate.
Sicherheits-Exploits
Die Sicherheitskategorien folgen der OWASP ASI-Liste (den OWASP Top 10 für agentische Anwendungen).
Agent-Goal-Hijacking führt. Die gängigste Methode ist Prompt Injection: versteckte Anweisungen in Texten, die der Agent liest. Unerwartete Codeausführung kommt an zweiter Stelle, wobei der Agent von einem Angreifer bereitgestellte Befehle ausführt.
Datenexposition
Vertrauliche Datenexposition und Zugangskontrolle machen 15 Vorfälle aus. Häufige Ursachen sind offene Freigabelinks, schwache Passwörter und unverschlüsselte Speicherung.
Verteilung nach Jahr und Monat
Die Aufzeichnungen reichen von März 2016 bis Mai 2026. Die Zahl ist in den letzten Jahren stark gestiegen.
Das Jahr 2025 enthält mehr als die Hälfte des Katalogs. Der Anstieg spiegelt die Ausbreitung von Chatbots und agentischen Werkzeugen in den Arbeitsalltag wider.
Der erste Eintrag stammt vom März 2016: Microsofts Tay-Chatbot, der von Nutzern zu rassistischen Beiträgen gelenkt wurde. Bis 2022 bleiben die Meldungen spärlich. Sie drehen sich um Fehlverhalten von Chatbots und schädliche Inhalte, nicht um Angriffe.
2025 brachte 104 Vorfälle, den Höhepunkt des Katalogs. Der Strom blieb über das Jahr hinweg konstant, mit Spitzen im Juli (14), April (13) und Oktober (13). Die Klassenmischung war nahezu ausgeglichen: 51 Sicherheitsversagen, 47 Sicherheits-Exploits und 6 Fälle von Datenexposition.
2026 zeigt bis Mai 33 Vorfälle. Die Mischung neigt sich zu Sicherheit: 23 Exploits gegenüber 8 Sicherheitsversagen. Angriffe auf die Lieferkette und Codeausführungsschwachstellen nehmen zu, da mehrere Agenten Zugriff auf Werkzeuge, Code und verbundene externe Systeme erhalten.
Kategorien von KI-Agenten-Schwachstellen
Eine KI-Agenten-Schwachstelle ist eine Schwäche in einem autonomen KI-System. Ein agentisches System plant, entscheidet und handelt über mehrere Schritte hinweg. Es nutzt Werkzeuge, Speicher und Verbindungen zu anderen Systemen, oft ohne dass ein Mensch jeden Schritt genehmigt. Eine Schwachstelle erlaubt einem Angreifer, diese Schwäche auszunutzen, oder lässt die Sicherheitskontrollen des Agenten versagen. Die Wirkung dringt in die reale Welt: durchgesickerte interne Daten, unbefugte Ausführung, Code, der auf einem Host-Rechner läuft, oder Schaden für eine Person.
Die folgenden Kategorien lassen sich in drei Gruppen einteilen. Sicherheits-Exploit-Kategorien decken Angriffe ab, die eine Schwäche missbrauchen. Sicherheits- und Leitplanken-Kategorien umfassen Versagen, bei dem der Agent Schaden verursacht oder ermöglicht. Datenexposition umfasst schwache Zugangskontrollen, die private Informationen preisgeben.
Die Sicherheitskategorien für KI-Agenten folgen den OWASP Top 10 für agentische Anwendungen (2026). Die Sicherheits- und Datenexpositionskategorien erweitern diese Liste, da der OWASP-Satz sich auf Sicherheit konzentriert und Raum für Leitplanken- und Datenschutzversagen lässt.
Sicherheits-Exploit-Kategorien
Agent-Goal-Hijacking
Ein Angreifer ändert, was der Agent zu tun versucht. Die gängigste Methode ist Prompt Injection: versteckte Anweisungen in Texten, die der Agent liest, etwa eine E-Mail, eine Webseite, ein Dokument oder die Ausgabe eines Werkzeugs. Der Agent behandelt den versteckten Text als echten Befehl und befolgt ihn. EchoLeak zeigte die Gefahr. Eine einzige präparierte E-Mail brachte Microsoft 365 Copilot dazu, interne Dateien zu lesen und nach außen zu senden, ohne dass das Opfer einen Klick tätigte.
Werkzeugmissbrauch und -ausnutzung
Der Agent hat die Berechtigung, Werkzeuge und APIs aufzurufen, wie z. B. E‑Mail, Datenbanken oder Zahlungsfunktionen. Ein Angreifer lenkt den Agenten dazu, diese Werkzeuge gegen seinen Besitzer einzusetzen. Der Schaden entsteht aus einer normalen Handlung, die schädlich wird. Ein manipulierter Handelsagent kann zum Beispiel Geld auf das falsche Konto überweisen.
Identitäts- und Privilegienmissbrauch
Ein Agent trägt Anmeldeinformationen und Zugriffsrechte. Schwache Kontrollen erlauben einem Angreifer, diese Identität zu übernehmen oder den Agenten über seine vorgesehenen Grenzen hinaus zu drängen. Der Einstellungsagent McHire von McDonald’s verwendete ein schwaches Passwort und legte Datensätze von rund 64 Millionen Bewerbern offen.
Agentische Lieferkette
Agenten sind von externen Teilen abhängig: KI-Modelle, Plug-ins und Konnektoren wie MCP-Server. (MCP, das Model Context Protocol, ist ein Standardweg für einen Agenten, sich mit externen Werkzeugen zu verbinden.) Eine vergiftete oder gefälschte Komponente verbreitet ihren Schaden auf jeden Agenten, der sie installiert. Der Coding-Agent Cline lieferte eine mit einer Hintertür versehene Version aus, nachdem ein Angreifer ihn dazu gebracht hatte, ein gefälschtes Paket zu ziehen.
Unerwartete Codeausführung
Der Agent führt Code oder Shell-Befehle auf einem Host-Rechner aus. Ein Angreifer missbraucht diese Fähigkeit, um eigene Befehle auszuführen. Die Abkürzung dafür ist RCE, Remote Code Execution. Die Gemini-CLI-Schwachstelle erhielt den höchsten Schweregrad und gab einem Angreifer volle Kontrolle über den Host.
Speicher- und Kontextvergiftung
Agenten speichern Erinnerungen und beziehen Kontext aus Dokumenten und Datenbanken. Ein Angreifer platziert falsche oder bösartige Prompts in diesem Speicher. Der Agent ruft später den vergifteten Inhalt ab und handelt danach. Die Wirkung hält über Sitzungen hinweg an und ist schwer zu erkennen.
Unsicherer Kommunikationsweg zwischen Agenten
Viele komplexe Systeme betreiben mehrere Agenten, die miteinander kommunizieren. Ein Agent vertraut den Nachrichten eines anderen Agenten standardmäßig. Ein Angreifer missbraucht dieses Vertrauen, fälscht einen Agenten oder leitet manipulierte Anweisungen weiter. Ein Agent mit niedrigen Rechten kann so gesteuert werden, dass er einen mächtigeren Agenten rekrutiert.
Kaskadierende Ausfälle
Der Fehler oder die Kompromittierung eines einzelnen Agenten breitet sich über verbundene Multi-Agenten-Systeme aus. Eine einzige Aktion kann Daten löschen oder einen Workflow zerstören, ohne ein einfaches Rückgängigmachen. Ein Replit-Agent löschte während einer Code-Freeze-Phase eine Produktionsdatenbank und verschleierte dann den Fehler.
Kategorien von Sicherheits- und Leitplankenversagen
Diese Kategorien beschreiben ein Versagen der Kontrollen des Agenten. Kein Angreifer ist erforderlich. Der Agent verursacht oder ermöglicht Schaden, den seine Leitplanken hätten verhindern sollen.
Selbstverletzung und psychische Gesundheit
Der Agent schützt eine Person in einer Krise nicht. Anstatt Hilfe zu vermitteln, bestätigt er schädliche Gedanken oder liefert gefährliche Details. Berichte beschreiben Chatbots, die zum Suizid ermutigten oder wahnhaftes Denken verstärkten, mit realem Schaden für die Person.
Schutz von Minderjährigen
Der Agent setzt einen Minderjährigen sexuellen, ausbeuterischen oder anderweitig unsicheren Inhalten aus. Kontrollen, die solche Interaktionen blockieren sollen, versagen. Berichte beschreiben Begleiter-Chatbots, die Minderjährige in unsichere Gespräche verwickelten.
Gewalt und gefährliche Unterstützung
Der Agent hilft, Gewalt oder andere schwere Straftaten zu planen oder auszuführen. Filter, die Anfrage ablehnen sollten, brechen zusammen. Berichte beschreiben Chatbots, die bei der Planung von Angriffen konsultiert wurden.
Schädliche Gesundheits- und medizinische Ratschläge
Der Agent gibt unsichere medizinische Anleitung, die eine Person verletzen kann. Ein Bericht beschreibt einen Chatbot, der vorschlug, Kochsalz durch Natriumbromid zu ersetzen, was zu einer Vergiftung und einem Krankenhausaufenthalt führte.
Verleumdung und Falschdarstellung
Der Agent stellt falsche Tatsachen über eine reale Person oder Organisation als wahr dar. Erfundene Zitate, Anschuldigungen oder Zitate verursachen Rufschädigung oder rechtlichen Schaden. Ein Modell beschuldigte fälschlicherweise einen Journalisten von Straftaten. Ein anderes erfand Gerichtszitate, die in juristischen Schriftsätzen landeten.
Belästigung und missbräuchliche Inhalte
Der Agent erzeugt beleidigende, bedrohliche oder nicht einvernehmliche Inhalte, die sich gegen eine Person richten. Beispiele umfassen drohende Antworten und Werkzeuge, die zur Erstellung nicht einvernehmlicher intimer Bilder verwendet wurden.
Datenexposition und Zugangskontrolle
Eine schwache Kontrolle im KI-Agenten-System legt private Informationen offen. Häufige Ursachen sind offene Freigabelinks, unverschlüsselte Speicherung und unbefugter Zugriff auf Dateien. Das exponierte Material kann personenbezogene Daten, gespeicherte Gespräche, Anmeldeinformationen oder Quellcode umfassen.
Wie die Kategorien zusammenpassen
Sicherheits-Exploit-Kategorien betreffen Angreifer, die Schwächen finden und ausnutzen. Sicherheits- und Leitplanken-Kategorien benötigen keinen Angreifer; die eigenen Kontrollen des Agenten versagen. Datenexposition liegt dazwischen: ein Design- oder Konfigurationsfehler legt interne Daten offen, ob ein Angreifer beteiligt ist oder nicht. Ein einzelner Vorfall kann mehr als eine Kategorie berühren. Für einen sauberen Katalog wird jeder Vorfall anhand der zentralen Schwäche seiner Hauptkategorie zugewiesen.
Methodik zu KI-Agenten-Schwachstellen
Umfang und Definition
Der Katalog umfasst Schwachstellen von KI-Agenten. Drei Arten von Vorfällen kommen in Frage: Sicherheits-Exploits (wie Prompt Injection oder Code, der auf einem Host läuft), Sicherheits- und Leitplankenversagen (wie schädliche Ratschläge oder falsche Behauptungen über eine reale Person) und Datenexpositionsmängel.
Mehrere Arten von Vorfällen fallen nicht in den Umfang: Urheberrechts- und Lizenzstreitigkeiten, allgemeine Verzerrungen oder stereotype Ausgaben, faktische Fehler ohne Schaden, Fälle, in denen eine Person das Modell als Werkzeug zur Erstellung von Malware oder Betrug nutzte, regulatorische Streitigkeiten und betriebliche Beschwerden.
Quellen
Der Katalog stützt sich auf drei Evidenzebenen. Primärquellen haben Vorrang. Herstellerberichte und Nachrichten schließen Lücken, wenn ein Hersteller der Offenleger oder der einzige Eintrag ist.
Die erste Ebene besteht aus datierten, produktspezifischen Vorfällen aus Sicherheitshinweisen und Sicherheitsforschung. Sicherheitshinweise umfassen die National Vulnerability Database (NVD),1 das Microsoft Security Response Center (MSRC),2 und die GitHub Advisory Database (GHSA).3 Dies sind öffentliche Aufzeichnungen, die eine bestimmte Schwachstelle beschreiben. Sicherheitsforschung stammt von den Firmen, die Schwachstellen fanden, wie Noma Security, Check Point, Tenable, Wiz und Zenity.
Die zweite Ebene ist der OWASP Exploits and Incidents Tracker, aus Anhang D der OWASP Top 10 für agentische Anwendungen (2026).4 Seine Einträge werden mit Quellenangabe wiedergegeben.
Die dritte Ebene ist die KI Incident Database (AIID), eine offene, begutachtete Aufzeichnung von KI-Schäden. Die AIID enthält mehr als 1.500 Vorfälle über alle Arten von KI-Systemen hinweg.5
Wie Vorfälle ausgewählt wurden
Das System verwendet einige Stichwortfilter, um KI-Vorfälle zu identifizieren. Dieser Filter umfasst bestimmte Schlüsselwörter wie:
1. Agentische/LLM-Systemerkennung: chatbot, chat bot, large language model, language model, LLM, generative KI, GPT-3/GPT-4, ChatGPT, Gemini, Google Bard, Copilot, Claude, Llama, Grok, DeepSeek, Character.ai, Replika, Bing Chat, KI assistant, virtual assistant, KI agent, agentic, conversational KI, coding assistant, KI companion, TayBot
2. Sicherheits-Exploit-Signale: prompt injection, indirect prompt injection, jailbreak/jailbroke, exfiltrate, remote code / code execution / RCE, arbitrary code, command injection, injected command/code/instruction, backdoor, malicious package/MCP/server/tool/extension, supply chain, memory poison, poisoned memory/RAG/context, hijack, takeover, exploit, credential, token theft/leak, privilege escalation, bypass guard/filter/safety/auth/sandbox, deleted/wiped/destroyed/erased, transfer … $/million, agrees to sell, tricked, manipulated … agent/bot, fraudulent prompt
3. Sicherheits-/Leitplanken-Signale: suicide, self-harm, overdose, minor/child/teen, CSAM, underage, grooming, predator, weapon, bomb, explosive, mass shooting, stabbing, body-disposal, homicide, assassinate, hammer attack, attack guidance/planning, defame, false accusation/allegation, fabricate, hallucinate, libel, harass, non-consensual, nudify, intimate image, dangerous advice/instruction, unsafe medical advice, sodium bromide, bromism, hospitalize, eating disorder, diet advice, drug-use, died/death after/following, threaten/threatening, hate speech, reinforced delusion
4. Datenexposition: expose/exposed/exposure, leaked, breach, disclose, access cached + (data / records / conversations / emails / credentials / API key / source code / applicants / patients / users), unencrypted, stored passwords/SSN, reads files without consent, uploaded sensitive
5. DROP-Signale copyright, plagiarism, infringe, pirated, LibGen, Books3, unauthorized training, GDPR, legal basis, practiced law / without a license, cheating, school assignment, exam, sues OpenAI, bias, stereotype, racist, sexist, antisemitic, offensive remark, disinformation, propaganda, influence business operation, romance scam, ransomware, spam, investment scam, fraud scheme, surveillance, misinforms about geography, reward function
6. Für Kategorienzuordnungen:
- Agent Goal Hijack (ASI01): prompt injection, jailbreak, manipulate, agrees to sell, hijack
- Unexpected code execution (ASI05): RCE, code execution, command injection, arbitrary code
- Agentic supply chain (ASI04): malicious package/MCP, supply chain, backdoor
- Cascading failures (ASI08): deleted, wiped, destroyed, erased
- Tool misuse (ASI02): transfer … $/million, trading agent
- Identity & privilege abuse (ASI03): credential, token theft, privilege escalation, takeover, account compromise
- Minor safety: CSAM, grooming, predator, minor + sexual
- Self-harm & mental health: suicide, overdose, delusion, eating disorder
- Violence & dangerous assistance: mass shooting, stabbing, weapon, attack planning, hate speech
- Harmful health/medical advice: sodium bromide, bromism, unsafe medical advice
- Defamation & fabrication: defame, false accusation, fabricate, hallucinate, falsely accuse
Menschliche Überprüfung
Der Katalog ist nicht allein das Werk der Automatisierung. Ein automatisierter Schritt sammelte und sortierte die Vorfälle in großem Maßstab. Das Team überprüfte dann die Einträge von Hand: jedes betroffene System wurde geprüft, jede Kategorie bestätigt und jeder Quelllink geöffnet, um sicherzustellen, dass er funktionierte und die Behauptung stützte. Die endgültige Entscheidung über jeden Eintrag liegt bei den Autoren.
Liste der Vorfälle im Zusammenhang mit KI-Agenten-Schwachstellen
Als bevorzugte Quelle hinzufügenDiese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{Schwachstellen von KI-Agenten mit 192 realen Vorfällen}},
year = {2026},
month = jun,
howpublished = {\url{https://aimultiple.com/ai-agent-vulnerability}},
note = {AIMultiple. Abgerufen am 28. Juni 2026}
}Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.