ServiceNow warnt vor Risiken durch unkontrollierte KI-Agenten

ServiceNow warnt auf Grundlage einer aktuellen Studie unter IT-Sicherheitsverantwortlichen vor wachsenden Sicherheitsrisiken durch unkontrollierte KI-Agenten in Unternehmen. Hintergrund sei der zunehmende Einsatz von KI-Agenten über die Pilotphase hinaus in geschäfts- und gesellschaftskritischen Systemen – von Krankenhäusern und Flughäfen über Produktionsanlagen bis hin zu Finanzinstituten. In diesen Bereichen könnten bereits einzelne unkontrollierte Aktionen schwerwiegende Folgen haben.

Vier Infografiken nennen Anteile zu KI-Agenten: 20 Prozent haben eine verantwortliche Person, 21 Prozent einheitliche Sichtbarkeit, 32 Prozent ein automatisiertes Deployment-Gate und 47 Prozent ein vollständiges Nachweispaket. ServiceNow verweist damit auf Sicherheitsrisiken durch unkontrollierte KI-Agenten. — ServiceNow

Laut Studie waren bereits 92 % der Unternehmen in Deutschland im vergangenen Jahr von einem Sicherheitsvorfall im Zusammenhang mit agentischer KI betroffen. Lediglich 28 % dieser Unternehmen konnten den Vorfall innerhalb von 24 Stunden eindämmen.

Dabei schätzen viele IT-Sicherheitsverantwortliche die Sicherheitsvorkehrungen ihrer Unternehmen für agentische KI als ausgereift ein. Eine Bewertung anhand von fünf zentralen Kriterien zeige jedoch ein anderes Bild: Weltweit verfügen lediglich 13 % der Unternehmen über ein belastbares Sicherheitskonzept. Untersucht worden seien dabei die Angriffsfläche, die Verantwortlichkeiten, die Integration von Sicherheit in die Entwicklung (Security by Design), die Transparenz sowie die Vorbereitung auf Sicherheitsaudits.

Die Sicherheitsvorfälle im Zusammenhang mit agentischer KI, die in diesem Jahr für Schlagzeilen gesorgt haben, zeigen, welche Folgen der Einsatz von KI ohne angemessene Kontrollmechanismen haben kann. Unternehmen sollten sich nicht zwischen einer schnellen Einführung von KI und einem wirksamen Risikomanagement entscheiden müssen. Wer hier erfolgreich sein will, muss Governance von Anfang an fest in die Einführung von KI-Agenten integrieren. Nur so lassen sich die Vorteile von KI nutzen, ohne Transparenz und Kontrolle einzubüßen.“

Ben de Bont, CISO bei ServiceNow

Die Absicherung agentischer KI erfolge derzeit überwiegend über bestehende Sicherheits- und Governance-Strukturen, die ursprünglich für klassische IT-Systeme und menschlich gesteuerte Prozesse entwickelt worden seien. In Deutschland verfügen 46 % der Unternehmen über Governance-Rahmenwerke, die wesentliche Aspekte des Einsatzes von KI-Agenten abdecken, und 42 % der IT-Sicherheitsteams berücksichtigen Sicherheitsanforderungen bereits bei der Konzeption und Entwicklung von KI-Agenten. In der Mehrheit der Unternehmen würden Zugriffsberechtigungen und Sicherheitsmechanismen erst nachträglich und häufig nur im Einzelfall implementiert. Statt Risiken von Beginn an systematisch zu begrenzen, reagieren Unternehmen laut Studie erst, wenn Handlungsbedarf entsteht.

Mehr KI-Agenten bedeuten auch mehr Sicherheitsrisiken

54 % der Unternehmen in Deutschland setzen inzwischen zwischen 100 und 999 KI-Agenten ein, weitere 29 % nutzen bereits mehr als 1.000 KI-Agenten. Dabei verfügen nur 59 % der IT-Sicherheitsteams in Deutschland über ein vollständiges und aktuelles Verzeichnis aller produktiv eingesetzten KI-Agenten sowie über Prozesse zur systematischen Erfassung von Veränderungen. Und 20 % der IT-Sicherheitsteams haben KI-Agenten im produktiven Einsatz entdeckt, die zuvor weder registriert noch bekannt waren. Solche unentdeckten Systeme könnten zu sogenannter Schatten-KI werden, deren Existenz häufig erst auffällt, nachdem sie bereits längere Zeit unbemerkt im Einsatz waren.

Dabei würden KI-Agenten schneller agieren, als Sicherheitsteams reagieren können. 78 % der Unternehmen in Deutschland geben an, über eine vollständige und aktuelle Übersicht der Zugriffsberechtigungen sämtlicher KI-Agenten zu verfügen. Allerdings können lediglich 24 % mehr als 90 % ihrer KI-Agenten in Echtzeit überwachen.

Selbst wenn Unternehmen Sicherheitsprobleme erkennen, könnten sie häufig nicht schnell genug eingreifen. 64 % der IT-Sicherheitsteams sind nicht in der Lage, bei auffälligem Verhalten eines KI-Agenten automatisch Gegenmaßnahmen einzuleiten. Stattdessen ist weiterhin ein manueller Eingriff erforderlich, bevor entsprechende Maßnahmen greifen.

Die ServiceNow-Studie können Sie hier kostenlos herunterladen und einsehen.ft