Anaconda: Sicherheit für agentische KI beginnt bei allem, was ein Agent lädt

Die LiteLLM-Kompromittierung als Fallstudie

Anaconda beginnt mit einem Vorfall vom 24. März 2026: Angreifer veröffentlichten mit gestohlenen Zugangsdaten zwei bösartige Versionen von LiteLLM auf PyPI. Der Code auf GitHub blieb unverändert, ein Blick ins Repository hätte also nichts Auffälliges gezeigt. Laut Anaconda führte jede Pipeline, die das Update zog, den Code der Angreifer mit ihren eigenen Zugangsdaten aus.

PyPI stellte die Pakete nach Angaben von Anaconda etwa 40 Minuten nach dem Upload unter Quarantäne, doch eine automatisierte Pipeline kann ein neues Release schon deutlich früher einspielen. Das Unternehmen beschreibt einen Agenten als Modell, eine Reihe von Skills, eine Reihe von MCP-Servern und einen Baum aus Python-Paketen. In seinen Worten: "Everything an agent loads is attack surface, and security teams approve it once, if at all."

Modelle und Skills: Ein Wechsel ist eine Sicherheitsänderung

Anacondas Einheit Enkrypt AI veröffentlicht das LLM Safety Leaderboard, das 300 Modelle nach vier Risikowerten einordnet: Anfälligkeit für Jailbreaks, Bias, Malware und Toxizität. Ein Jailbreak-Wert von 18 % bedeutet, dass 18 % der Angriffe erfolgreich waren. Da jedes Modell anders abschneidet, sei der Wechsel des Modells eine Sicherheitsänderung und sollte einen erneuten Test auslösen, so das Unternehmen. Das Agent-Red-Teaming testet den Agenten, seine Tools, seine Quellen für Retrieval-Augmented Generation und seine MCP-Server und hinterlässt eine Regressionssuite, die in der Continuous Integration laufen kann.

Skills sind Bündel aus Anweisungen und Skripten, die ein Agent lädt, um eine Aufgabe zu lernen, und sie laufen mit den Berechtigungen des Agenten. Anaconda vergleicht sie mit Browser-Erweiterungen und sagt, je nach Agent lasse sich ein Skill ohne Installationsabfrage, ohne Prüfung und ohne Protokoll darüber hinzufügen, was freigegeben wurde.

Bis zum 30. September 2026 hatte der Enkrypt AI Skill Scan Hub 99.643 Skills von GitHub gescannt. Davon erhielten 4,25 % (4.231 Skills) ein Urteil als unsicher, und 10,5 % (10.467 Skills) wiesen mindestens einen Befund auf. Anaconda betont, dass ein Urteil als unsicher die Einschätzung eines Scanners ist und kein Beweis für einen Angreifer.

• Unautorisierte Tool-Nutzung: 59,1 % der kategorisierten Befunde
• Missbrauch der Skill-Erkennung: 16,4 %
• Malware: 11,7 %
• Missbrauch transitiven Vertrauens: 4,6 %
• Datenabfluss: 2,1 %
• Prompt Injection: 1,8 %

Forscher von Enkrypt AI demonstrierten zudem einen Angriff, der Anweisungen tief in einer SKILL.md versteckt, jenseits der Stelle, an der manche Scanner aufhören zu lesen, um einen SSH-Schlüssel abzugreifen. Anacondas Open-Source-Tool Skill Sentinel liest vollständige Dateien, führt Multi-Agenten-Analysen durch, korreliert Bedrohungen über Dateien hinweg und prüft mitgelieferte Binärdateien gegen VirusTotal. Es lässt sich als CI-Schritt einsetzen.

MCP-Server und das Kleingedruckte, das Agenten lesen

MCP ist ein offener Standard, um Agenten mit Tools und Daten zu verbinden. Der Agent liest Beschreibung und Anweisungen jedes angebundenen Tools, Menschen tun das meist nicht. Anaconda verweist auf einen Fall vom September 2025, in dem ein Angreifer ein gefälschtes Paket postmark-mcp auf npm veröffentlichte, das den legitimen E-Mail-Server von Postmark nachahmte. Nach 15 unauffälligen Versionen fügte Version 1.0.16 eine Zeile hinzu, die jede E-Mail als Blindkopie an den Angreifer schickte.

Innerhalb von zwei Monaten scannte Enkrypt AI nach Angaben des Unternehmens mehr als 268.000 Tools auf 25.000 MCP-Servern und fand über 143.000 Schwachstellen, von denen 73 % dieser Server betroffen waren. Die Antwort besteht aus zwei Teilen. Vor der Anbindung erfasst ein MCP-Scanner Server und Tools, markiert übermäßige Berechtigungen und liefert einen Maßnahmenplan. Nutzer können ein GitHub-Repository, ein npm-Paket oder einen Endpunkt kostenlos scannen, der Bericht kommt nach etwa 10 Minuten per E-Mail. Im Betrieb sitzt ein Open-Source-MCP-Gateway zwischen Agenten und Servern, um Tool-Aufrufe zu genehmigen, zu verändern oder zu blockieren, Least Privilege durchzusetzen und einen Audit-Trail zu führen.

Python-Pakete und halluzinierte Abhängigkeiten

Python-basierte Agenten-Frameworks, Modell-SDKs und MCP-Server stützen sich auf einen Baum aus Open-Source-Abhängigkeiten, eine Ebene, die Anaconda nach eigenen Angaben seit mehr als zehn Jahren absichert. Das Unternehmen führt außerdem eine Studie der USENIX Security 2025 an, in der codegenerierende Modelle Paketnamen mit durchschnittlichen Raten von mindestens 5,2 % bei kommerziellen und 21,7 % bei Open-Source-Modellen halluzinierten, wobei sich viele erfundene Namen wiederholten. Angreifer können solche Namen vorab registrieren, sodass ein Coding-Agent, der installiert, was das Modell vorschlägt, ohne menschliche Prüfung ein bösartiges Paket einspielen könnte.

Anacondas Guardrails für Coding-Agenten können Paketinstallationen standardmäßig blockieren und nur freigegebene Befehle zulassen. Das Produkt AI Artifacts bietet eine kuratierte Paketquelle mit Schwachstellenscans, individuellen Sicherheitsrichtlinien und Paketsignaturen, in der Cloud oder On-Premises, auch in Air-Gap-Netzwerken. Es erzeugt für jedes Artefakt eine SBOM und kann brandneue Upstream-Versionen zur Prüfung zurückhalten. Laut Anaconda hätte eine kurze Sperrfrist die LiteLLM-Versionen ferngehalten.

Was Sicherheitsteams empfohlen wird

Das Muster sei auf allen vier Ebenen gleich, sagt Anaconda: Eine Komponente erhält einmal Vertrauen, bei Installation, Freigabe oder Download, und wird danach nicht mehr geprüft. Die entstehenden Lücken fasst das Unternehmen in drei Fragen: Was steckt im Stack, was hat sich seit der Freigabe geändert, und kann das Team es belegen? Die Agent Policy Engine übersetzt Governance-Richtlinien und Regulierungstexte in Kontrollen, mit Standardeinstellungen für den EU AI Act sowie Frameworks von NIST und OWASP. Guardrails protokollieren jede Durchsetzungsentscheidung mit Richtlinien-ID und Reason Code.

Der Beitrag verweist zudem auf die OWASP Top 10 for Agentic Applications, veröffentlicht am 9. Dezember 2025 mit Beiträgen von mehr als 100 Experten, als gemeinsames Vokabular für Risiken wie Tool-Missbrauch und Schwachstellen in der agentischen Lieferkette. Für die erste Woche empfiehlt Anaconda fünf Schritte:

• Alle Agenten und alles, was sie laden, auflisten, einschließlich Modell, Skills, MCP-Servern, Paketen und Zugangsdaten.
• Jeden Skill vor der Ausführung scannen, etwa indem Skill Sentinel als CI-Schritt eingebunden wird.
• Versionen festschreiben, Hashes prüfen, jede Änderung neu freigeben und bei brandneuen Releases ein bis zwei Tage warten.
• Jedem Agenten nur den minimal nötigen Zugriff geben und Agenten, die nicht vertrauenswürdige Inhalte lesen, von kritischen Zugangsdaten fernhalten.
• Die eigenen Agenten angreifen, indem bösartige Inhalte dort platziert werden, wo sie lesen, und die Befunde dann in Laufzeit-Guardrails überführen.

Der Beitrag ist Herstellermaterial, und die Scan-Zahlen stammen vom Unternehmen selbst. Dennoch gilt sein Kernrat, ein aktuelles Inventar zu führen und es bei jeder Änderung erneut zu prüfen, für jedes Team, das Agenten betreibt.