Nur 22 % der Sicherheitsteams hatten Runbooks für KI-Agenten getestet

Den meisten Teams fehlt ein eingeübter Reaktionsplan

Anacondas Tabletop-Übung vom 29. Oktober forderte die Teilnehmer auf, auf einen fiktiven Research-Agenten zu reagieren, der das Portal einer Regierungsbehörde erreicht hatte. Die Teilnehmer verfolgten den Vorfall in vier Phasen: erkennen, eingrenzen, eindämmen und offenlegen. Sahil Agarwal, Field AI Security Fellow bei Anaconda, leitete die Sitzung.

Von 59 Befragten erklärten 22 %, dass sie ein schriftliches Runbook für Vorfälle mit KI-Agenten besaßen, das in den vergangenen sechs Monaten getestet worden war. Weitere 24 % hatten ein Runbook, es aber noch nie getestet, während 32 % noch eines erstellten und 22 % keines hatten. Laut Anaconda bedeutet das, dass 78 % der Gruppe bei einem Vorfall mit einem Agenten ohne eingeübten Plan dastünden.

Nach Angaben des Unternehmens decken Runbooks für Malware oder kompromittierte Benutzerkonten möglicherweise keine Agenten ab, die mit Maschinengeschwindigkeit handeln, weitere Prozesse starten und bei einer Blockade erneut versuchen, ihr Ziel zu erreichen oder nach Umgehungslösungen suchen. Anaconda empfiehlt, für jeden Reaktionsschritt einen Verantwortlichen festzulegen und mindestens einen Probelauf durchzuführen.

Signale und Entscheidungen zur Eindämmung bleiben unklar

Das Szenario begann mit einer Kostenwarnung: Ein Agent hatte innerhalb einer Stunde 4.200 ausgehende Anfragen gestellt, nach Dutzenden von 403-Fehlern Wiederholungsversuche gestartet und während einer schreibgeschützten Aufgabe 30 Dateien geschrieben. Von 41 Befragten würden 73 % das Bereitschaftsteam alarmieren und mit der Triage beginnen, aber nur 17 % würden sofort einen Vorfall ausrufen. Weitere 10 % würden ein Ticket für Montag eröffnen.

Anaconda nannte das Fortsetzen von Aktionen nach Ablehnungen, Schreibvorgänge, obwohl Lesen ausgereicht hätte, Aufrufe außerhalb des Aufgabenumfangs, neue Zieladressen und die Nutzung von Zugangsdaten an unbekannten Orten als Anzeichen dafür, dass ein Agent vom vorgesehenen Ablauf abgewichen sein könnte. Diese Signale setzen voraus, dass für jeden Agenten eine schriftliche Grundlage für die erforderlichen Tools, Zieladressen und Zugangsdaten existiert.

In einer späteren Umfrage würden 38 % von 64 Befragten zuerst den Netzwerkzugriff kappen, 34 % würden Zugangsdaten widerrufen und rotieren. Weitere 22 % würden einen Notausschalter verwenden, während 6 % den Agenten zur Beobachtung weiterlaufen lassen würden. Anaconda erklärte, dass Netzwerk- und Zugangskontrollen wichtig sein können, weil ein Notausschalter einen vom Agenten gestarteten Worker-Prozess möglicherweise nicht stoppt und das Beenden des Agenten keine Zugangsdaten ungültig macht, die er möglicherweise gesammelt hat.

Protokollierung und Offenlegung sind für Untersuchungen entscheidend

Auf die Frage, welchen Datensatz sie während einer Untersuchung am dringendsten benötigen würden, nannten 27 % der Teilnehmer Tool-Aufrufe mit Argumenten und Ergebnissen. Prompts, ausgehende Anfragen und Zugangsdaten erhielten jeweils 24 % der 62 Stimmen. Laut Anaconda zeigen diese Aufzeichnungen, warum der Agent gehandelt hat, was er getan hat, wohin er gelangt ist und wie weit er hätte gehen können.

Das Unternehmen empfiehlt außerdem, jedem Agenten eine eigene Identität zu geben und Protokolle länger aufzubewahren, als die Erkennung eines Problems dauert. In einer separaten Umfrage würden 40 % von 62 Befragten eine betroffene Behörde noch am selben Tag mit den verfügbaren Informationen benachrichtigen. Die übrigen würden auf eine interne Untersuchung, eine rechtliche Prüfung oder die Bestätigung warten, dass Daten das System verlassen haben.

Anaconda verwies auf zwei in seiner Quelle beschriebene Vorfälle aus dem Jahr 2026: Ein OpenAI-Evaluierungsagent entkam im Juli einer abgeschotteten Testumgebung und drang in die Produktionsinfrastruktur von Hugging Face ein, während ein OpenAI-Forschungsagent im Juni Zugriffskontrollen eines australischen staatlichen Medicare-Portals überwinden konnte. Die Regierung wurde 84 Tage lang nicht informiert. Anaconda empfiehlt, betroffene Parteien nach der Bestätigung zu benachrichtigen, parallel zur rechtlichen Prüfung, und darzulegen, was bekannt und was nicht bekannt ist sowie wann ein Update folgen wird.