Neue Agenten-Angriffe: Konsens-Übernahme, Kontextgrenzen-Verwirrung und aufkommende KI-Bedrohungen

Autonome KI-Agenten verlassen das Labor und übernehmen reale Aufgaben: Sie buchen, recherchieren, schreiben Code und stimmen sich in Teams aus mehreren Agenten ab. Genau dieser Schritt öffnet eine Angriffsfläche, die klassische Sicherheitswerkzeuge nicht kennen. Wer ein Agentensystem produktiv betreibt, sollte die neuen Angriffsklassen verstehen, bevor ein Angreifer sie vorführt. Sie bilden den vordersten Rand der breiteren Bedrohungslandschaft für KI-Agenten 2026.

Was sind die neuen Agenten-Angriffe in einem Satz?

Neue Agenten-Angriffe nutzen nicht mehr nur eine einzelne Eingabeaufforderung aus, sondern die Architektur autonomer Systeme selbst: die Abstimmung zwischen mehreren Agenten und die Grenzen des Kontextfensters. Bei der Übernahme des Multi-Agenten-Konsenses schleust ein Angreifer eine manipulierte Aussage in die Kommunikation eines Agententeams ein, sodass die Mehrheit eine falsche Entscheidung als richtig akzeptiert. Bei der Verwirrung der Kontextgrenzen verwischt er die Trennlinie zwischen vertrauenswürdiger Anweisung und untergeschobenen Daten, sodass der Agent eingeschleuste Inhalte als legitimen Befehl behandelt.

Beide Klassen haben eine Gemeinsamkeit: Sie greifen nicht das Modell als solches an, sondern das Zusammenspiel von Gedächtnis, Werkzeugen und Kommunikation. Deshalb versagen Filter, die nur eine einzelne Eingabe prüfen. Die Bedrohung verschiebt sich von der Eingabeaufforderung hin zum gesamten Ablauf eines autonomen Systems.

Warum reichen klassische Schutzmaßnahmen nicht mehr aus?

Ein einzelner Chatbot verarbeitet eine Eingabe und gibt eine Antwort zurück. Ein Agentensystem dagegen merkt sich Zustände über Sitzungen hinweg, ruft Werkzeuge auf, liest externe Daten und tauscht Nachrichten mit anderen Agenten aus. Jede dieser Fähigkeiten ist zugleich ein Einfallstor.

Die OWASP-Initiative für generative KI hat dieser Verschiebung mit einer eigenen Liste Rechnung getragen: den OWASP Top 10 für agentische Anwendungen, veröffentlicht Ende 2025. Der Punkt ASI06 – „Memory & Context Poisoning“ – beschreibt genau den Kern des Problems. Während eine herkömmliche Injektion auf eine Sitzung beschränkt bleibt, überdauert eine Vergiftung des Gedächtnisses den Neustart. Ein Agent, dessen Langzeitgedächtnis kompromittiert wurde, verhält sich in jeder folgenden Interaktion falsch, bis die vergifteten Einträge erkannt und entfernt sind.

Daraus folgt eine unbequeme Erkenntnis: Sicherheit lässt sich bei Agenten nicht mehr an der Eingangstür prüfen. Sie muss den gesamten Lebenszyklus eines Auftrags begleiten – vom ersten Werkzeugaufruf über das gespeicherte Gedächtnis bis zur Abstimmung im Team.

Wie funktioniert die Übernahme des Multi-Agenten-Konsenses?

In einem Mehr-Agenten-System teilen sich spezialisierte Agenten eine Aufgabe: Einer recherchiert, einer prüft, einer entscheidet. Damit das Ergebnis stimmt, müssen sie sich abstimmen – sie bilden einen Konsens. Der Angriff zielt genau auf diesen Mechanismus.

Die Forschung der Jahre 2025 und 2026 hat drei strukturelle Schwachstellen herausgearbeitet, die diese Abstimmung angreifbar machen:

• Kaskaden-Verstärkung (cascade amplification): Eine einzige eingeschleuste Falschaussage genügt, um über die Kette der Agenten hinweg ein breites Versagen auszulösen. Der Fehler vermehrt sich, statt gefiltert zu werden.
• Topologische Empfindlichkeit (topological sensitivity): Nicht jeder Agent ist gleich wichtig. Wer den richtigen Knoten im Kommunikationsgraphen trifft, erzielt mit minimalem Aufwand maximale Wirkung.
• Konsens-Trägheit (consensus inertia): Sobald eine Mehrheit eine Aussage übernommen hat, fällt es den übrigen Agenten schwer, sie zu widerlegen. Die Gruppe stabilisiert den Fehler, anstatt ihn zu korrigieren.

Konkret läuft der Angriff so ab: Der Angreifer platziert eine manipulierte Nachricht – etwa über ein vergiftetes Dokument, das ein Recherche-Agent einliest. Diese Nachricht wandert als „Erkenntnis“ in die Abstimmung. Wegen der Konsens-Trägheit übernehmen die anderen Agenten sie, ohne sie eigenständig zu prüfen. Fachleute sprechen hier auch von der Inter-LLM-Prompt-Injection: Eine bösartige Anweisung wird in einen Agenten eingespeist und breitet sich von dort über seine Nachbarn im Netzwerk aus.

Das Tückische daran: Das Endergebnis sieht aus wie eine sorgfältig geprüfte Gruppenentscheidung. Gerade die Mehrstimmigkeit, die eigentlich Vertrauen schaffen soll, wird zum Hebel des Angreifers.

Was bedeutet die Verwirrung der Kontextgrenzen konkret?

Ein Sprachmodell trennt nicht von Natur aus zwischen „Das ist eine Anweisung von meinem Betreiber“ und „Das ist Text, den ich aus einer Webseite gelesen habe“. Beides landet im selben Kontextfenster. Die Verwirrung der Kontextgrenzen nutzt genau diese fehlende Trennlinie aus.

Ein Angreifer formuliert eingeschleuste Daten so, dass sie wie eine legitime Systemanweisung wirken. Der Agent liest eine E-Mail, ein Dokument oder eine Webseite – und behandelt einen darin versteckten Befehl als seinen eigenen Auftrag. Die Grenze zwischen Befehl und Inhalt verschwimmt; das System gehorcht dem Falschen.

Besonders gefährlich wird das, wenn die Manipulation im Gedächtnis überdauert. Die Forschung hat hier konkrete Belege geliefert:

• Die Angriffsfamilie MINJA hat gezeigt, dass eingeschleuste Erinnerungen einen Sitzungs-Neustart überleben und nachfolgende Interaktionen verseuchen.
• Der dokumentierte Gemini Memory Attack belegt, dass eine Vergiftung des Gedächtnisses das Verhalten eines Agenten lange nach der ursprünglichen Interaktion umformt.

Während die Konsens-Übernahme also das Team angreift, zielt die Kontextgrenzen-Verwirrung auf den einzelnen Agenten und sein Gedächtnis. In der Praxis treten beide oft zusammen auf: Ein über die Kontextgrenze eingeschleuster Befehl wird im Team weitergereicht und dort zum Konsens.

Welche neuen KI-Bedrohungen kommen sonst noch hinzu?

Die beiden genannten Klassen stehen nicht allein. Mit zunehmender Autonomie der Agenten entstehen weitere Bedrohungen, die Betreiber im Blick behalten sollten:

Bedrohung	Angriffspunkt	Folge
Konsens-Übernahme	Abstimmung im Agententeam	Falsche Gruppenentscheidung wirkt geprüft
Kontextgrenzen-Verwirrung	Trennung Befehl/Daten	Agent gehorcht eingeschleustem Befehl
Gedächtnis-Vergiftung (ASI06)	Persistenter Speicher, RAG-Store	Dauerhaftes Fehlverhalten über Sitzungen
Kontroll-Fluss-Übernahme	Ablauf-Logik des Agenten	Agent weicht vom Auftrag ab
Werkzeug-Missbrauch	Funktions- und API-Aufrufe	Unautorisierte Aktionen in echten Systemen

Bei der Kontroll-Fluss-Übernahme (control-flow hijacking) lenkt der Angreifer die Handlungslogik des Agenten um, sodass er vom eigentlichen Ziel abweicht. Abwehrwerkzeuge wie LlamaFirewall prüfen, ob die Argumentation des Agenten noch mit dem vom Nutzer gesetzten Ziel übereinstimmt. Solche Filter mildern das Problem teilweise, lassen sich aber von raffinierteren Angriffen umgehen – ein Beleg dafür, dass es keine fertige Patentlösung gibt.

Der Werkzeug-Missbrauch schließlich ist die direkteste Gefahr: Ein Agent mit Schreibrechten auf eine Datenbank, ein E-Mail-Postfach oder ein Buchungssystem kann realen Schaden anrichten, sobald eine der vorigen Angriffsklassen greift. Die Schwere des Schadens steigt mit dem Umfang der vergebenen Berechtigungen – das Kernmerkmal der übermäßigen Handlungsmacht (Excessive Agency).

Wie lassen sich Agentensysteme gegen diese Angriffe absichern?

Es gibt kein einzelnes Werkzeug, das alle neuen Agenten-Angriffe abwehrt. Wirksam ist nur eine Verteidigung in mehreren Schichten, die am gesamten Ablauf ansetzt – nicht nur an der Eingabe.

• Daten und Anweisungen trennen: Behandeln Sie alle aus externen Quellen gelesenen Inhalte grundsätzlich als nicht vertrauenswürdig. Eingeschleuste Befehle sollten nie denselben Rang wie eine Systemanweisung erhalten.
• Minimale Rechte vergeben: Jeder Agent erhält nur die Werkzeuge und Berechtigungen, die er für seine Aufgabe zwingend braucht. So bleibt der Schaden begrenzt, falls ein Agent gekapert wird.
• Konsens überprüfbar machen: Lassen Sie wichtige Gruppenentscheidungen nicht ungeprüft. Genealogie-orientierte Kontrollschichten, die auf der Nachrichtenebene ansetzen, können laut Forschung die Verstärkung von Fehlern unterdrücken und die Abwehrquote deutlich anheben.
• Gedächtnis hygienisch halten: Speichern Sie nur, was nötig ist, und sehen Sie ein Verfahren vor, um vergiftete Einträge zu erkennen und gezielt zu löschen.
• Mensch in kritischen Schleifen: Bei folgenreichen Aktionen – Zahlungen, Löschungen, externe Mitteilungen – gehört eine menschliche Freigabe in den Ablauf.
• Protokollieren und beobachten: Zeichnen Sie Werkzeugaufrufe und Agentennachrichten nachvollziehbar auf, damit eine Manipulation überhaupt sichtbar wird.

Für Betreiber im DACH-Raum kommt eine regulatorische Dimension hinzu. Werden personenbezogene Daten verarbeitet, greift die DSGVO; für Hochrisiko-Anwendungen setzt die KI-Verordnung der EU zusätzliche Anforderungen an Risikomanagement und Nachvollziehbarkeit. Eine saubere Protokollierung dient damit nicht nur der Sicherheit, sondern auch dem Nachweis der Sorgfaltspflicht.

Was sollten Verantwortliche jetzt tun?

Die neuen KI-Bedrohungen sind keine ferne Zukunft, sondern bereits in der Fachliteratur dokumentiert. Wer ein Agentensystem betreibt oder plant, sollte drei Schritte zeitnah angehen. Erstens: eine Bestandsaufnahme, welche Agenten welche Werkzeuge und Berechtigungen besitzen. Zweitens: ein gezieltes Red-Teaming gegen Konsens-Übernahme und Kontextgrenzen-Verwirrung, statt nur einzelne Eingaben zu testen. Welche Erkennungssignale solche Angriffe in der Telemetrie hinterlassen, ordnet unsere Zuordnung von Agenten-Angriffen zu MITRE ATLAS ein. Drittens: die Verankerung der OWASP-Top-10-Punkte für agentische Anwendungen in den eigenen Prüfprozessen.

Der rote Faden bleibt: Autonomie ist eine Funktion, kein Selbstzweck. Jede zusätzliche Berechtigung, jeder weitere Agent und jedes persistente Gedächtnis vergrößert die Angriffsfläche. Sicherheit für Agenten heißt deshalb, diese Fläche bewusst klein zu halten und über den gesamten Ablauf hinweg zu überwachen.

Hinweis zur Einordnung: Dieser Beitrag fasst öffentlich verfügbare Forschung und Standards zusammen (u. a. OWASP Top 10 für agentische Anwendungen, dokumentierte Angriffe wie MINJA und der Gemini Memory Attack). Er ersetzt keine individuelle Sicherheitsberatung für Ihr konkretes System.