// glossary · DefinedTermSet

Glossar zur Agentensicherheit

Klare, zitierfähige Definitionen der Kernbegriffe der Sicherheit autonomer Agenten — das Vokabular, auf dem die übrige Forschung aufbaut.

01Prompt Injection: Ein Angriff, der vom Angreifer kontrollierte Anweisungen in die Eingabe eines Modells einschleust, sodass der Agent diesen statt der Absicht des Entwicklers folgt. Sie ist die Wurzelklasse hinter den meisten Agentenkompromittierungen.
02Indirekte Prompt Injection: Prompt Injection, die über vom Agenten abgerufene Inhalte ausgeliefert wird — eine Webseite, ein Dokument, eine E-Mail oder eine Werkzeugausgabe — statt vom Nutzer eingegeben zu werden. Die Nutzlast wartet, bis der Agent sie liest.
03Übermäßige Handlungsmacht: Wenn ein Agent mehr Berechtigungen, Werkzeuge oder Autonomie besitzt, als seine Aufgabe erfordert, wird aus einem einzelnen Fehler oder einer Injection echter Schaden. Die Lösung ist die geringste Berechtigung pro Aktion.
04Tool-Poisoning: Manipulation eines Werkzeugs — seiner Beschreibung, seiner Parameter oder seiner Ausgabe — sodass es einen ansonsten ehrlichen Agenten zu schädlichen Aktionen lenkt. Häufig bei nicht vertrauenswürdigen MCP-Servern und Plugin-Ökosystemen.
05Model Context Protocol (MCP): Ein offenes Protokoll, das Agenten über standardisierte Server mit externen Werkzeugen und Daten verbindet. Seine Bequemlichkeit macht es zugleich zu einer Angriffsfläche in der Lieferkette, die man bewusst absichern sollte.
06Confused Deputy: Ein Angriff, bei dem ein privilegierter Agent dazu verleitet wird, seine Befugnisse im Auftrag eines weniger privilegierten Angreifers zu missbrauchen — etwa ein Geheimnis zu lesen, auf das der Anfragende nie direkt zugreifen könnte.
07Datenexfiltration: Das Hinausschaffen sensibler Daten über eine Vertrauensgrenze — oft durch einen Agenten, der dazu gebracht wird, Geheimnisse an eine vom Angreifer kontrollierte URL, ein Werkzeug oder eine Nachricht zu senden. Der letzte Schritt vieler Agentenangriffe.
08Guardrail: Eine Kontrolle, die einschränkt, was ein Agent empfangen oder tun darf — Ein-/Ausgabefilter, Richtlinienprüfungen, Allow-Lists oder menschliche Freigabe. Wirksame Guardrails sind mehrschichtig und werden gegen ihre eigenen Umgehungen getestet.
09Red-Teaming: Eine strukturierte Praxis, den eigenen Agenten so anzugreifen, wie es ein Gegner täte — Payloads bauen, sie gegen das System ausführen und das Ergebnis bewerten — um Schwächen zu finden, bevor es jemand anderes tut.
10MITRE ATLAS: Eine öffentliche Wissensbasis über Taktiken und Techniken von Angreifern gegen KI-Systeme, angelehnt an MITRE ATT&CK. Sie gibt Teams ein gemeinsames Vokabular, um Angriffe auf Agenten zu beschreiben, zuzuordnen und zu erkennen.
11OWASP Top 10 für agentische Anwendungen: Eine Liste von 2025 (die „ASI"-Kategorien, ASI01–ASI10), die die wichtigsten Sicherheitsrisiken speziell für autonome Agenten katalogisiert — von Agent Goal Hijack bis zu abtrünnigen Agenten — getrennt von der ursprünglichen OWASP-LLM-Top-10.
12Zero Trust: Ein Sicherheitsmodell, das keiner Anfrage standardmäßig vertraut und jede einzelne — Identität, Geltungsbereich und Kontext — im Moment ihrer Stellung verifiziert. Für Agenten heißt das: Jeder Werkzeugaufruf wird neu autorisiert, nicht einmalig gewährt.
13Agenten-Identität: Eine verifizierbare, kryptografische Identität für einen nicht-menschlichen Agenten — ausgestellt per mTLS, signierten Tokens oder einem Framework wie SPIFFE — damit seine Aktionen authentifiziert, im Geltungsbereich begrenzt und auditiert statt blind vertraut werden können.
14Capability-based Security: Ein Zugriffsmodell, bei dem das Recht zu handeln ein eng begrenztes, fälschungssicheres Token ist, das an eine bestimmte Ressource und Operation gebunden ist, statt einer allgegenwärtigen Berechtigung. Es lässt einen Agenten genau die Befugnis halten, die eine Aufgabe braucht — und nicht mehr.