Schatten‑KI, unkontrollierte Agenten und Datenlecks: Sonderbericht zur Bewältigung von KI‑Risiken

Unternehmen setzen heute voll und ganz auf KI: Nachdem der Einsatz künstlicher Intelligenz einst mit Vorsicht betrachtet wurde, ist er mittlerweile für die meisten Unternehmen Pflicht. Das Ergebnis ist ein weitverzweigtes Ökosystem aus KI‑Assistenten, -Agenten, -Browsern und -Erweiterungen sowie autonomen Workflows, das jeden Bereich des Unternehmens durchdringt: von der Programmierung und Inhaltsgenerierung bis hin zur Vertragsanalyse und Aufgabenautomatisierung.

Doch während diese KI‑Tools schnell zu unverzichtbaren Katalysatoren für die Produktivität werden, vergrößern sie auch still und heimlich die Angriffsfläche von Unternehmen. Mit zunehmendem KI‑Einsatz entstehen neue Risikokategorien, auf die herkömmliche Sicherheitstools nicht ausgelegt sind. Sicherheitsverantwortliche können nur schwer ermitteln, wohin ihre Daten fließen, wer Zugriff darauf hat und wie diese Drittanbietersysteme geschützt werden können.

Die meisten Unternehmen konzentrieren ihre Governance-Maßnahmen auf weit verbreitete KI‑Plattformen wie ChatGPT, Microsoft Copilot und Google Gemini. Doch Mitarbeiter nutzen zunehmend KI‑Anwendungen oder -Abonnements, die außerhalb der Kontrolle des Unternehmens liegen. Das führt dazu, dass Unternehmen nicht einsehen können, wie ihre Daten gespeichert, aufbewahrt und verarbeitet werden.

Laut den Daten von LayerX findet fast die Hälfte der gesamten KI‑Kommunikation in Unternehmen (47,11 %) über persönliche Identitäten statt – und nicht über unternehmensverwaltete Konten. Und das schafft eine erhebliche Transparenzlücke für die Governance. Außerdem wurden mehr als 14 % der KI‑Konversationen in Unternehmen über persönliche Freemium-KI‑Abonnements durchgeführt, bei denen Daten an Large Language Models (LLMs) weitergegeben werden, um öffentliche Modelle zu trainieren.

Das Beispiel des chinesischen KI‑Unternehmens DeepSeek veranschaulicht, wie die explodierende Nutzung kritische Datensicherheitskontrollen außer Kraft setzen kann. Das alles unterstreicht, wie wichtig kontinuierliche Einblicke in die KI‑Anwendungen sind, die Mitarbeiter eigenständig nutzen.

KI verändert die DLP‑Gleichung (Data Loss Prevention) grundlegend: Informationsübertragungen beschränken sich heute nicht mehr auf klar definierte und gut geschützte Kanäle wie E‑Mails, Dateiübertragungen und Cloud-Speicher. Mit KI können sensible Informationen über Prompts, Konversationen, Code-Snippets, kopierten Text und andere unstrukturierte Formate weitergegeben werden.

Auch wenn einzelne Interaktionen harmlos erscheinen mögen, können sie in ihrer Gesamtheit wertvollen Geschäftskontext offenlegen – und herkömmliche DLP‑Kontrollen sind nicht darauf ausgelegt, diese Art der Offenlegung zu erkennen.

Dieser SOTI-Bericht behandelt beispielsweise den aktuellen Fall eines US‑Regierungsbeamten, der versehentlich vertrauliche Betriebsdaten der Cybersecurity and Infrastructure Security Agency (CISA) über eine öffentliche KI‑Infrastruktur offengelegt hat.

Mitarbeiter nutzen KI zusehends über Browsererweiterungen, die direkt im Browser ausgeführt werden. Diese Erweiterungen verfügen oft über umfassenden Zugriff auf Webinhalte, Nutzeraktivitäten, Anmeldedaten und Unternehmensanwendungen.

Untersuchungen von LayerX ergaben, dass fast 75 % der KI‑Browsererweiterungen hohe oder kritische Berechtigungen anfordern. Das kann unkontrollierten KI‑Zugriff auf sensible Daten ermöglichen, den Cyberkriminelle natürlich nur allzu gern ausnutzen. Die Untersuchung ergab zudem, dass viele KI‑Erweiterungen bekannte Common Vulnerabilities and Exposures (CVEs) aufweisen.

Nehmen wir zum Beispiel „CursorJacking“: Diese heimtückische Angriffsmethode zielt auf Entwickler ab, die den beliebten KI‑Programmierassistenten Cursor AI nutzen. Es reicht bereits eine unkontrollierte Browsererweiterung, damit ein Angreifer unbemerkt Cursor-API‑Schlüssel abgreifen, sich als Entwickler ausgeben und die gesamte KI‑gestützte Entwicklungsumgebung kompromittieren kann.

Die rasante Verbreitung autonomer KI‑Agenten schafft zusammen mit KI‑Browsern und agentischen Nutzeroberflächen eine weitere neue Risikodimension: Je tiefer diese Agenten in tägliche Abläufe und sensible Datenflüsse eingebettet werden, desto mehr agieren sie als unabhängige Teammitglieder, die Entscheidungen mit nur sehr geringer menschlicher Aufsicht treffen.

Eine neue Technik namens „CometJacking“, die auf den Comet AI-Browser von Perplexity abzielt, veranschaulicht diese Bedrohung: LayerX-Forscher haben gezeigt, dass Angreifer schädliche Anweisungen in eine Webseite einbetten können, um den KI‑Agenten des Browsers mittels eines indirekten Prompt-Injection-Angriffs zu manipulieren. Und so können sie sich uneingeschränkten Zugriff auf Daten verschaffen und unbefugte Aktionen ausführen.

Dieser SOTI‑Sicherheitsbericht verdeutlicht, dass Unternehmen die Herausforderung dieses neuen, fragmentierten KI‑Ökosystems bewältigen müssen, indem sie strenge KI‑Governance für Datenflüsse, Identitäten, Erweiterungen und autonome Agenten einführen.

Als Orientierungshilfe für diese Bemühungen bietet unser Bericht folgende Ressourcen:

• Ein praktisches, praxiserprobtes Framework zur Risikominderung
• Eine praktische Checkliste mit Empfehlungen für CISOs und Sicherheitsverantwortliche

Mit den richtigen Sicherheitsframeworks können Unternehmen das Potenzial von KI voll ausschöpfen, ohne sich dabei neuen Risiken auszusetzen.