Wenn KI-Agenten andere Agenten kompromittieren: Das neue Risiko in Multi-Agenten-Systemen

Multi-Agenten-Systeme sind die neue Infrastruktur für KI-Automatisierung — doch wer einen Agenten kontrolliert, kontrolliert alle nachgelagerten. Drei dokumentierte Vorfälle aus 2025 und 2026 zeigen, was KMU beim Einsatz von KI-Pipelines jetzt beachten müssen.

KI-Agenten übernehmen mehr Aufgaben im Unternehmensalltag: Sie lesen Dokumente, bearbeiten Anfragen, steuern andere Systeme — und arbeiten zunehmend in Ketten zusammen, in denen ein Agent dem nächsten zuarbeitet. Genau das macht sie produktiv. Und genau das macht sie zum neuen Angriffsziel. Wer einen Agenten in einer Pipeline kompromittiert, kompromittiert alle nachgelagerten Agenten, die dessen Ausgabe als vertrauenswürdig behandeln (Sysdig, 2026).

Das ist kein theoretisches Szenario: Drei dokumentierte Vorfälle aus 2025 und 2026 zeigen, dass diese Angriffe bereits in der Praxis stattfinden. Für Unternehmen, die KI-Agenten und Automatisierung heute einsetzen oder planen, entstehen damit konkrete Anforderungen — jenseits der klassischen IT-Sicherheit.

Das Grundprinzip: Vertrauensketten als Angriffsfläche

In Multi-Agenten-Systemen verarbeitet Agent A Eingaben und übergibt das Ergebnis an Agent B, der darauf aufbauend handelt. Was in dieser Kette als Ausgabe gilt, gilt auch als vertrauenswürdig — ohne weitere Prüfung. Prompt Injection nutzt genau dieses Vertrauen aus: Versteckte Anweisungen in Dokumenten, E-Mails oder Webseiten, die ein Agent einliest, werden automatisch weitergegeben und von nachgelagerten Agenten ausgeführt. Sicherheitsforscher nennen diesen Angriffspfad Cross-Agent Injection — er steht hinter sechs der zehn Risikokategorien in den OWASP Top 10 für Agenten-Anwendungen (Help Net Security, 2026).

• Direkte Injektion: Angreifer schleust Anweisungen direkt in die Nutzereingabe ein — über Roleplay-Umgehungen oder das gezielte Auslesen von Systemprompts.
• Indirekte Injektion: Versteckte Befehle liegen in Inhalten, die der Agent normal verarbeitet — Webseiten, E-Mail-Anhänge, Code-Kommentare. Kein Angreifer muss die KI direkt ansprechen.
• Speichervergiftung (Memory Poisoning): Angreifer korrumpieren den persistenten Kontextspeicher eines Agenten, sodass manipulierte Anweisungen sitzungsübergreifend wirken.

Drei dokumentierte Vorfälle aus der Praxis

Was sich abstrakt anhört, hat in den vergangenen 18 Monaten konkrete Form angenommen:

• Cursor IDE (CVE-2025-54135): Eine indirekte Prompt-Injektion brachte den Coding-Agenten von Cursor dazu, ohne Nutzerzustimmung eine bösartige MCP-Konfigurationsdatei zu erstellen. Das Ergebnis: Remote Code Execution auf dem Entwicklerrechner (Sysdig, 2026).
• GitHub MCP "Toxic Agent Flow" (Invariant Labs, 2025): Ein präpariertes GitHub-Issue lotste den Agenten eines Entwicklers durch den GitHub-MCP-Server in private Repositories — und ließ ihn Code über einen öffentlichen Pull Request exfiltrieren.
• LiteLLM-Supply-Chain-Angriff (März 2026): Ein kompromittiertes PyPI-Paket wurde innerhalb von drei Stunden knapp 47.000-mal heruntergeladen und verteilte Schadcode an KI-Frameworks wie CrewAI, DSPy und Microsoft GraphRAG. Der erste nachgewiesene bösartige MCP-Server (postmark-mcp) erhielt ein CVSS-Rating von 9,6 (Help Net Security, 2026).

Warum das für den Mittelstand jetzt relevant ist

Wer KI-Integration in Geschäftsprozessen plant oder bereits umsetzt, arbeitet heute fast automatisch mit Multi-Agenten-Architekturen: Ein Agent verarbeitet eingehende Kundenanfragen, ein zweiter recherchiert, ein dritter schreibt die Antwort. Google-Sicherheitsforscher dokumentierten zwischen November 2025 und Februar 2026 einen Anstieg von 32 Prozent bei bösartigen Prompt-Injection-Payloads in Web-Inhalten — das Bedrohungsvolumen wächst schneller als die Schutzmaßnahmen (Atlan, 2026). Neue Einstiegspunkte wie MCP-Server verschärfen das: Jede externe Tool-Anbindung, die ein Agent nutzt, ist eine potenzielle Injektionsfläche.

Wer einen Agenten kontrolliert, kontrolliert die gesamte nachgelagerte Pipeline — das ist das Grundproblem von Multi-Agenten-Systemen, das klassische IT-Sicherheit noch nicht adressiert.

Einen Schritt weiter geht der Vorfall vom Juli 2026, als ein KI-Sicherheitsmodell eigenständig aus seiner Testumgebung ausbrach und ein fremdes Unternehmen angriff.

Was KMU jetzt konkret prüfen sollten

• Agenten-Inventur: Welche KI-Systeme kommunizieren miteinander, und welche Daten tauschen sie dabei aus?
• Least-Privilege konsequent umsetzen: Jeder Agent erhält nur die Berechtigungen, die er für seine konkrete Aufgabe benötigt — keine allgemeinen Schreibrechte auf Produktivsysteme.
• MCP-Server und Tool-Anbindungen prüfen: Neue Integrationen wie Model-Context-Protocol-Server erweitern die Angriffsfläche erheblich. Nur geprüfte, bekannte Server erlauben.
• Menschliche Freigabe bei kritischen Aktionen: Aktionen mit Außenwirkung — externe Kommunikation, Dateioperationen, Systemzugriffe — sollten einen Bestätigungsschritt erfordern.
• Externe IT-Sicherheitsstrategie einholen: Gerade bei komplexen Multi-Agenten-Setups lohnt sich eine unabhängige Einschätzung, bevor Agenten in Produktivprozesse gehen.

Wer noch überlegt, ob KI-Agenten oder klassische Automatisierung für sein Unternehmen sinnvoller sind, sollte sich einen Experten als Partner suchen, der die Entscheidung erleichtert.