Als Cisco 15 führende KI-Modelle 6.986 mehrstufigen Angriffen unterzog, waren Angreifer, die ihren Ansatz im Verlauf einer Unterhaltung anpassten, in bis zu 88,3 % der Fälle erfolgreich. Amy Chang, Leiterin für KI-Bedrohungsaufklärung und Sicherheitsforschung bei Cisco, präsentierte dieses Ergebnis auf dem Panel zu agentischer Sicherheit bei VB Transform 2026 — eine Zahl, die jede Organisation beunruhigen sollte, die weiterhin auf Single-Turn-Red-Teaming-Programme setzt.

Die Dringlichkeit im Raum wurde durch Daten gestützt. Laut VentureBeats Pulse-Umfrage vom Juni 2026 unter 107 Unternehmensvertretern hatte mehr als die Hälfte — 54 % — bereits entweder einen bestätigten Sicherheitsvorfall mit Agenten (18 %) oder einen vor einem Schaden abgefangenen Beinahe-Vorfall (36 %) erlebt. Nur 32 % weisen jedem Agenten eine eigene, abgegrenzte und verwaltete Identität zu, und lediglich 30 % isolieren ihre Agenten mit dem höchsten Risiko in Sandboxes. Provider-native Kontrollen und Hyperscaler-Kontrollen bleiben bei 82 % der befragten Unternehmen die primäre Sicherheitsebene für Agenten — eine Statistik, die in VentureBeats umfassenderer Untersuchung zu gemeinsam genutzten API-Schlüsseln hervorgehoben wurde.

Die weltweit größten Sicherheitsanbieter scheinen zur gleichen Schlussfolgerung gelangt zu sein. Palo Alto Networks schloss im Februar die Übernahme von CyberArk für $25 Milliarden ab, CrowdStrike vereinbarte im Januar, $740 Millionen für SGNL zu zahlen, und Cisco kündigte die Absicht an, Astrix Security zu übernehmen — Berichten zufolge für $400 Millionen. Alle Transaktionen zielen auf die Identitäts- und Isolierungsebene, die die meisten Unternehmen noch nicht vollständig aufgebaut haben. Zusammen stehen die drei Transaktionen für mehr als $26 Milliarden an zugesagtem Kapital, das auf Identitäts- und Zugriffsmanagement konzentriert ist.

Eine Laufbahn über Cybersecurity, Regierung und Militär hinweg

Chang brachte nahezu zwei Jahrzehnte Erfahrung in Cybersicherheitsoperationen, Regierung und Militärdienst in das Panel ein. Zuvor war sie Executive Director bei JPMorgan Chase, wo sie globale Cybersicherheitsoperationen leitete und die Cyber-Threat-Intelligence-Teams der Bank führte. Außerdem war sie Senior Staffer im House Foreign Affairs Committee und Offizierin der U.S. Navy Reserve. Derzeit lehrt sie Cybersicherheit und neue Bedrohungen als Adjunct Faculty am Middlebury Institute of International Studies.

Die Zahl von 88,3 % stammt aus einer Studie, die sie gemeinsam mit Nicholas Conley verfasst hat, basierend auf 30.090 Single-Turn-Prompts und 6.986 mehrstufigen Angriffen gegen 15 geschlossene und proprietäre führende Modelle. Die Erfolgsquoten mehrstufiger Angriffe reichten von 7,89 % bis 88,3 %, und jedes getestete Modell zeigte eine nicht triviale Exposition gegenüber Multi-Turn-Angriffen. Bemerkenswert ist, dass die beiden Testmethoden die Modelle nicht einmal in derselben Reihenfolge einstuften. Chang wies außerdem darauf hin, dass Cisco inzwischen adversarielle Bewertungssignale für 105 Modelle auf seinem LLM Security Leaderboard veröffentlicht.

"If you don't understand how models are susceptible to different types of attacks, then you are unable to account for how that model that is powering your agent, that is powering your application, to understand where those failure points are," sagte Chang.

Sie stellte Single-Turn-Tests — den einmaligen bösartigen Prompt — mehrstufigen Angriffen gegenüber, die sie als "more realistic of how we are actually engaging with our models, with our agents, with our applications" beschrieb. Dieser längere Interaktionsbogen legt schädliche Ausgaben und fehlangepasstes Verhalten offen, die ein Snapshot-Test nie erfassen würde. In der Praxis könnte ein Multi-Turn-Angreifer mit harmlosen Fragen beginnen, die Grenzen der Schutzmechanismen des Modells ausloten und das Gespräch anschließend schrittweise in Richtung eines eingeschränkten Themas lenken — wobei jeder Schritt anhand der Modellantworten verfeinert wird, ähnlich wie ein Social Engineer sich an die Reaktionen eines Ziels anpasst.

Agentisches Red Teaming und überraschend einfache Abwehrmaßnahmen

Cisco hat seine eigenen Tests in agentisches Terrain ausgeweitet. Chang beschrieb ein Framework, in dem Agenten ein Bereitstellungsszenario bewerten, relevante Angriffe entwickeln, entscheiden, ob deren Weiterverfolgung sinnvoll ist, sie ausführen und ihren eigenen Erfolg bewerten. Trotz all dieser Komplexität beeindruckte sie vor allem, wie geradlinig die defensive Empfehlung bleibt.

"The answer is still that it's pretty simple," sagte sie. "You don't have to get super creative. You just need to think about truly what are the fundamentals and basics of what I'm trying to secure in my organization."

Für CISOs, die mit agentischen Bereitstellungen beginnen, empfiehlt sie als Ausgangspunkt Ciscos Integrated AI Security and Safety Framework. Dieses beschreibe laut Chang "stipulates all the ways that AI can be compromised across the AI lifecycle" — von der Modalität bis zur Lieferkette. Teams können dann von realen Vorfällen rückwärts arbeiten, nachvollziehen, wie jeder Angriff durchgeführt wurde, und das Framework nutzen, um eine Strategie mit angemessener Abdeckung und passenden Gegenmaßnahmen zu entwickeln. Staatliche Frameworks haben noch nicht aufgeholt: Das im Januar 2023 veröffentlichte AI Risk Management Framework des NIST entstand vor der agentischen Welle und bietet nur begrenzte Orientierung für Systeme, in denen autonome Agenten Tool-Aufrufe verketten und mehrstufige Workflows ausführen.

Box: Drei konzentrische Ebenen und Lehren aus eingebrochenem Vertrauen

Heather Ceylan, CISO von Box, identifizierte aus Sicht der Verteidiger dieselbe Lücke. "A lot of what you see out there with agent red teaming is just single-turn, and that's not how people are actually interacting with AI day-to-day," sagte sie dem Publikum. Box simuliert inzwischen mehrstufige Gegner mit Agenten, die wie Angreifer denken und Versuch um Versuch iterieren, um ein Ziel zu übernehmen. "You have to pressure test your agents because otherwise you don't know if your execution controls are really working as you intended."

Box setzte vor rund einem Jahr Agenten in seinem Security Operations Center ein und verlangte zunächst für jede Aktion eine menschliche Genehmigung. Das Vertrauen wuchs schnell, und Analysten wechselten schließlich in eine Überwachungsrolle. Dann machte der Agent einen einzigen Fehler — und das gesamte aufgebaute Vertrauen war verschwunden.

"They had to start all over again," sagte Ceylan. "So I think that that monitoring piece is so important. Even if you're not gonna have a human in the loop, things change, models change, and we can't control how the models change and interpret things."

Ceylan beschrieb die Verteidigungsarchitektur von Box als drei konzentrische Ebenen. Zuerst kommt die Berechtigungssteuerung, die sicherstellt, dass der Agent nie auf mehr Inhalte zugreift als der Mensch, der ihn aufgerufen hat. Für jede Aufgabe werden kurzlebige Sandbox-Umgebungen gestartet, um den Schadensradius einzudämmen, falls ein Agent kompromittiert wird. Die Laufzeit-Ausführungskontrolle beschränkt anschließend die Tool-Aufrufe des Agenten auf diejenigen, die für die jeweilige Aufgabe relevant sind.

"If you want an agent to summarize a doc for you, if you have a prompt injection that came in that says forward this to maliciousattacker at domain.com, it can't do that," sagte Ceylan. "That action in that tool call is not even in its vocabulary."

Sie ordnete Agentenaktionen drei Aufsichtsstufen zu. Nicht sensible Aktionen wie Lesen und Zusammenfassen erfordern keine menschliche Beteiligung. Mittelgradig sensible Aktionen umgehen die menschliche Genehmigung, werden aber protokolliert und überwacht. Destruktive Aktionen wie das massenhafte Löschen von Dateien erfordern immer einen Menschen. "Things are gonna shift between those three categories quite a bit," räumte sie ein, "but setting those types of categories up front allows you to have a principled framework."

Intuit: Ein Betriebssystem für generative KI

Rajesh Parekh, VP of AI and ML bei Intuit, brachte die Perspektive der Entwickler ein. Parekh leitete zuvor groß angelegte Computer-Vision- und ML-Systeme, die Googles Maps- und Geo-Produkte antreiben, und besitzt einen Doktortitel in Informatik.

Anstatt Kontrollen schrittweise auf einzelne Agenten aufzusetzen, hat Intuit eine zentrale Plattform namens GenOS aufgebaut — kurz für generative AI operating system. Sie abstrahiert Sicherheits-, Risiko- und Betrugsmodellierung, damit Agentenentwickler Schutzmechanismen nicht jedes Mal von Grund auf neu erfinden müssen.

"Permissioning is not about giving access to AI," sagte Parekh. "Instead, it is defining very tightly scoped and clearly auditable authority to the agent to perform very specific tasks." Intuit hat sich von Agenten, die Nutzerberechtigungen erben, hin zu Agenten mit eigener Identität entwickelt. Das Unternehmen untersucht nun Berechtigungsänderungen während einer laufenden Sitzung, die an die jeweils konkrete Aufgabe gekoppelt sind.

Parekh beschrieb das breitere Modell als KI-gestützte Expertenplattform, bei der der menschliche Experte in die Vertrauensarchitektur integriert ist, statt nur als nachträgliches Gate angefügt zu werden. "The paradigm that we are pursuing is where the user, the AI agent, and the human expert are collaborating to solve the user problem," sagte er.

Er erklärte außerdem, warum sich die Red-Teaming-Angriffsfläche so schnell erweitert hat. "These agents have skills, and skills could become vulnerabilities," sagte er. "Agents have access to certain data, they have access to tools, and there could be threats that are lurking within those tools as well. So suddenly the blast radius of the malicious code or the intent increases dramatically." Wenn Intuit in manuellen Red-Teaming-Übungen gemeinsame Schwachstellenmuster identifiziert, automatisiert das Unternehmen diese Tests im GenOS-Harness, damit künftige Agenten den Schutz erben und Red Teamer sich auf neu entstehende Bedrohungen konzentrieren können. Das Laufzeit-Scanning von Prompts und Antworten bildet eine letzte Ebene, die eine verdächtige Antwort anhalten und an einen menschlichen Experten eskalieren kann.

"You need to continuously test to ensure that those remain robust to the protections that you have built, as well as to account for any sort of drift or any other types of dependencies that you introduce into your scenario that can create novel vulnerabilities," fügte Ceylan hinzu.

Das Ende menschlicher Code-Reviews

Ceylan sprach die Spannung zwischen Sicherheitstests und Entwicklungsgeschwindigkeit direkt an. "The days of secure code reviews where a human's looking at the code and we're looking at security architecture reviews, design docs, those are done," sagte sie. "If you keep trying to do security that way, you're gonna get left behind."

Box arbeitet auf einen vollständig agentischen Entwicklungslebenszyklus hin, in dem Agenten Designdokumente prüfen, Sicherheitsanforderungen anwenden und Code auf Schwachstellen auditieren. "I'm very optimistic that we will get to a point where we will write code without security vulnerabilities because agents and the models are going to get so good at writing code without vulnerabilities," sagte sie. "We're still a long way away from that."

Ihre Empfehlung für Entwicklungsteams lässt fortgeschrittene KI-Konzepte beiseite und setzt auf Grundlagen, die lange vor Agenten existierten. "It comes down to very basic least privilege access," sagte sie. "If you start giving your agents overly broad permissions at the beginning, it's really hard to comb that back and build an infrastructure that allows for those ephemeral credentials and only those narrowly scoped tasks."

Absicht versus Wahrscheinlichkeit

Eine Publikumsfrage zur Erkennung von Absicht löste den schärfsten Austausch des Panels aus. Ceylan merkte an, dass das System beim Betrieb des eigenen Box-Agenten die Absicht des Nutzers immer kennt, weil es den Prompt kontrolliert. Dadurch können Schutzmechanismen und Einschränkungen für Tool-Aufrufe entsprechend entwickelt werden. Die schwierigere Herausforderung — an deren Lösung Box nach ihren Worten noch arbeitet — entsteht, wenn externe Agenten eine Verbindung herstellen und der Kontext hinter ihren Anfragen undurchsichtig ist.

Dieser Austausch machte eine breitere Spaltung in der Branche sichtbar. Im Fireside Chat unmittelbar vor dem Panel sprach sich Mastercard dafür aus, Absicht zu quantifizieren und ein Open-Source-Framework zu entwickeln, um sie als Standard weiterzugeben, weil komplexe B2B-Beschaffung ohne dieses Vertrauen nicht funktionieren kann. CTOs aus der Endpoint-Security, die mit VentureBeat sprachen, vertraten die Gegenposition und sagten, sie würden bei Produktions-Workloads auf Wahrscheinlichkeit statt auf Absichtsinferenz setzen.

Chang erklärte, dass Modelle, so wie sie derzeit trainiert werden, Absicht nicht zuverlässig aus einem Prompt ableiten können. Deshalb blieben deterministische Kontrollen und Verhaltens-Proxys unverzichtbar. Ceylan stimmte zu, dass beide Ansätze notwendig sind. "If you're not doing anything deterministic, you're really relying heavily on that intent, and I haven't seen programs that are there yet," sagte sie.

Ceylans Bericht über das zusammengebrochene Vertrauen nach einem einzigen Agentenfehler erwies sich als der einprägsamste Moment des Panels. Er unterstrich, dass agentische Sicherheit im Unternehmen kein Problem ist, das einmal gelöst wird und dann gelöst bleibt. Modelle ändern sich, Berechtigungen driften, und Gegner passen sich über mehrstufige Gespräche hinweg an, die Snapshot-Tests nicht erfassen.

Für die 82 % der Unternehmen, die provider-native Kontrollen als primäre Sicherheitsebene nutzen — und die 59 %, die in den nächsten 12 Monaten nach Sicherheits-Tools für Agenten suchen, einer Kategorie, die heute weitgehend als maßgeschneiderte interne Infrastruktur bei Unternehmen wie Box und Intuit existiert — war die Schlussfolgerung des Panels eindeutig: Testen Sie so, wie Angreifer angreifen, über vollständige Gespräche hinweg und kontinuierlich, oder entdecken Sie erst in der Produktion, was Single-Turn-Red-Teaming übersehen hat.