Bei einer CISO-Runde, die vom Chief Information Security Officer von Anthropic ausgerichtet wurde, stellte Rubriks GM of AI Dev Rishi den Anwesenden eine einfache Frage: Hatten alle ihre KI-Governance- und Sicherheitsrichtlinien schriftlich festgehalten? Etwa 14 Hände gingen nach oben. Seine Anschlussfrage — wie diese Richtlinien tatsächlich durchgesetzt werden — löste eine deutlich andere Reaktion aus.

"And everybody chuckled," erinnerte sich Rishi während eines Fireside-Chats auf der VB Transform 2026 in Menlo Park. "It was like the dirty secret in the room that everyone has these policies, but no way to actually make them real."

Genau diese Lücke zwischen dem Vorhandensein von Richtlinien und ihrer Durchsetzung ist der Bereich, auf den Rubrik abzielt. Rishi erklärte, dass der Gründer und CTO des Unternehmens nachdrücklich darauf drängt, die KI-Agenten des Unternehmens in den sogenannten YOLO mode zu versetzen — eine Konfiguration, die Berechtigungsabfragen aus Agenten-Workflows entfernt und Agenten autonom handeln lässt. Für ein börsennotiertes Datensicherheitsunternehmen, dessen Kerngeschäft die Sicherung kritischer Unternehmensdaten ist, hat diese Aussage Gewicht.

In Rubriks Umsetzung bewertet ein zweites KI-System jede Agentenaktion in Echtzeit anhand der organisatorischen Richtlinien und ersetzt damit den Menschen, der sonst auf „Genehmigen“ klicken würde. Rubrik testet den Ansatz zunächst an sich selbst. Rishi stellte Autonomie als eine Frage der Beurteilung dar, nicht der Fähigkeit. "If you ask the agent to act autonomously, it will," sagte er. "It's a question that you have internally. Should it?"

Von Sicherheitstheater zu KI-Schiedsverfahren

Rubrik gelangte durch schmerzhafte Erfahrungen zu diesem Ansatz. Als Claude Code- und Cowork-Piloten intern gestartet wurden, schrieb das Unternehmen vor, dass jeder Befehl im ask mode ausgeführt werden musste, was bedeutete, dass der Mitarbeiter, der ihn ausgab, die Verantwortung trug. Der Widerstand der Entwickler war stark und füllte einen einzelnen Slack-Thread mit 120 Nachrichten.

"The developers basically are pushing back, and they're like, this is like the iTunes service agreement. I'm just hitting check, check, check, check, check, check, check," berichtete Rishi. "There's no way that I can actually read through this. And it becomes security theater."

Die Frustration ist weit verbreitet. Unter Verweis auf Untersuchungen von Rubrik Zero Labs sagte Rishi, dass sich rund 80% der Befragten in derselben Zwickmühle befinden. Die Ergebnisse stammen aus "The State of the Agent", einem Bericht vom April auf Grundlage einer Umfrage unter mehr als 1,600 IT- und Sicherheitsverantwortlichen. Er kam zu dem Schluss, dass die Überwachung und Genehmigung von Agentenaktionen mehr Zeit verbraucht, als die Agenten selbst einsparen.

Rubriks Antwort ist SAGE, der Semantic AI Governance Engine. SAGE fungiert als Schiedsebene innerhalb von Rubrik Agent Cloud, überwacht jede Agentenaktion, interpretiert die semantische Absicht dahinter und entscheidet anhand in natürlicher Sprache verfasster Richtlinien, ob die Aktion zulässig ist oder nicht. "We took what people said was human in the loop, a good idea, and we replaced it with AI in the loop," sagte Rishi und beschrieb damit, wie er das Konzept Sicherheitsverantwortlichen präsentiert, die er als nervös gegenüber nichtdeterministischen Systemen charakterisierte.

Der Wandel ist wichtig, weil Unternehmensagenten über Chat- und Codevorschläge hinaus in System of Record, Ticketing-Warteschlangen, Repositories und Kommunikationstools vordringen. In diesem Umfeld ist Governance keine Dokumentationsübung mehr, sondern ein Ausführungsproblem: Die Kontrolle muss genau in dem Moment greifen, in dem ein Agent versucht, ein Tool zu verwenden.

Sicherheitsfreigabe, nicht Kosten, begrenzt den KI-ROI

Rishis Hintergrund umfasst einige der einflussreichsten Organisationen im Bereich KI und maschinelles Lernen. Vor seinem Wechsel zu Rubrik war er Mitgründer und Leiter von Predibase, einem Startup für generative KI-Infrastruktur, dessen Übernahme Rubrik im Juni 2025 vereinbarte. Zuvor leitete er bei Google das ML-Produkt in dem Team, aus dem Vertex AI hervorging, und war der erste Produktmanager von Kaggle während dessen Wachstum von rund einer Million auf zehn Millionen Nutzer. Er besitzt Bachelor- und Masterabschlüsse in Informatik von Harvard.

In seinen ersten dreieinhalb Monaten bei Rubrik führte Rishi 200 Kundengespräche mit IT- und Sicherheitsverantwortlichen in einer Kundenbasis, die dem Global 2000-Profil ähnelt. Dabei stellte er offene Fragen zu Kosten, Latenz, Leistung und Orchestrierung.

"Pretty consistently, what I heard through all of those conversations was that all of those are pretty secondary," sagte er. "The main challenge is actually, how do I get this approved from a security and risk standpoint? I'm concerned about all the different things that could go wrong. Actually, I felt like that was one of the biggest things constraining ROI."

VentureBeat Pulse-Untersuchungen, die früher an diesem Tag auf der Transform-Bühne vorgestellt wurden, bestätigten, was Rishi immer wieder gehört hatte. Die Daten zeigten, dass 66% der Unternehmen — zwei Drittel — bereits Produktionseinsätze ohne menschliche Prüfung erlauben oder aktiv darauf hinarbeiten, während nur 5% den automatisierten Bewertungen, die diese Entscheidung stützen würden, vollständig vertrauen.

Diese Vertrauenslücke ist die kommerzielle Chance für Produkte zur Agenten-Governance, setzt aber zugleich eine hohe Messlatte. Wenn automatisierte Prüfung zum Mechanismus wird, der Agenten erlaubt, menschliche Genehmigungen zu umgehen, benötigen Unternehmen Belege dafür, dass die Prüfschicht sowohl schnell genug für Produktions-Workflows als auch zuverlässig genug ist, damit Sicherheitsteams sie vertreten können.

Eine KI liest, was das Regelwerk nicht erfassen kann

Rubriks eigene interne Richtlinien zeigten, warum schriftliche Regeln als Durchsetzungsmechanismen zu kurz greifen. Eine Regel sah vor, dass Agenten Rubriks Richtlinie zur Nutzung von Kundendaten respektieren müssen — eine Vorgabe, die durchsetzbar klingt, bis jemand versucht, sie operativ umzusetzen.

"Rubrik's customer data use policy is like a three-page document of legal text," sagte Rishi. "I have no idea how to write that in there as a rule." Als er auf der Bühne gefragt wurde, wie ein Team von KI-Infrastrukturspezialisten ein Problem anging, das traditionell Sicherheitsingenieuren gehört, antwortete Rishi: "with a lot of naivety and innocence, honestly."

Die zentrale Wette des Teams lautete, dass sprachkompetente Modelle andere Modelle wirksam überwachen könnten. Daraus entstand SAGE. Das Argument dafür, ein Modell auf den Richterstuhl zu setzen, beruht auf Präzision. Eine Regel, die Agenten etwa das Bearbeiten von Umsatzfeldern in Salesforce verbietet, scheitert in herkömmlichen Tools, weil Salesforce nicht unterscheidet, welche Felder als Umsatz gelten. Administratoren sind deshalb gezwungen, jede Salesforce-Aktion manuell zu genehmigen. SAGE liest stattdessen die Absicht und nutzt organisatorischen Kontext, um eine unbedenkliche Datenabfrage von jener Art von Bearbeitung zu unterscheiden, die eine Richtlinie untersagt.

Die wirtschaftliche Tragfähigkeit hängt davon ab, den Prüfer klein zu halten. SAGE läuft auf einem kleinen Sprachmodell, das laut Rishi mit Kosten und Latenz um eine Größenordnung unter denen eines Frontier-LLM arbeitet. "If I told you, don't worry, you're gonna be secure and governed, but I'm gonna double your cost and latency, you would tell me to get out of the room," sagte er.

Als Rishi das Publikum fragte, wer sich im vergangenen Jahr Sorgen über Tokenverbrauch gemacht habe, hob etwa die Hälfte die Hände. "And I guess the other half is probably just too lazy to raise their hand," scherzte er.

SAGE ist als Aggregation spezialisierter Prüfer aufgebaut, die parameter-effizientes Fine-Tuning nutzen. So kann Rubrik aufgabenspezifische Varianten eines Basismodells erstellen, die gemeinsamen organisatorischen Kontext teilen. Ein Prüfer überwacht Halluzinationen bei der Tool-Nutzung, ein anderer unterdrückt personenbezogene Informationen, bevor sie das System verlassen können, und jeder arbeitet als eigenständig durchsetzbare Richtlinie. Sicherheits- und GRC-Teams haben außerdem begonnen, Finanzregeln in dieselbe Schicht zu schreiben, darunter eine interne Richtlinie, die KI-Ausgaben für persönliche Projekte untersagt.

Die tödliche Dreierkombination

Auf die Frage, welche Angriffsvektoren ihn am meisten beunruhigen, verwies Rishi auf das, was der Sicherheitsforscher Simon Willison im Juni 2025 als "lethal trifecta" bezeichnete. Das Konzept beschreibt einen Agenten, der gleichzeitig private Daten besitzt, ungeprüfte externe Inhalte aufnimmt und über einen Kanal verfügt, um Erkenntnisse an die Außenwelt zu übertragen.

Die zentrale Gefahr, erklärte Rishi, liegt darin, wie sich einzeln legitime Berechtigungen verstärken können, wenn sie kombiniert werden. Ein Agent, der mit den Zugangsdaten eines Mitarbeiters sowohl Salesforce-Zugriff als auch E-Mail-Zugriff erhält, hat zunächst nichts an sich Falsches getan — noch nicht.

"A very simple example is that an agent can start pulling data from Salesforce and then decide to accidentally leak and exfiltrate that out via an email," sagte er dem Publikum. Ein Finanzdienstleistungsunternehmen, mit dem Rishi sich an diesem Morgen getroffen hatte, unterstrich den Punkt und sagte ihm, dass keine der einzelnen Berechtigungen isoliert problematisch sei und der Agent jede davon tatsächlich benötige, um seine Aufgabe zu erfüllen. "It should have permission to each of those systems, but it's the combination that ends up becoming really destructive," sagte Rishi.

Traditionelles Identitäts- und Zugriffsmanagement berücksichtigte solche Kombinationen nie, weil es sich auf das menschliche Urteilsvermögen des Inhabers der Zugangsdaten stützte — und Agenten liefern dieses nicht. "I can tell you the number of times Claude Code has tried to leak some of our sensitive source code to a public GitHub repository is incredibly high," sagte Rishi. Agenten vollständig von öffentlichen Ressourcen abzuschneiden, würde ihren Nutzen zunichtemachen. Damit kehrt die Herausforderung zur Bewertung der Absicht im Kontext zurück, statt den Zugriff breit zu entziehen.

Eine separate VentureBeat June Pulse-Umfrage unter 107 qualifizierten Unternehmensbefragten quantifizierte den Wirkungsradius dieses Musters. VentureBeat-Untersuchungen, die an diesem Morgen auf der Transform-Bühne präsentiert wurden, zeigten, dass 69% der Unternehmen irgendwo in ihrer Agentenflotte geteilte Zugangsdaten verwenden. Organisationen mit geteilten Zugangsdaten erlebten Sicherheitsvorfälle oder Beinahevorfälle mit einer Quote von 63.5% (47 von 74), verglichen mit 40.9% (9 von 22) bei jenen, in denen jeder Agent eine eigene, begrenzte Identität besitzt.

Angriffe, die kein einzelner Schritt offenlegt

Rubrik Agent Cloud erreichte im Februar die allgemeine Verfügbarkeit, auch wenn noch nicht jede von Rishi beschriebene Funktion ausgeliefert wird. Backtesting beginnt gerade mit der Einführung. Die Funktion spielt historische Agentenaktionen und Tool-Aufrufe einer Organisation gegen eine neue Richtlinie durch und zeigt, wo die Richtlinie eingegriffen hätte und wo eine Aktion unentdeckt durchgelaufen wäre, wobei Richtlinienanpassungen in Echtzeit anwendbar sind. Rishi bezeichnete dieses historische Archiv als eines der wertvollsten Datenbestände eines Unternehmens.

Echtzeiterkennung und Blockierung erweisen sich dabei als Einstiegspunkt, nicht als vollständiges Produkt. Bestimmte Angriffe lösen nie eine Einzelaktionsregel aus. "No individual turn of the conversation was problematic, but if you took the session as a full trace, that ended up being problematic," erklärte Rishi. Agent Cloud führt stündlich oder täglich Batch-Analysen über vollständige Sitzungsverläufe hinweg durch und zeigt das an, was Rubrik als "insights" bezeichnet — Probleme, die keine einzelne Guardrail erfasst hat.

Derselbe Zero Labs-Bericht ergab, dass 88% der Organisationen nicht in der Lage sind, Agentenaktionen ohne Systemstörungen zurückzurollen — eine Wiederherstellungslücke, die genau in Rubriks etablierten Kompetenzbereich fällt.

Für Sicherheitsteams ist Rollback die andere Hälfte der Durchsetzung. Das Blockieren einer schädlichen Aktion ist nur dann hilfreich, wenn das System sie rechtzeitig erkennt; wenn ein Agent einen mehrstufigen Workflow abgeschlossen hat, bevor jemand das Problem sieht, hängt die Reaktion davon ab, zu wissen, was geändert wurde, welche Tools verwendet wurden und ob die Organisation die Auswirkungen rückgängig machen kann, ohne einen größeren Ausfall zu verursachen.

Eine unbeantwortete Frage

Ein skeptischer CISO würde die Frage stellen, die der Fireside-Chat nicht beantwortete. SAGE ist selbst ein nichtdeterministisches Modell, das andere nichtdeterministische Modelle bewertet, und Rishi nannte keine Rate für falsch positive oder falsch negative Ergebnisse des Prüfers. Am nächsten kommt die Architektur einer Antwort durch Prüfbarkeit: Sowohl Backtesting als auch Batch-Insights erzeugen eine von Menschen überprüfbare Spur jeder Entscheidung, die SAGE getroffen hat, und jeder Aktion, die daran vorbeigelangt ist. Vorerst wird die Frage, wer den Wächter überwacht, mit einer Belegspur statt mit einem veröffentlichten Benchmark beantwortet. Bis ein solcher Benchmark existiert, bleibt AI-in-the-loop eine operative Wette und keine quantifizierte Kontrolle.

Für Sicherheitsteams, die ihre eigene Bereitschaft bewerten, ergeben sich aus der Sitzung drei Fragen: Wie viele der aktuellen produktiven Guardrails hängen davon ab, dass ein Mensch auf „Genehmigen“ klickt, und was passiert mit dieser Arbeitslast, wenn die Zahl der Agenten steigt? Erzwingt irgendeine Komponente des Stacks semantische Absicht, oder beruht alles auf Allow- und Deny-Listen? Und kann das Team Agentenverhalten gegen eine neue Richtlinie backtesten und eine mehrstufige Sitzung rückgängig machen, ohne Systeme offline zu nehmen?

Rishis Timing trifft auf messbare Marktnachfrage. Dieselbe VentureBeat-Untersuchung ergab, dass 82% der Unternehmen weiterhin die integrierten Guardrails und Cloud-Kontrollen ihres primären KI-Anbieters als wichtigste Sicherheitsschicht für Agenten nennen, während 59% planen, innerhalb der nächsten 12 Monate Sicherheitstools für Agenten einzuführen, zu ergänzen oder zu ersetzen. Nur 12% ziehen ein Produkt für Agentenidentität in Betracht, obwohl geteilte Zugangsdaten weiterhin die Norm sind.

Jeder CISO bei jener Anthropic-Runde hatte ein Richtliniendokument, aber keinen Durchsetzungsmechanismus. Rubrik hat ein Produkt für den Raum zwischen diesen beiden Realitäten gebaut. YOLO mode steht für die Wette, dass eine KI, die andere KIs überwacht, diese Richtlinien endlich operativ machen kann.