Was der Agent alles glaubt

KI-Agenten bekommen Zugriff. Jetzt zählt, wer sie kontrolliert.

Warum reale Angriffe, Website-Logins und persönliche KI-Mitarbeiter diese Woche wichtiger waren als das nächste Modell

Diese Woche wurde aus dem KI-Agenten endgültig mehr als ein besserer Chatbot. Russischsprachige Angreifer nutzten Cursor bei Einbrüchen in mindestens sieben Unternehmen. Cisco gibt rund 90.000 Beschäftigten einen persönlichen Agenten. ChatGPT Work und Claude Cowork können hinter Website-Logins arbeiten. Okta gibt Agenten eigene Unternehmensidentitäten. Cyberversicherer prüfen zugleich, ob Schäden durch autorisierte Agentenhandlungen überhaupt in ihre bisherigen Definitionen passen.

Gleichzeitig zeigt Meta, wie schnell die Rechnung schiefgehen kann. Mehr erzeugter Code bedeutete intern nicht annähernd genauso viele neue Funktionen. Meta stoppte die zweite geplante Restrukturierungswelle.

Der rote Faden ist für mich deshalb klar: Agenten gehen in den Betrieb, aber viele Unternehmen behandeln ihre Zugriffe, Verantwortlichkeiten und Risiken noch wie einen Produkttest.

Die naive Frage lautet: Wie viel Arbeit kann ein Agent übernehmen? 

Die bessere Frage lautet: Worauf darf er zugreifen, wer trägt die Verantwortung und wie stoppst du ihn, wenn Modell, Anbieter oder Erinnerung versagen?

1. Angreifer nutzen Cursor bei Attacken auf mindestens sieben Unternehmen

Russischsprachige Cyberkriminelle haben den KI-Coding-Agenten Cursor bei Angriffen auf mindestens sieben Unternehmen eingesetzt. Reuters konnte sechs Opfer identifizieren, darunter den deutschen Torhersteller Teckentrup. Die Sicherheitsfirma Gambit fand auf einem offen erreichbaren Server 28 Chat-Sitzungen. Darin gaben die Angreifer vor, ihre Aktionen seien Teil eines legitimen Tests. Cursor half anschließend bei Hunderten bösartigen Schritten, unter anderem bei der Suche nach Zugangsdaten und verwundbaren Systemen. Nachdem der Agent in Teckentrups Netzwerk ein anfälliges System gefunden hatte, empfahl er sogar ein bekanntes Angriffswerkzeug. Lehnte Cursor einzelne Befehle ab, starteten die Täter teilweise einfach eine neue Unterhaltung und wiederholten ihre Geschichte.

Was die Belege nicht zeigen: Cursor führte die Angriffe nicht eigenständig durch. Menschen gaben Ziele und Befehle vor. Die dokumentierte Angriffskette beruhte nicht auf einer technischen Schwachstelle im Modell. Die Täter täuschten den Agenten über den angeblichen Zweck ihrer Aktionen. Reuters konnte zudem nicht feststellen, wie entscheidend der Agent für jeden einzelnen Einbruch war oder ob jeder Angriff zu Datenabfluss und Erpressung führte.

Die Einordnung: Das Problem ist nicht nur, dass ein Agent Schadcode schreiben kann. Gefährlicher ist, dass ein allgemein verfügbares Werkzeug eine glaubwürdig klingende Geschichte über den angeblichen Zweck akzeptiert und anschließend Geschwindigkeit liefert. Für Unternehmen reicht es deshalb nicht mehr, Coding-Agenten als Entwicklerwerkzeug zu behandeln. Sobald sie Netzwerkzugriff, Shell-Befehle oder Zugangsdaten nutzen können, gehören sie in dieselbe Sicherheitsklasse wie privilegierte Administrationswerkzeuge.

Was zu machen ist:

1. Erfasse alle Coding-Agenten, die auf interne Systeme, Repositories, Zugangsdaten oder Produktionsumgebungen zugreifen können.
2. Trenne Entwicklungs- und Produktionszugriffe technisch. Ein Agent sollte nicht aus Bequemlichkeit beides erreichen.
3. Protokolliere Befehle und externe Verbindungen so, dass dein Sicherheitsteam verdächtige Nutzung erkennen und eine Sitzung sofort beenden kann.

2. Meta stoppt den KI-Personalumbau auf halbem Weg

Meta prüfte im geheimen „Project OT”, Teams deutlich kleiner und KI-nativ zu organisieren. In einzelnen Szenarien sollten bestimmte Bereiche um bis zu 60 Prozent schrumpfen. Die zweite geplante Restrukturierungswelle wurde jedoch gestoppt. Interne Zahlen zeigen den Grund für die Skepsis: Codeänderungen stiegen um 220 Prozent, neue oder verbesserte Funktionen für Nutzer aber nur um 36 Prozent. Technische und sicherheitsrelevante Vorfälle nahmen laut internen Beiträgen um 40 Prozent zu, die Zeit für die Fehlerbekämpfung um 70 Prozent.

Was die Belege nicht zeigen: Meta wollte nicht 60 Prozent der gesamten Belegschaft entlassen. Die Zahl bezog sich auf einzelne Teams und Szenarien. Reuters konnte auch nicht bestimmen, welcher Faktor letztlich zum Kurswechsel führte. Zurückgedreht wurde zudem nichts: Die bereits vollzogene erste Welle bleibt bestehen.

Die Einordnung: Mehr Output im Entwicklungssystem ist noch keine höhere Produktivität. Wenn Teams mehr Code produzieren, zugleich aber mehr Zeit mit Fehlern verbringen, steigt Aktivität, nicht zwingend Wertschöpfung. Der riskante Managementfehler besteht darin, Personal auf Basis erwarteter KI-Leistung abzubauen, bevor diese Leistung im eigenen Prozess nachgewiesen wurde. Dann wird aus einer Produktivitätshoffnung eine operative Wette.

Was zu machen ist:

1. Miss vor jedem KI-Pilotprojekt den heutigen Ausgangswert: Durchlaufzeit, ausgelieferte Ergebnisse, Fehlerquote und Nacharbeit.
2. Automatisiere zunächst, ohne die menschliche Kapazität sofort zu kürzen. Erst der Vergleich zeigt, ob echte Leistung entsteht.
3. Verändere Rollen erst, wenn der Effekt über mehrere Arbeitszyklen stabil bleibt und nicht nur mehr Aktivität erzeugt.

3. Cisco gibt rund 90.000 Beschäftigten einen persönlichen Agenten

Cisco rollt den persönlichen KI-Agenten MyAgent an rund 90.000 Beschäftigte aus. Das System soll über Outlook, Webex, Jira und SharePoint beaufsichtigte, mehrstufige Aufgaben übernehmen. Es besitzt eine persistente Erinnerung und darf nach Angaben des Unternehmens nur genehmigte Modelle, Systeme und Datenpfade verwenden.

Was die Belege nicht zeigen: Cisco nennt bisher keine belastbaren Werte zu Produktivität, Kosten, Fehlern oder Return on Investment. MyAgent läuft auf Ciscos eigener interner Plattform und ist kein Produkt, das man kaufen kann. Der große Rollout beweist, dass Cisco organisatorisch skaliert, noch nicht, dass jeder Mitarbeiter dadurch messbar produktiver wird.

Die Einordnung: Die interessante Zahl sind nicht die 90.000 Beschäftigten im Rollout. Interessant ist die Architektur dahinter. Ein persönlicher Agent braucht Zugang zu E-Mails, Meetings, Projekten und Dokumenten. Damit entsteht neben jedem Mitarbeiter ein digitaler Akteur, der sich Dinge merkt und systemübergreifend handelt. Die schwierige Arbeit ist deshalb nicht die Bereitstellung des Tools, sondern die neue Aufteilung von Verantwortung.

Was zu machen ist:

1. Starte nicht mit „Agent für alle”, sondern mit einer Rolle und drei klar begrenzten, häufigen Arbeitsabläufen.
2. Benenne für jeden Agenten einen fachlichen Eigentümer, erlaubte Systeme und Aktionen, die immer eine menschliche Freigabe brauchen.
3. Miss Zeitgewinn, Fehler und Nacharbeit gemeinsam. Eine schnellere erste Version ist kein Gewinn, wenn jemand sie dreimal korrigieren muss.

4. Cyberversicherer präzisieren ihre Policen für Agentenrisiken

Versicherer wie MSIG, QBE und Beazley prüfen, wie ihre bestehenden Cyberpolicen auf Schäden durch autonome Agenten anzuwenden sind. Besonders schwierig sind Fälle, in denen kein klassischer Angreifer Zugangsdaten stiehlt. Ein Unternehmen kann einem Agenten bewusst Zugriff geben und trotzdem einen Schaden erleiden, wenn das System Daten offenlegt oder eine teure Entscheidung trifft.

Was die Belege nicht zeigen: Es gibt noch keine einheitliche neue Branchenklausel. Reuters berichtet auch nicht von einem flächendeckenden Ausschluss oder allgemein steigenden Prämien. Viele Versicherer versuchen zunächst zu klären, wie vorhandene Bedingungen greifen.

Die Einordnung: Agenten-Governance wird damit zur Bilanzfrage. Technisch kann ein Zugriff erlaubt und wirtschaftlich trotzdem katastrophal sein. Der Satz „Der Agent durfte auf das System zugreifen” beantwortet nicht, ob ein späterer Schaden versichert ist. Entscheidend wird, wie dein Vertrag ein Cyberereignis definiert und ob fehlerhafte, aber autorisierte Handlungen dazugehören.

Was zu machen ist:

1. Schicke deinem Makler oder Versicherer ein konkretes Szenario: Ein autorisierter Agent löscht Daten, veröffentlicht Informationen oder verursacht eine Betriebsunterbrechung.
2. Lass dir schriftlich bestätigen, welche Eigen- und Drittschäden gedeckt wären und welche Kontrollen vorausgesetzt werden.
3. Dokumentiere Rechte, Limits, Freigaben und Protokolle. Ohne nachweisbare Kontrollen wird eine spätere Diskussion unnötig schwer.

5. Okta gibt KI-Agenten eigene Unternehmensidentitäten

Okta hat Agent SSO allgemein verfügbar gemacht. Kompatible Agenten werden als eigene Identitäten registriert und erhalten kurzlebige, an Richtlinien gebundene Token statt dauerhaft geteilter Zugangsdaten. Cross App Access ist in Oktas Kern-SSO-Plänen enthalten. Das bedeutet allerdings nicht, dass jedes Agentenprodukt und jede notwendige Okta-Komponente automatisch kostenlos ist.

Was die Belege nicht zeigen: Agent SSO deckt nicht jeden Agenten und jedes System ab, sondern nur solche, die den offenen Standard sprechen. Die Angabe, dass nur 34 Prozent der Organisationen Agenten genauso kontrollieren wie Menschen, stammt aus einer Okta-eigenen Studie.

Die Einordnung: Ein Agent mit Zugriff ist kein unsichtbares Skript mehr. Er braucht dieselben vier Dinge wie ein Mitarbeiter: eine eindeutige Identität, einen Eigentümer, begrenzte Rechte und einen Abschaltweg. Geteilte API-Schlüssel erfüllen davon nichts. Sie zeigen später weder sauber, wer gehandelt hat, noch lassen sie sich selektiv entziehen.

Was zu machen ist:

1. Führe ein zentrales Register aller Agenten mit Eigentümer, Zweck, Systemzugriffen und Ablaufdatum.
2. Ersetze dauerhafte und geteilte Schlüssel dort, wo es möglich ist, durch kurzlebige, rollenbasierte Berechtigungen.
3. Nimm Agenten in den normalen Onboarding-, Rollenwechsel- und Offboarding-Prozess deiner IT auf.

6. ChatGPT Work und Claude Cowork arbeiten hinter Website-Logins

ChatGPT Work kann mit einem eigenen Cloud-Browser öffentliche und angemeldete Websites bearbeiten. Der Agent kann Formulare ausfüllen und Aufgaben fortsetzen, nachdem du deinen Computer geschlossen hast. Zugangsdaten gehen laut OpenAI direkt an den Remote-Browser und sind für das Modell nicht sichtbar. Claude Cowork erhielt in derselben Woche ebenfalls einen integrierten Browser. Logins lassen sich dort gezielt importieren, Banking, E-Mail und Single Sign-on bleiben standardmäßig außen vor.

Was die Belege nicht zeigen: Die Systeme können nicht jede Website und jede Transaktion zuverlässig abschließen. Angemeldete Sitzungen können für spätere Aufgaben bestehen bleiben, bis sie ablaufen oder gelöscht werden. Beide Anbieter weisen zudem darauf hin, dass Prompt Injection und unbeabsichtigte Aktionen trotz Schutzmechanismen möglich bleiben.

Die Einordnung: Der Login ist die eigentliche Grenze. Vorher konnte ein Assistent etwas vorschlagen. Dahinter kann er in deinem Namen handeln. Damit wird jede besuchte Website Teil des Sicherheitsmodells. Versteckte Anweisungen auf einer Seite können versuchen, den Agenten umzulenken. Geschützt wird zudem das Passwort, nicht die Sitzung, die danach angemeldet bleibt.

Was zu machen ist:

1. Verwende für Agenten eigene Konten mit minimalen Rechten statt deiner persönlichen Administratorzugänge.
2. Erlaube zunächst nur bekannte Websites und verlange Bestätigungen vor Zahlungen, Veröffentlichungen, Löschungen und Vertragsaktionen.
3. Lege fest, wann gespeicherte Sitzungen gelöscht werden und wer die Aktivitäten kontrolliert.

7. Der Compaction Cliff lässt Agenten Sicherheitsregeln vergessen

Lange Agentenläufe passen irgendwann nicht mehr vollständig in den verfügbaren Kontext. Systeme komprimieren deshalb ältere Informationen. Forscher der Universität Passau haben untersucht, was dabei zuerst verloren geht. Nach einer Komprimierung blieben laut Autoren noch 53 Prozent der Sicherheitsregeln erhalten, nach fünf Komprimierungen 10 Prozent. Ein neu vorgeschlagener Ansatz der Forscher erreichte über fünf Runden 96 Prozent.

Was die Belege nicht zeigen: Das ist ein einzelnes Paper zu konkreten Claude-Code-Konfigurationen. Die Werte gelten nicht automatisch für ChatGPT, andere Agenten oder jede Form der Speicherkomprimierung. Auch die 96 Prozent sind eine Eigenmessung der Autoren an ihrem eigenen Maßstab, kein Branchenstandard.

Die Einordnung: Ein Agent kann die Aufgabe noch kennen und gleichzeitig die Grenzen vergessen, unter denen er sie erledigen sollte. Genau das macht lange, autonome Abläufe riskanter als kurze Chats. Sicherheitsregeln gehören deshalb nicht ausschließlich in denselben Verlauf, den das System regelmäßig zusammenfasst. Was unveränderlich gelten soll, muss technisch getrennt bleiben.

Was zu machen ist:

1. Speichere kritische Regeln, Freigabegrenzen und Verbote außerhalb des komprimierten Gesprächsverlaufs.
2. Teste nach jeder automatischen Komprimierung, ob der Agent zentrale Regeln noch korrekt wiedergeben und anwenden kann.
3. Begrenze lange Läufe und erzwinge bei sensiblen Prozessen regelmäßige Neustarts oder erneute Freigaben.

8. OpenAI schlägt vor, Cursors Modellzugang am 12. November zu beenden

Nach der Übernahme von Cursor durch SpaceX will OpenAI seinen Vertrag zur direkten Modellbereitstellung auslaufen lassen. Als vorgeschlagenes Abschaltdatum nennt OpenAI den 12. November 2026. Das Unternehmen erklärt, es sei nicht überzeugt, dass SpaceX seine Technologie innerhalb der Nutzungsbedingungen einsetzen werde.

Was die Belege nicht zeigen: Der Zugang ist noch nicht abgeschaltet. OpenAI spricht von einem Vorschlag, beide Seiten sind weiter im Gespräch, und Cursor bietet Modelle anderer Anbieter an. Wie groß der technische und wirtschaftliche Umstellungsaufwand tatsächlich wäre, ist nicht öffentlich belegt.

Die Einordnung: Eine Übernahme kann die Lieferkette deiner Software über Nacht verändern, obwohl dein eigenes Unternehmen an keiner Entscheidung beteiligt war. Wer einen produktiven Prozess auf ein Tool baut, hängt oft nicht nur von diesem Tool ab. Dahinter liegen Modelle, Schnittstellen und Verträge, die sich unabhängig voneinander ändern können.

Was zu machen ist:

1. Zeichne für jeden kritischen KI-Prozess die Abhängigkeitskette auf: Anwendung, Modell, API, Datenquelle und Identitätsanbieter.
2. Kläre, welche Ersatzmodelle technisch funktionieren und welche Qualitätsunterschiede auftreten.
3. Führe vor dem 12. November einen echten Wechseltest durch, wenn Cursor mit OpenAI-Modellen Teil deiner Entwicklung ist.

9. Salesforce meldet mehr als 1,5 Milliarden Dollar Agentforce-ARR

Salesforce meldet für Agentforce mehr als 1,5 Milliarden Dollar annualisierten wiederkehrenden Umsatz. Das entspricht nach Unternehmensangaben einem Plus von mehr als 240 Prozent gegenüber dem Vorjahr. Gemeinsam mit Data 360 liegt der ARR bei knapp 3,9 Milliarden Dollar.

Was die Belege nicht zeigen: Salesforce hat die Definition in diesem Quartal erweitert und zählt nun auch Slackbot und Headless 360 zur Agentforce-ARR. Der Vergleich ist deshalb nicht vollständig deckungsgleich, und wie stark sich die Änderung auf die 240 Prozent auswirkt, weist Salesforce nicht aus. ARR ist zudem annualisierter Vertragsumsatz des Anbieters, kein Nachweis für realisierten Kundennutzen oder profitable Agentenprojekte.

Die Einordnung: Trotzdem zeigt die Zahl, dass Agenten vom Experiment zum eigenen Softwarebudget werden. Genau dort entsteht ein neuer blinder Fleck. Ein Agent ist selten nur eine Lizenz. Dazu kommen Datenplattform, Nutzung, Integrationen, zusätzliche Kontrollen und menschliche Nacharbeit. Wer nur den Listenpreis betrachtet, unterschätzt die Gesamtkosten.

Was zu machen ist:

1. Fasse alle Agenten-, Daten- und Nutzungsgebühren eines Anbieters in einer Gesamtrechnung zusammen.
2. Stelle dieser Summe einen messbaren Prozesswert gegenüber: weniger Bearbeitungszeit, niedrigere Fehlerkosten oder mehr abgeschlossene Vorgänge.
3. Prüfe nach 90 Tagen, welche gekauften Funktionen tatsächlich verwendet werden. Streiche Add-ons, die nur in der Präsentation gut aussehen.

10. Bitkom: Robo-Call-Schäden steigen, das Sicherheitsbudget stagniert

Bitkom hat 1.003 Unternehmen ab zehn Beschäftigten in Deutschland befragt. Unter den Unternehmen, die durch Cyberangriffe Schäden erlitten, stieg der Anteil mit Schäden durch automatisierte Robo-Calls von 3 auf 14 Prozent. Bei Deepfakes ging es von 4 auf 8 Prozent. Gleichzeitig blieb der durchschnittliche Anteil der IT-Sicherheit am IT-Budget wie im Vorjahr bei 18 Prozent. BSI und Bitkom empfehlen 20 Prozent.

Was die Belege nicht zeigen: Die 14 Prozent sind nicht der Anteil aller Anrufe. Die Studie basiert auf Angaben der Unternehmen. Ob bei einem Angriff tatsächlich KI eingesetzt wurde, ist nicht in jedem Fall technisch nachgewiesen. 31 Prozent der Befragten waren sich sicher, weitere 51 Prozent haben es vermutet.

Die Einordnung: Angriffe werden nicht nur technisch besser. Sie werden glaubwürdiger, schneller und persönlicher. Der schwächste Punkt ist häufig kein Server, sondern ein Prozess, in dem eine Stimme am Telefon eine Zahlung, einen Passwort-Reset oder eine Stammdatenänderung auslösen kann. Dass das Sicherheitsbudget stagniert, ist deshalb nur die halbe Geschichte. Entscheidend ist, ob das Geld in die Angriffsmuster fließt, die gerade wachsen.

Was zu machen ist:

1. Erlaube keine Änderung von Zahlungsdaten, Passwörtern oder Zugriffsrechten allein aufgrund eines Anrufs.
2. Führe bei sensiblen Vorgängen Rückruf über eine bekannte Nummer und eine zweite Freigabe ein.
3. Teste den Prozess mit einem unangekündigten simulierten Anruf. Erst dann weißt du, ob die Regel im Alltag funktioniert.

Was diese Woche wirklich zeigt

KW 35 war nicht die Woche eines neuen Supermodells. Es war die Woche, in der KI-Agenten Zugang bekamen.

Kriminelle nutzten einen Coding-Agenten bei realen Angriffen. Cisco verteilt persönliche Agenten an eine ganze Belegschaft. Browser-Agenten arbeiten hinter Logins. Okta gibt ihnen Identitäten. Versicherer beginnen zu klären, welche Schäden überhaupt gedeckt sind. Ein Forschungspapier aus Passau zeigt, dass ein Agent seine Sicherheitsregeln im langen Betrieb verlieren kann.

Daraus folgen keine zehn neuen Projekte. Wahrscheinlich ist diese Woche genau eine Entscheidung für dein Unternehmen relevant.

• Vielleicht musst du prüfen, welcher Agent Produktionszugriff hat.
• Vielleicht brauchst du eine schriftliche Antwort deines Versicherers.
• Vielleicht solltest du einen geplanten Personalabbau stoppen, bis der Produktivitätsgewinn wirklich belegt ist.
• Oder du musst erstmals festhalten, welcher digitale Mitarbeiter welche Identität, Rechte und Kosten besitzt.

Der Vorteil entsteht nicht dadurch, dass du Agenten möglichst schnell freilässt. Er entsteht dadurch, dass du ihnen genau genug Grenzen setzt, damit sie zuverlässig arbeiten können.

Hör auf, ChatGPT wie Google zu benutzen

Du brauchst nicht das nächste KI-Tool. Der erste Hebel ist, aus ChatGPT bessere Ergebnisse mit weniger Nacharbeit herauszuholen.

Bekommst du häufig Antworten, die gut klingen, dir aber kaum Arbeit abnehmen? Oft fehlt schlicht ein klarer Arbeitsauftrag.

Genau dafür habe ich den kostenlosen Guide „ChatGPT-Durchbruch” erstellt. Auf 14 Seiten zeige ich dir in etwa zehn Minuten, wie du bessere Arbeitsaufträge formulierst, Antworten gezielt nachschärfst und ChatGPT für Texte, Recherche, Planung und wiederkehrende Aufgaben sinnvoll einsetzt.

Dazu bekommst du fünf Prompts zum Kopieren, acht erklärte Funktionen und einen Spickzettel zum Speichern.

Du brauchst weder technische Vorkenntnisse noch ChatGPT Plus.

KOSTENLOSEN 10-MINUTEN-GUIDE SICHERN

Julian