01Was ist ein Penetrationstest für KI-Agenten?
Ein Penetrationstest für KI-Agenten greift eine KI-Anwendung so an, wie es ein realer Angreifer tun würde: über Eingaben, Dokumente, angebundene Werkzeuge und Datenquellen. Ziel ist der Nachweis, ob sich der Agent zu Datenabfluss, unerwünschten Aktionen oder Rechteausweitung bringen lässt, und wie Sie das verhindern.
02Was unterscheidet ihn von einem klassischen Penetrationstest?
Ein klassischer Pentest sucht Schwachstellen in Code, Konfiguration und Infrastruktur. Bei KI-Agenten ist die Eingabe selbst der Angriff, denn Text in einer E-Mail oder einem Dokument kann den Agenten steuern. Wir kombinieren deshalb Angriffe auf das Sprachmodell mit klassischen Tests der Werkzeuge, APIs und Berechtigungen dahinter.
03Was ist indirekte Prompt Injection?
Bei der indirekten Prompt Injection steckt die Anweisung des Angreifers nicht in der Eingabe des Nutzers, sondern in Inhalten, die der Agent verarbeitet, etwa in einer E-Mail, einer Webseite oder einem Dokument der Wissensbasis. Der Nutzer bemerkt davon nichts. Das BSI hat dazu 2026 Empfehlungen für einen Basisschutz veröffentlicht.
04Welche Risiken entstehen durch MCP-Server?
Über das Model Context Protocol erhalten Agenten Zugriff auf Werkzeuge und Daten. Typische Risiken sind versteckte Anweisungen in Tool-Beschreibungen, nachträglich veränderte Tool-Definitionen, die Weitergabe von Tokens an falsche Empfänger und zu weit gefasste Berechtigungen. Wir prüfen eigene und eingebundene MCP-Server ebenso wie die Clients.
05Testen Sie auch eingekaufte KI-Lösungen?
Ja. Bei Copilots und SaaS-Agenten testen wir Ihre Konfiguration: angebundene Datenquellen, Berechtigungen, Plugins und Freigaben. Ob und in welchem Umfang Tests gegen die Plattform selbst erlaubt sind, klären wir vorab anhand der Bedingungen des Anbieters.
06Nach welchen Standards prüfen Sie?
Wir ordnen Befunde der OWASP Top 10 for LLM Applications 2026, der OWASP Top 10 for Agentic Applications und MITRE ATLAS zu und berücksichtigen die Empfehlungen des BSI. Auf Wunsch zeigen wir den Bezug zu EU AI Act, DORA, NIS2 und ISO/IEC 42001.
07Wie lange dauert ein Test von KI-Agenten?
Das hängt von Zahl und Komplexität der Agenten, Werkzeuge und Datenquellen ab. Eine einzelne Anwendung mit wenigen Werkzeugen ist deutlich schneller geprüft als ein System aus mehreren Agenten mit vielen Anbindungen. Den genauen Aufwand legen wir im Scoping fest.
08Wie gehen Sie mit schwankenden Ergebnissen um?
Sprachmodelle antworten nicht immer gleich. Wir führen jeden Angriff deshalb mehrfach aus und geben im Bericht die Trefferquote an. Auch ein Angriff, der nur in einem Teil der Versuche gelingt, ist ein realer Befund, denn ein Angreifer kann beliebig oft wiederholen.
09Wie testen Sie Microsoft 365 Copilot?
Wir prüfen Copilot mit den Rechten typischer Nutzerrollen: Was findet Copilot in SharePoint, OneDrive, Teams und Postfächern, und was löst eine präparierte E-Mail oder Datei aus? Die Schwachstelle EchoLeak (CVE-2025-32711) hat gezeigt, dass eine einzige E-Mail ohne Klick des Nutzers zu Datenabfluss führen konnte. Eigene Agenten aus Copilot Studio testen wir zusätzlich mit ihren Connectoren und Aktionen.
10Wann ist ein Architektur-Review sinnvoll?
Bevor der Agent gebaut ist oder bevor er neue Werkzeuge und Rechte erhält. Designfehler wie zu weite Berechtigungen, fehlende Freigaben für kritische Aktionen oder vermischte Anweisungen und Inhalte lassen sich in der Konzeption mit wenig Aufwand beheben. Im Pentest vor Go-live prüfen wir anschließend, ob die Maßnahmen wirken.
11Was prüft ein MCP-Server-Audit?
Wir prüfen Tool-Beschreibungen auf versteckte Anweisungen, Änderungen an Tool-Definitionen nach der Freigabe, Authentifizierung und Weitergabe von Tokens, Berechtigungen je Werkzeug sowie Eingabevalidierung und Befehlsausführung. Grundlage sind die OWASP MCP Top 10. Das gilt für selbst entwickelte ebenso wie für eingebundene Server von Drittanbietern.
