Agentic AI Security: Definition und Abgrenzung 2026

Agentic AI Security ist die Sicherheits-Kategorie für autonome KI-Agenten, also KI-Systeme, die nicht nur antworten, sondern eigenständig Aktionen in anderen Systemen auslösen (Datensatz ändern, Mail senden, Zahlung freigeben). Sie bündelt Bedrohungsmodell (welche Angriffe gibt es), Schutzmaßnahmen (wie sichert man ab) und Anbieter-Landschaft (wer liefert Werkzeuge dafür). Gartner führt das Feld ab 2025 als eigene Kategorie, getrennt von älteren KI-Sicherheits-Rahmen wie AI TRiSM (Trust, Risk and Security Management für KI-Modelle).

Was ist Agentic AI Security?

Agentic AI Security ist eine Markt- und Fach-Kategorie, die 2025 als Antwort auf eine neue Klasse von Angriffen entstanden ist. Klassische KI-Sicherheit schaut auf das Modell selbst: falsche Antworten (Halluzinationen), einseitige Antworten (Bias), manipulierte Trainingsdaten oder eingeschleuste Anweisungen in der Nutzer-Frage (Prompt Injection, also Angreifer, die Befehle im Text verstecken, den die KI liest). Autonome Agenten verschieben die Angriffsfläche: Sie rufen selbstständig Werkzeuge (Tools, z. B. CRM-Zugriff oder Mail-Versand) auf, speichern Informationen über längere Zeit (Long-Term-Memory, ein persistenter Agent-Speicher über Sitzungen hinweg), verteilen Teilaufgaben an weitere Agenten (Sub-Agenten) und handeln unter eigenem Zugang mit echten Rechten in Fremdsystemen. Damit entstehen Schäden, die man am Modell selbst weder sieht noch verhindert.

Gartner führt Agentic AI Security im Hype Cycle for Artificial Intelligence und im Hype Cycle for Agentic AI als eigenes Profil mit der Einstufung „High benefit, 2–5 Jahre bis Plateau". Die Kategorie steht in der Frühphase zwischen Innovation Trigger und Peak of Inflated Expectations. Die Anbieter-Landschaft ist noch fragmentiert, Konsolidierung wird erwartet, Standards und Frameworks sind in Bewegung.

Vier Bedrohungs-Spezifika begründen die eigene Kategorie. Erstens: Action statt Antwort. Ein Tool-Aufruf hat reale Konsequenzen (Datensatz geändert, Mail versendet, Zahlung ausgelöst) und lässt sich nicht wie eine Chat-Antwort verwerfen. Zweitens: Excessive Agency (OWASP LLM06). Der Agent hat häufig mehr Rechte, Werkzeuge und Autonomie als sein Zweck erfordert. Drittens: Multi-Agent-Trust-Kaskaden. Vertrauen wird zwischen Agenten weitergereicht, ohne dass jede Stufe die Herkunft der Anweisung validiert. Viertens: Indirect Prompt Injection und Memory-Poisoning. Angreifer platzieren Anweisungen in Dokumenten, Mails, Webseiten oder im persistenten Agent-Speicher, sodass ein sauber geprompteter Agent im nächsten Schritt manipuliert handelt.

Die Kategorie umfasst mehrere Mitigation-Schichten: Modell-Ebene (LLM Security), Prompt-Ebene mit Injection-Filtern und Prompt-Firewalls, Action-Ebene mit Agent-Identität, Tool-Allowlist und Human-in-the-Loop-Bestätigung, Test-Ebene über AI Red Teaming und Betriebs-Ebene mit Tracing und Anomalie-Erkennung. Die Anbieter-Landschaft Stand 2026 gliedert sich grob in Guardrails und Prompt-Firewalls (etwa Lakera, Protect AI, NeMo Guardrails, Guardrails AI), Red-Teaming-Plattformen (etwa Haize Labs, Mindgard, HiddenLayer), Observability mit Security-Fokus (etwa Langfuse, LangSmith, Arize Phoenix) und AI-spezifische Posture-Tools (etwa Wiz AI-SPM, Prisma AIRS, Tenable AI Exposure).

Regulatorisch flankieren mehrere Referenzen die Kategorie: EU AI Act Artikel 15 fordert Cybersecurity-Maßnahmen für Hochrisiko-KI-Systeme, ISO/IEC 42001 verlangt ein strukturiertes AI Management System, NIST AI RMF und MITRE ATLAS liefern Threat-Model-Rahmen, und die OWASP LLM Top 10 benennen die relevanten Bedrohungs-Kategorien (LLM06 Excessive Agency, LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses).

Abgrenzung zu AI TRiSM, Agent Security und LLM Security

Die Sicherheits-Begriffe rund um KI liegen auf unterschiedlichen Ebenen und lösen unterschiedliche Fragen. Verwechslungen führen dazu, dass eine Marktkategorie mit einer technischen Disziplin oder einem Operating-Model-Rahmen gleichgesetzt wird.

Begriff	Ebene	Was er beantwortet
Agentic AI Security	Markt- und Disziplin-Kategorie	Was gehört zur Sicherheits-Klasse rund um autonome Agenten und welche Anbieter besetzen sie?
AI TRiSM	älterer Gartner-Sammelbegriff, modell-zentrisch	Wie werden Vertrauen, Risiko und Sicherheit von KI-Modellen insgesamt gemanagt?
Agent Security	technische Action-Ebene	Wie werden Identität, Tool-Aufrufe und Berechtigungen eines Agenten abgesichert?
LLM Security	Modell-Ebene	Wie werden Modell, Trainingsdaten, Embeddings und System-Prompts geschützt?
Agentic AI Governance	Operating-Model-Rahmen	Wer entscheidet, wer haftet, wie sieht der Lifecycle eines Agenten aus?

AI TRiSM ist der breitere Vorgänger-Begriff mit Fokus auf Modelle, Fairness, Explainability und Model-Monitoring. Agentic AI Security ist enger gefasst und adressiert die Bedrohungen, die AI TRiSM auf Modell-Ebene nicht abbildet. Agent Security ist die technische Umsetzungs-Schicht innerhalb der Marktkategorie: Marktkategorie beschreibt Warum und Was, Agent Security beschreibt Wie. LLM Security setzt eine Ebene tiefer an und schützt das Modell selbst. Agentic AI Governance liefert den organisatorischen Rahmen (Rollen, Genehmigungspfad, Risiko-Tiering); Agentic AI Security ist einer der Bausteine, den dieser Rahmen aktiviert.

Klassische Application Security schützt Endpunkte und Services vor externen Angreifern. Agentic AI Security schützt Systeme vor dem eigenen, autorisierten Agenten, der aus manipuliertem oder falsch berechtigtem Kontext handelt. Diese Verschiebung des Angreifer-Modells ist der Grund, warum die Kategorie eigenständig geführt wird.

Beispiel: Support-Agent unter Agentic AI Security

Ein Unternehmen führt einen Support-Agenten ein, der Service-Tickets bearbeitet, ins CRM schreibt, Antworten formuliert und intern eskaliert. AI-TRiSM-Fragen (Halluzinations-Rate, Bias, Modell-Monitoring) bleiben relevant, decken die neuen Risiken aber nicht ab. Ein Angreifer platziert in einem eingehenden Kunden-Mail eine versteckte Anweisung, alle offenen Tickets zu schließen und Kundendaten an eine externe Adresse weiterzuleiten. Das Modell verarbeitet den Anhang regelkonform, generiert plausibel wirkende Tool-Aufrufe und das CRM tut, was der Agent absetzt.

Unter dem Rahmen Agentic AI Security greift die Kategorie an vier Punkten: Tool-Allowlist ohne Mail-Versand nach außen, Human-in-the-Loop-Bestätigung für Massen-Aktionen, vollständiger Agent-Trace pro Anfrage und kontinuierliches Red-Teaming, das neue Bedrohungsmuster (Indirect Prompt Injection, Memory-Poisoning, Data Exfiltration via Agents) systematisch prüft. Auf Organisations-Ebene sortiert die Kategorie zusätzlich die Owner-Frage (Sicherheits-Organisation mit AI-Mandat, AI-Governance-Funktion oder eine neue Rolle), den Reifegrad-Pfad und die Übergabe zur klassischen Security-Organisation. Diese Fragen beantwortet Agentic AI Security als Markt- und Investitions-Frame, während die operative Umsetzung in den Umsetzungs-Disziplinen (Agent Security, LLM Security, AI Red Teaming) sitzt.