Cisco testet KI-Agenten automatisiert auf agentenspezifische Angriffsflächen

Klassische KI-Sicherheitsbewertungen konzentrieren sich auf konversationelle Angriffsflächen: Wie reagiert ein Modell auf adversarielle Prompts oder Jailbreak-Versuche im Chat? Wenn ein Sprachmodell jedoch in einen sogenannten „Agent Harness“ eingebettet wird, also mit Werkzeugen, Speicher, Retrieval-Mechanismen und Orchestrierungslogik ausgestattet wird, entstehen neue Angriffsflächen, die ein konversationeller Evaluator weder beobachten noch ausnutzen kann.

Solche Agenten lesen Support-Tickets, rufen Dokumentation ab, installieren Fähigkeiten und schreiben in Dateien. Sie können Werkzeuge mit Argumenten aufrufen, die der Nutzer nie eingegeben hat, oder mehrstufige Workflows über mehrere Sitzungen hinweg ausführen. Ein Angreifer, der Agent-Architekturen versteht, kann Anweisungen in Inhalte einschleusen, die der Agent abruft, Werkzeugargumente manipulieren oder den Agenten dazu bringen, persistenten Zustand zu verändern, der über die aktuelle Sitzung hinaus bestehen bleibt. Im Chat-Protokoll ist davon nichts zu sehen, der eigentliche Angriff findet außerhalb der Konversation statt.

Cisco hat mit „Agent Validation“ eine neue Evaluierungsfunktion in AI Defense: Explorer Edition eingeführt, der kostenlosen Self-Service-Version von Cisco AI Defense. Das Werkzeug ist speziell für agentenbasierte KI-Systeme konzipiert und ergänzt bestehende Red-Teaming-Funktionen der Plattform.

Die Nutzung erfolgt in drei Schritten: Ein agentenbasiertes Ziel wird verbunden, „Agent Validation“ als Validierungstyp ausgewählt, und der Lauf wird gestartet. Es sind keine zusätzlichen Konfigurationen wie Zielvorgaben oder Budget-Regler erforderlich.

Jeder Lauf führt eine vordefinierte Abdeckungsmatrix aus, die vom „AI Threat Intelligence & Security Research“-Team von Cisco kuratiert wird, demselben Team, das das Cisco AI Security and Safety Framework pflegt. Die Testszenarien umfassen: indirekte Prompt-Injection, Integrität von Systemprompts, Missbrauch von Werkzeugargumenten, Datenexfiltration, persistente Zustandsmutation, Capability Chaining, nicht vertrauenswürdige Code-Pfade und das Anfordern sensibler Daten.

Agent Validation setzt einen autonomen Angreifer ein, der eine Live-Aufklärung gegen den jeweils spezifischen Agenten durchführt, ein strukturiertes Profil der Angriffsfläche erstellt und seine Vorgehensweise anpasst, wenn erste Angriffe erfolglos bleiben. Da jede Agenten-Implementierung andere Werkzeuge, Inhaltsquellen und Richtlinienartefakte hat, ist die Angriffsfläche durch das jeweilige Harness individuell geprägt.

Ein zentrales Problem beim Red-Teaming von Agenten ist die Verifikation: Ob ein Angriff tatsächlich erfolgreich war, lässt sich anhand der Agentenantwort allein nicht feststellen. Cisco löst dies mit einem Verifikationsansatz, der unabhängige Grundwahrheit erzeugt, indem die Agentenantwort mit dem korreliert wird, was das Framework tatsächlich beobachtet hat, sowie mit Out-of-Band-Telemetrie, die der Agent nicht als bedeutsam einordnet. Ein Fund wird nur dann als bestätigt markiert, wenn diese unabhängigen Signale übereinstimmen.

Die getesteten Angriffsflächen sind:

- **Tool-Routen**: Was der Agent tut, wenn seine legitimen Werkzeuge mit schadhaften Argumenten aufgerufen werden - **Indirekte Kanäle**: Anweisungen, die in abgerufenen Dokumenten, Werkzeugausgaben oder Support-Tickets versteckt sind - **Persistenter Zustand**: Modifikationen an Richtliniendateien, Workflow-Definitionen, Genehmigungsstatus und installierten Fähigkeiten, die über die aktuelle Sitzung hinaus bestehen

Die Bedrohungsklassen sind im Cisco AI Security and Safety Framework taxonomiert und umfassen Angriffsziele wie OB-001 (Goal Hijacking), OB-007 (Sabotage/Integrity Degradation) und OB-009 (Supply Chain Compromise).

Cisco beschreibt die Ausgabe jedes Laufs als Bericht, der für Sicherheitsverantwortliche handlungsorientiert aufgebaut ist. Er enthält: eine Übersicht über die Abdeckung (Gesamtzahl der Ziele vs. tatsächlich ausgeführte Ziele), nach Schweregrad sortierte Befunde mit den auslösenden Versuchen, Agentenantworten, beobachteten Werkzeugaufrufen, ggf. Canary-Signalen, Ergebnissen der Kontroll-Replays und Hinweisen zur Behebung. Zudem werden aufgeklärte, angegriffene und übersprungene Werkzeuge aufgelistet sowie ein vollständiger Beweispfad dokumentiert.

Konkrete Messzahlen zu Erkennungsraten oder Schwachstellenanzahlen aus realen Einsätzen nennt Cisco in den verfügbaren Quellen nicht.

Agent Validation ist laut Cisco der erste Baustein eines geplanten breiteren Portfolios für das Testen von Agent-Harnesses innerhalb von AI Defense. Die Plattform baut auf zuvor angekündigten Funktionen wie adaptivem Red-Teaming, Policy Studio Guardrails und Supply-Chain-Discovery für Agenten auf, die Cisco auf der Cisco Live vorgestellt hatte.

Cisco positioniert das Angebot als kostenlose Self-Service-Lösung, die sich an Sicherheitsteams richtet, die agentenbasierte KI-Systeme in ihrer spezifischen Konfiguration evaluieren wollen, ohne dass dafür Sicherheitsexpertise in agentenspezifischen Angriffstechniken vorausgesetzt werden muss.