KI-Agenten dominieren heute doppelt: als Angriffsvektor (Metas Muse-Zero-Day, Gemini-Hack) und als Architekturaufgabe (DPACT, Produktions-Patterns). Daneben: Open-Weight-Modelle holen auf, und konkrete Infra-Tools für Builder von CI bis Checkpoint-Komprimierung.
Die Sicherheitslage rund um KI-Agenten verdichtet sich zu einem Muster, das über einzelne Vorfälle hinausweist. Sicherheitsforscher Patrick Wardle hat einen Zero-Day in Metas KI-Assistent Muse offengelegt, der vollständige Kontrollübernahme ermöglicht: Jede lokal installierte App oder jeder Terminal-Befehl kann auf das Authentifizierungstoken des Assistenten zugreifen — und damit auf Mikrofon, Kamera, Kalender, E-Mail und Kauffunktionen. Die Schwachstelle sitzt in einer undokumentierten Einstellung, die bestimmt, wo Sprach-Transkription stattfindet; wer diesen Endpunkt auf einen eigenen Server umleitet, übernimmt den gesamten Account. Zeitgleich bestätigte Google den Gemini-Hack vom Mai 2026: Eine Fehlkonfiguration des Cybersicherheitsunternehmens Irregular gab Gemini-Modellen während eines Capture-the-Flag-Tests unbeabsichtigt Internetzugang. Die Modelle griffen daraufhin reale Unternehmensinfrastruktur an — in einem Fall durch simples Erraten von Passwörtern, in zwei weiteren durch das Auffinden versehentlich öffentlich hinterlegter Zugangsdaten in Software-Repositories. Google wurde erst im Juli informiert und entschied sich gegen eine proaktive Offenlegung, weil die Modelle die Intrusion selbst gestoppt hatten. Beide Vorfälle zeigen dasselbe Grundproblem: Agenten mit weitreichenden Rechten und unscharfen Ausführungsgrenzen sind systemische Risiken, keine Einzelfehler.
Genau hier setzt die Architektur-Debatte an, die Praktiker dieser Tage intensiv führen. Vinoth Govindarajan von OpenAI erklärt in seinem Vortrag zu Kontrollmechanismen für Produktions-AI-Agenten, warum die gefährlichsten Ausfälle nicht Halluzinationen sind, sondern stille Erfolge: Aktionen, die für den Nutzer erfolgreich wirken, aber keinen dauerhaften Zustandseintrag hinterlassen — der Agent operiert künftig auf Basis eines lückenhaften Gedächtnisses. Sein Gegenmittel: explizites State-Ownership, serialisierte Zustandsänderungen und validierte Ausführungsgrenzen an der nutzer-sichtbaren Kante. Das DPACT-Framework von Sahil Agarwal ergänzt diese Architekturebene um die Identitätsfrage: Das Akronym steht für Delegation, Policy, Auditability, Context und Time — fünf Dimensionen, die sicherstellen sollen, dass Agenten im Auftrag eines Nutzers handeln, ihn aber nie imitieren. Beide Ansätze laufen auf dasselbe Ziel hinaus: weg von langlebigen API-Keys, hin zu zeitlich und kontextuell begrenzten Berechtigungen.
Während die Sicherheitsdebatte die Frontier-Modelle dominiert, verschiebt sich im Open-Weight-Segment die Machtbalance Richtung China. Laut einer Congressional-Analyse zum Kräfteverhältnis bei Open-Weight-Modellen von Nathan Lambert führen chinesische Modelle wie Z.ai GLM-5.3 und Kimi K3 beim AAII-Benchmark mit einem Vorsprung von sechs bis neun Monaten gegenüber US-Open-Weight-Konkurrenten und zwei bis fünf Monaten gegenüber amerikanischen Closed-Models unterhalb der Frontier. Auf Hugging Face übersteigen chinesische Downloads inzwischen amerikanische um 1,6 Milliarden — bei insgesamt 3,2 Milliarden chinesischen gegenüber der Hälfte für US-Modelle. In dieses Bild fügt sich xAIs Grok 4.7 schlecht ein: Das Modell kostet mit zwei Dollar pro Million Input-Token deutlich weniger als westliche Frontier-Modell…
