Was versteht man unter unsicherer Kommunikation zwischen Agenten?

Eine unsichere Kommunikation zwischen Agenten liegt vor, wenn beim Datenaustausch zwischen autonomen Agenten keine ordnungsgemäße Authentifizierung, Integritätsprüfung oder semantische Validierung stattfindet, wodurch Angreifer die Nachrichten der Agenten abfangen, fälschen oder manipulieren können.

Multi-Agenten-Systeme koordinieren sich kontinuierlich über APIs, Nachrichtenbusse und gemeinsamen Speicher. Das Vertrauen in diese Systeme verteilt sich auf viele Agenten mit unterschiedlichen Autonomiegraden, sodass eine Perimeter-Sicherung um das System herum nur wenig Schutz bietet. Schwache Authentifizierung, Integritätsschutz, Verschlüsselung oder Autorisierung auf einem beliebigen Kanal ermöglichen es Angreifern, Datenverkehr zu lesen, zu verändern, sich als anderer auszugeben oder zu unterdrücken. Die Sicherheitslücken erstrecken sich darauf, wie Nachrichten übertragen werden, wie sie weitergeleitet werden, wie Agenten einander finden und wie Agenten das Empfangene interpretieren. Dazu gehören auch Seitenkanäle, über die der Zeitpunkt oder das Muster der Agentenaktivität Informationen an einen Beobachter preisgeben kann.

Die unsichere Kommunikation zwischen Agenten unterscheidet sich von ASI03:2026 „Identitäts- und Berechtigungsmissbrauch“, bei dem der Schwerpunkt auf dem Missbrauch von Anmeldedaten und Berechtigungen liegt. ASI07:2026 befasst sich mit Nachrichten, die sich auf dem Weg zwischen Agenten befinden.

Warum es gefährlich ist

Agenten handeln auf der Grundlage dessen, was ihre Kollegen ihnen mitteilen; daher beeinträchtigt ein kompromittierter Kanal die Entscheidungen aller nachgelagerten Agenten, was zu folgenden Folgen führt:

• Manipulierte Ergebnisse, die als legitim durchgehen, da von Angreifern eingefügte Anweisungen die Agenten zu verzerrten oder schädlichen Ergebnissen veranlassen, während alles normal erscheint
• Fehlgeleitetes Vertrauen, da manipulierte Reputations- oder Delegationsmeldungen beeinflussen, auf welche Agenten sich ein System stützt und welche Zugriffsrechte diese erhalten
• Entscheidungen, die auf veralteten Bedingungen beruhen, da wiederholte Meldungen Abläufe oder Anweisungen auslösen, die nicht mehr gültig sind
• Sensible Daten und privilegierter Datenverkehr, der über die Infrastruktur des Angreifers geleitet wird, beispielsweise wenn ein bösartiger MCP-Endpunkt (Model Context Protocol) gefälschte Agentenbeschreibungen veröffentlicht oder ein gefälschter Peer, der über die A2A-Erkennung (Agent-to-Agent) mit einem geklonten Schema registriert wurde, den Koordinationsdatenverkehr abfängt
• Widersprüchliche Handlungen der Agenten, da verschiedene Agenten dieselbe Anweisung unterschiedlich interpretieren und jeweils Ergebnisse liefern, die gültig erscheinen

Typische Symptome

Eine unsichere Kommunikation zwischen Agenten tritt auf, wenn:

• Unverschlüsselte Kanäle ermöglichen es einem Angreifer, Nachrichten abzufangen und versteckte Anweisungen einzuschleusen, die die Ziele und die Entscheidungslogik des Agenten verändern.
• Manipulierte oder eingefügte Nachrichten sorgen für Verwirrung darüber, welcher Mitarbeiter für welche Aufgabe zuständig ist, was zu Datenlecks und Störungen bei der Koordination der Mitarbeiter führt.
• Angreifer senden abgefangene Delegierungs- oder Vertrauensnachrichten erneut, und Agenten gewähren Zugriff oder führen Anweisungen aus, deren Gültigkeit bereits abgelaufen ist
• Angreifer erzwingen ein Downgrade auf ein schwächeres Protokoll oder fälschen den Deskriptor eines Agenten, sodass böswillige Befehle als legitimer Datenverkehr durchgehen.
• Manipulierter Discovery-Verkehr verbindet Agenten mit böswilligen Peers oder nicht autorisierten Koordinatoren
• Verkehrsmetadaten geben Aufschluss über Entscheidungszyklen und Zusammenhänge, wodurch Angreifer das Verhalten von Agenten vorhersagen und manipulieren können

In jedem Fall verschafft der Kommunikationskanal zwischen den Akteuren Angreifern mehr Zugriff, Einfluss oder Einblick, als die Sicherheitsvorkehrungen zulassen sollten.

Sicherung der Kommunikation zwischen Agenten

Jede Agent-Nachricht muss einen überprüfbaren Absender, einen intakten Inhalt und den Nachweis ihrer Aktualität aufweisen, wobei jeder Ebene – vom Transport bis zur Bedeutung – Schutz gewährt werden muss:

• Den Datenverkehr durchgehend verschlüsseln, jedem Agenten eigene Zugangsdaten zuweisen und eine gegenseitige Authentifizierung auf Basis einer Public-Key-Infrastruktur (PKI) mit fest zugeordneten Zertifikaten, Forward Secrecy und regelmäßigen Protokollüberprüfungen vorschreiben
• Jede Nachricht signieren und deren Nutzdaten zusammen mit dem Kontext hashen; anschließend eine sprachbasierte Bereinigung und einen Intent-Diff durchführen, um manipulierte Ziele, geänderte Parameter und versteckte Anweisungen zu erkennen.
• Fügen Sie Nonces, Sitzungskennungen und Zeitstempel hinzu, die auf das jeweilige Aufgabenfenster beschränkt sind, und speichern Sie kurze Nachrichten-Fingerabdrücke, um Wiederholungen aus einem anderen Kontext zu erkennen.
• Deaktivieren Sie schwache und veraltete Protokollmodi, lassen Sie die Agenten die Vertrauensbeziehung individuell aushandeln, verknüpfen Sie die Protokollauthentifizierung mit der Identität jedes einzelnen Agenten und wenden Sie Versions- und Funktionsregeln auf der Gateway- oder Middleware-Ebene an.
• Begrenzung der auf Metadaten basierenden Schlussfolgerungen durch Nachrichten mit fester Länge oder aufgefüllte Nachrichten (soweit möglich), geglättete Kommunikationsraten und nichtdeterministische Kommunikationspläne
• Feste Versionen des Model Context Protocol (MCP), von Agent-to-Agent (A2A) und anderer Agentenprotokolle festlegen, Downgrades und nicht erkannte Schemata ablehnen und sicherstellen, dass beide Parteien dieselben Fähigkeiten und dieselbe Version melden
• Verlangen Sie bei jeder Erkennungs- und Koordinierungsnachricht eine kryptografische Identifizierung, sperren Sie Agent-Verzeichnisse durch Zugriffskontrollen und geprüfte Reputationswerte ab und achten Sie auf ungewöhnliche Routing-Muster
• Beziehen Sie Agenten aus Registern oder Marktplätzen, die Identität, Herkunft und die Integrität der Deskriptoren bestätigen und nur Erkundungs- oder Koordinierungsdatenverkehr von Agenten akzeptieren, die über signierte, kontinuierlich überprüfte Agentenausweise verfügen.
• Definieren Sie versionierte, typisierte Nachrichtenschemata, in denen die vorgesehenen Empfänger namentlich genannt werden, und verwerfen Sie alle Nachrichten, die die Validierung nicht bestehen oder in ein älteres Schema konvertiert werden, ohne dass eine Kompatibilität deklariert wurde.

Agenten sollten jeden Peer so lange als externe Partei behandeln, bis dessen Identität und Nachrichten überprüft wurden.

< Zurück zu Glossar der Begriffe