Wissen, ob Ihre KI-Agenten ausnutzbar sind – bevor es jemand anders herausfindet.
Autonome Agenten erweitern Ihre Angriffsfläche um eine völlig neue Dimension: probabilistisches Verhalten, Werkzeugzugriff, persistenter Speicher, Multi-Agent-Kommunikation. Wir prüfen Ihre Agentic AI Systeme gegen die OWASP Agentic Threats T1–T15 – methodisch, beweisbasiert, mit validierten Exploits.
Agentic AI Pentesting im Überblick
Klassische Pentests prüfen nicht, was Agentic AI gefährlich macht.
Ein Web-Pentest sucht SQL Injection. Ein API-Pentest prüft Authentifizierung. Beide gehen von deterministischem Verhalten aus – gleicher Input, gleicher Output. Agentic AI bricht genau diese Annahme: probabilistisches Reasoning, autonome Tool-Auswahl, persistenter Speicher, Multi-Agent-Kommunikation.
Daraus entstehen Angriffsklassen, die kein klassischer Pentest abdeckt: Prompt Injection über vertraute Datenquellen, Memory Poisoning, das Sessions überdauert, Tool Misuse durch manipulierte Reasoning-Pfade, Privilege Compromise über die Agent-Identität. Ein Agentic AI Pentest ist eine eigenständige Disziplin – und sie entscheidet darüber, ob Ihr Agent ein Werkzeug bleibt oder zum Werkzeug Ihrer Angreifer wird.
Was ist ein Agentic AI Pentest?
Eine expertengeführte offensive Sicherheitsanalyse Ihrer KI-Agenten – gegen die spezifischen Angriffsklassen, die in autonomen, werkzeugnutzenden, gedächtnisbehafteten Systemen entstehen.
Geprüft wird, was den Agenten ausmacht: das LLM (KC1), die Orchestrierung (KC2), das Reasoning (KC3), Memory-Module (KC4), Tool-Integrationen (KC5) und die operative Umgebung (KC6). Jede Schicht hat eigene Schwachstellen.
Etablierte Frameworks (OWASP Agentic Threats T1–T15, MAESTRO, NIST AI RMF) kombiniert mit modernen Pentest-Tools (AgentDojo, Agentic Radar, AgentPoison, Garak, Promptfoo) und manueller Validierung – keine reinen Tool-Reports, keine generischen Checklisten.
Jede Schwachstelle wird validiert: mit reproduzierbarem Proof-of-Concept, dokumentiertem Angriffspfad und konkreter Auswirkung. Keine Hypothesen, keine theoretischen Risiken – nur was wirklich ausnutzbar ist.
OWASP Top 10 for LLM Applications
Die 10 kritischsten Sicherheitsrisiken für Large Language Models — Grundlage unserer Testmethodik.
Bösartige Anweisungen in Eingaben manipulieren das Modell — Regeln ignorieren, Daten preisgeben oder schädliche Inhalte erzeugen. Dazu zählen direkte und indirekte Injection: eingebettete Anweisungen in E-Mails, PDFs, Webseiten oder RAG-Dokumenten. Klassische Filter versagen oft, weil der Angriff im natürlichen Sprachkontext stattfindet.
Offenlegung vertraulicher Daten über Ausgaben oder Konfiguration — PII, Geschäftsgeheimnisse, interne Modelldaten. Besonders riskant bei langen Sessions, fehlenden Output-Filtern und versehentlich mitgelieferten System- oder Entwicklerhinweisen. Mitigation: Kontext minimieren, sensitive Muster aus Logs verbannen.
Kompromittierte Modelle, Datensätze, Bibliotheken oder Plattformen — Integrität und Vertrauen über den KI-Lebenszyklus. Typische Schwachstellen: unsignierte Adapter, pip/npm-Pakete in ML-Pipelines, Drittanbieter-APIs ohne Herkunftsnachweis. Ohne Hash-, Versions- und Lieferantenprüfung ist Integrität im Betrieb schwer auditierbar.
Manipulation von Trainings- oder Fine-Tuning-Daten — Bias, Hintertüren, Schwachstellen. Quellen wie Crowdsourcing, Web-Crawls oder feindliche Fine-Tuning-Sets können Verhalten subtil verschieben — bis zu triggernabhängigen Backdoors. Tests zielen auf Datenpipelines, Labeling und Re-Training-Schnittstellen.
Generierte Inhalte ohne Validierung an nachgelagerte Systeme — XSS, Injektionen, Datenoffenlegung. Jedes System, das Modellausgabe in SQL, Shell, HTML oder an den Browser weitergibt, erzeugt klassische Injection-Flächen. Output-Encoding, Typisierung und Allowlists bleiben Pflicht — das LLM ersetzt keine serverseitige Validierung.
Zu viel Autonomie oder Berechtigung — unbeabsichtigte oder schädliche Aktionen. Häufige Ursachen: zu breite OAuth-Scopes, generische "Agent darf alles"-Policies, fehlende Bestätigung vor Transaktionen. Wir prüfen, welche Tools wirklich nötig sind und ob Human-in-the-Loop greift.
Offenlegung von System-Prompts und internen Steuerlogiken — Umgehung von Schutzmechanismen. Oft Kombination aus gezielten Fragen und teilweisen Leaks über Ausgabeformate. Empfehlung: keine Secrets im Prompt; Policies und Regeln extern und versioniert halten.
Manipulation von Retrieval und Embeddings — falsche Antworten, Datenabfluss, Kontrollverlust. Relevant: adversariale Embeddings, Poisoning des Korpus, Namespace-/Tenant-Trennung in Vektordatenbanken. Pentests umfassen gezielte Abfragen und Schreibzugriffe auf Retrieval-Pfade.
Plausible, aber falsche Ausgaben — Sicherheits-, Reputations- und Haftungsrisiken. Besonders kritisch, wenn Nutzer Antworten ohne Prüfung in Verträge, Security- oder Compliance-Entscheidungen übernehmen. Grounding und Quellenpflichten reduzieren das Risiko; Schulung und Prozess sind Teil der Abwehr.
Unkontrollierte Inferenz — DoS, "Denial of Wallet", Modell-Diebstahl oder Replikation des Verhaltens. API-Keys ohne Quoten, fehlende Rate-Limits und automatisiertes Scraping können Kosten explodieren lassen oder Modellverhalten systematisch auslesen. Billing-Alerts, Abuse-Detection und Throttling gehören zum Standard.
Was wir testen
Von klassischen LLM-Angriffen bis zu agentischen Exploitation-Szenarien — das prüfen wir im Rahmen eines KI-Pentests.
Wann ein Agentic AI Pentest sinnvoll ist
Vier typische Situationen, in denen die Faktenbasis eines Agentic AI Pentests den Unterschied zwischen einem sicheren und einem ausnutzbaren System ausmacht.
So arbeiten wir.
Vier strukturierte Phasen – von der Architekturanalyse über die gezielte Ausnutzung bis zur dokumentierten Remediation-Roadmap.
Was Sie erhalten.
Konkrete, nachvollziehbare Deliverables – keine generischen Compliance-Dokumente, keine Tool-Roh-Outputs.
Nicht jede Sicherheitsanalyse beantwortet dieselbe Frage.
Klassischer Pentest, LLM Red Teaming und Agentic AI Pentesting ergänzen sich – sie ersetzen sich nicht.
- OWASP Web Top 10, API Top 10, Infrastruktur
- Deterministische Angriffe auf bekannte Klassen
- Antwort auf das Wo, nicht auf das Was macht der Agent
- Prompt Injection, Bias, Content-Risiken
- Fokus auf das Sprachmodell selbst
- Antwort auf das Modell, nicht auf das System drumherum
- End-to-End: LLM + Tools + Memory + Reasoning + Multi-Agent
- Validierte Exploit-Ketten gegen OWASP T1–T15
- Antwort auf das System – und auf das Was jetzt zu tun ist
Von sicheren KI-Systemen zu auditfähiger Compliance
Klassische Web-Schwachstellen treffen auf KI-spezifische Risiken: Prompt Injection, Data & Model Poisoning, unsichere Tool- und RAG-Pfade. Unsere Pentests und OWASP-orientierten Reviews liefern reproduzierbare Evidenz — passend zu dem, was Aufsichts- und Auditgespräche unter "Robustheit", "Cybersecurity" und Risikomanagement erwarten.
Für hochriskante KI-Systeme sind dokumentierte Risikoanalysen und wirksame technische Maßnahmen Pflicht. Pentest-Befunde untermauern Art. 15 (Cybersecurity, Robustheit) und stärken das Risikomanagement nach Art. 9. Transparenz- und Datenpflichten (Art. 10, 13) lassen sich mit klaren Nachweisen zu Datenflüssen, Logging und Modell-Lieferkette untermauern.
- Art. 9 — Risikomanagementsystem: fortlaufend, dokumentiert, an die Risikoklasse gekoppelt
- Art. 10 — Daten & Governance: Qualität, Bias-Monitoring, repräsentative Trainings- und Betriebsdaten
- Art. 15 — Accuracy, Robustness, Cybersecurity: gezielte Angriffssimulationen und harte PoCs
KI-Komponenten in kritischen und wesentlichen Bereichen unterliegen verschärften Sicherheits- und Nachweispflichten. Regelmäßige Sicherheitsprüfungen, Umgang mit Schwachstellen und belastbare Risikoartefakte sind Teil des Erwartungshorizonts.
- Regelmäßige Sicherheitsprüfungen der KI-Infrastruktur
- Nachweisbare Risikoartefakte für Aufsichtsgespräche
- Integration in NIS2-Incident-Response-Prozesse
Das KI-Management-System verlangt operative Sicherheit und fortlaufende Bewertung. Technische Tests (Pentest, Red Team, gezielte LLM-/Agent-Scenarios) liefern messbare Inputs für Kontrolle, Verbesserung und Zertifizierungsgespräche.
- Messbare Inputs für das KIMS-Kontrollsystem
- Kombinierbar mit ISO 27001 für geteilte Evidenzen
- Grundlage für Zertifizierungsgespräche und Audits
IKT-Angriffsfläche wächst mit jedem Chat-Interface, Copilot und autonomen Workflow. DORA verlangt systematische Tests der digitalen Resilienz; aus Aufsichtssicht gelten für KI-gestützte Systeme dieselben Maßstäbe wie für klassische IT.
- IKT-Risikomanagement inkl. KI-Lieferketten und Outsourcing
- Nachweisbare Test- und Review-Zyklen, nicht nur Punktmaßnahmen
- Dokumentierbare Befunde für interne Audit- und Aufsichtsgespräche
Häufig gestellte Fragen
Was unterscheidet KI-Pentesting von klassischem Pentesting?
KI erweitert die Angriffsfläche fundamental über klassische Software hinaus. Prompts, Kontextdaten, Datenpipelines und agentische Logiken werden zu eigenständigen Risikopunkten. Neue Angriffsklassen wie Prompt Injection, Data Poisoning und Model Extraction haben kein Precedent in klassischer Security.
Was sind Agentic AI Risiken?
Agentic AI ist kein Zukunftsthema. Wir simulieren gezielte Exploitation-Szenarien gegen agentische KI-Architekturen: Tool Misuse & Privilegieneskalation, Verhaltensübernahme & Memory Poisoning, Prompt Injection in Multi-Agent Workflows, Identity Abuse (Human ↔ Agent). Basierend auf OWASP Top 10 for Agentic Applications 2026.
Welche Compliance-Anforderungen unterstützt der KI-Pentest?
Unsere Tests schaffen belastbare Nachweise für EU AI Act (Konformitätsbewertung, Risikoeinstufung), NIS2 (systematische Sicherheitstests für KI als Teil der IKT-Landschaft), DORA (TLPT-ready, BaFin-konforme Nachweise), DSGVO (Schutz personenbezogener Daten, 72h Breach Notification Compliance) sowie ISO 27001 & ISO 42001.
Welche Frameworks werden eingesetzt?
Traditionelle Sicherheitsansätze greifen bei LLMs nicht. Wir setzen drei Frameworks ein: OWASP Top 10 for LLM Apps (Developer-Fokus), MITRE ATLAS (Adversary-Fokus: Recon → Resource Dev → Execution → Exfiltration) und NIST AI RMF (Governance-Fokus: GOVERN · MAP · MEASURE · MANAGE).
„Agentic AI Pentesting ist nicht Web-Pentest mit ChatGPT-Twist. Es ist eine eigenständige Disziplin – und sie entscheidet, ob Ihr Agent ein Werkzeug bleibt oder zum Werkzeug Ihrer Angreifer wird."