+49 155 609 62044contact@vamisec.comCyber-Vorfall?24/7csirt@vamisec.com
Termin vereinbaren

Forschungsfeld · Offensive Security Agentic

Agentic Offensive Security: Autonomie braucht Nachweisbarkeit und Kontrolle

KI-Agenten verändern offensive Sicherheitsprüfungen: Sie kartieren Angriffsflächen, crawlen Anwendungen und prüfen Schwachstellen parallel. Vami Research untersucht, unter welchen Bedingungen das verantwortbar ist – mit Scope-Prüfung vor jeder Aktion, abgestuften Freigaben und Evidenz, die sich nachvollziehen lässt – und verbindet das mit Pentest, Red Teaming und AI Red Teaming.

  • Agentische Pentests
  • Scope Enforcement
  • OWASP APTS
  • MCP-Pentests
  • AI Red Teaming
  • TTP-basiertes Red Teaming
  • EASM
Erstgespräch vereinbaren (öffnet externe Website)Zu den Publikationen
Deep Dives
13
Whitepaper
4
Lösungen
1
Kontext

Wenn Agenten angreifen dürfen: Scope, Aufsicht und Beweis

Offensive Prüfungen werden agentisch. KI-gesteuerte Pentest-Plattformen führen Angriffsketten zunehmend selbstständig aus: Je nach Autonomie-Level schlagen sie Schritte vor, planen sie zur Freigabe oder führen sie unter Aufsicht selbst aus. Für Auftraggeber verschiebt sich damit die Frage. Wichtig ist nicht nur, was gefunden wurde, sondern wie sich die Plattform verhalten hat: ob sie im autorisierten Scope blieb, wer welche Aktion freigegeben hat und ob jedes Finding belegt ist.

Der OWASP Autonomous Penetration Testing Standard (APTS) beschreibt genau diese Plattformeigenschaften: 173 Anforderungen in acht Domänen von Scope Enforcement über Human Oversight und Manipulation Resistance bis Reporting, drei Compliance-Tiers und vier Autonomie-Level. Er liegt als Version 0.1.0 vor und ersetzt keine Testmethodik. Ist die Agenten-Infrastruktur selbst das Ziel, prüft ein MCP-Pentest das Zusammenspiel von Server, Client oder Host und Gateway, mit den OWASP MCP Top 10 (v0.1, Beta) als Strukturierungsrahmen, nicht als Prüfnorm.

Die agentische Penetrationstest-Plattform VamiRedteam folgt dem Grundsatz, dass die Kontrolle beim Auftraggeber bleibt: Drei KI-Agenten – Recon, Smart Crawler und Pentester – testen Webanwendungen, APIs, Hosts und Netze ausschließlich im autorisierten Scope, jede Aktion wird vor der Ausführung geprüft und protokolliert. Daneben bleiben die klassischen Disziplinen: Pentest, Red Teaming entlang MITRE ATT&CK, EASM, Physical- und IoT-Pentests, Bug Bounty, Audits und M&A-Due-Diligence.

Forschungsfragen

Offene Fragen der Praxis

  1. 01

    Woran erkennt man, ob eine autonome Pentest-Plattform zuverlässig im autorisierten Scope bleibt?

    Unser Ansatz

    An ihrem Verhalten während der Ausführung. OWASP APTS verlangt, Scope-Grenzen technisch statt nur vertraglich durchzusetzen, dazu einen funktionierenden Kill-Switch, Impact-Klassifizierung je Aktion und signierte, plattform-isolierte Audit-Trails. Im Einkauf empfiehlt sich eine Tier-Selbstdeklaration mit konkreten Antworten zu Scope-Enforcement und Kill-Switch; Kill-Switch-Tests gehören in jedes Engagement.

  2. 02

    Wie prüft man MCP-Server, wenn Tools modellgesteuert sind und Beschreibungen als Anweisung wirken?

    Unser Ansatz

    Als Zusammenspiel von Server, Client oder Host und Gateway statt als einzelnen Endpunkt. Wir hashen jede Tool-Definition als Baseline, testen Rug Pull und Shadowing und bringen harmlose Marker in Tool-Antworten, Dokumente oder Tickets ein, um zu sehen, ob der Agent sie als Anweisung behandelt. Konfigurationsbefunde belegen wir deterministisch, Verhaltensbefunde mit Wiederholungen, Trefferquote, Modell und Client.

  3. 03

    Was unterscheidet AI Red Teaming von einem klassischen Penetrationstest?

    Unser Ansatz

    Der Pentest zeigt, welche Schwachstellen ein definiertes System aufweist. AI Red Teaming prüft das Verhalten des KI-Systems selbst: Jailbreaks, direkte und indirekte Prompt Injection, Datenextraktion und Tool-Missbrauch. Anker sind der OWASP GenAI Red Teaming Guide und NIST AI 100-2; für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck und systemischem Risiko verlangt die KI-Verordnung seit dem 2. August 2025 Adversarial Testing.

  4. 04

    Wie greifen agentische Tests und klassische offensive Disziplinen ineinander?

    Unser Ansatz

    Sie beantworten unterschiedliche Fragen und ersetzen sich nicht. EASM findet unbekannte Assets, der Pentest belegt Ausnutzbarkeit, Red Teaming misst Erkennung und Reaktion, Audits prüfen gegen eine definierte Messlatte. Agentische Tests erlauben häufigere Prüfungen, wenn sich Angriffsflächen mit jedem Release ändern. Physical- und IoT-Pentests decken Gebäude und Hardware ab.

Erkenntnisse

Was wir festhalten

  1. 01

    Entscheidend ist die nötige, nicht die mögliche Autonomie

    OWASP APTS koppelt Autonomie an Nachweise: Von L1, in dem die Plattform nur vorschlägt, bis L4, dem End-to-End-autonomen Betrieb, steigen die Assurance-Anforderungen; L4 ist nur mit Tier-3-Nachweisen vertretbar. In der Praxis genügt vielen Organisationen L2, bei dem ein Mensch jeden Schritt genehmigt.

    Beleg: OWASP APTS

  2. 02

    Klassische Testfälle decken MCP-Risiken nur zum Teil ab

    MCP bricht die Annahme deterministischen Verhaltens: Tools sind laut Spezifikation modellgesteuert, arbeiten mit delegierten Nutzerrechten und eröffnen beliebige Datenzugriffs- und Ausführungspfade. Eine Studie über 1.899 Open-Source-MCP-Server fand acht Schwachstellenklassen, nur drei überlappen mit klassischen Software-Schwachstellen. MCP-Pentests brauchen eigene Testfälle.

    Beleg: MCP Pentesting

  3. 03

    Sich wandelnde KI-Systeme brauchen wiederholte Tests

    Ein Angriff auf ein Sprachmodell kann erst nach mehreren Versuchen gelingen, und Modell-Updates, neue Systemprompts, Tools und Datenquellen verschieben die Risikolage laufend. AI Red Teaming kombiniert deshalb automatisierte Tests für die Breite mit manuellen, kontextspezifischen Angriffsketten und Regressionstests bei jeder relevanten Änderung.

    Beleg: AI Red Teaming

  4. 04

    Red Teaming misst die Verteidigung, nicht die Zahl der Funde

    Aussagekräftig sind die Zeit bis zur Erkennung, die Zeit bis zur Eindämmung und die Frage, welche durchgespielten Taktiken und Techniken überhaupt Alarme ausgelöst haben. Über die Zuordnung der Angreiferaktionen zu MITRE ATT&CK werden Detektionslücken systematisch sichtbar – eine belastbare Aussage statt einer Momentaufnahme.

    Beleg: Red Teaming

Methodik

Wie wir vorgehen

Wir prüfen offensiv und dokumentieren so, dass jede Aussage nachprüfbar ist: Scope schriftlich und technisch festgelegt, Autonomie bewusst gewählt, Evidenz je Finding, bei Verhaltensbefunden mit Trefferquote.

Agentische Pentests

VamiRedteam prüft jede Agentenaktion vor der Ausführung gegen die autorisierten Ziele, auf Wunsch mit Freigabe pro Befehl.

MCP-Pentests

Server, Client und Gateway entlang der OWASP MCP Top 10 (v0.1, Beta) prüfen: Tool-Definitionen per Baseline-Hash, Marker in Fremdinhalten, Rekonstruktion aus den Protokollen.

AI Red Teaming

Jailbreaks, direkte und indirekte Prompt Injection, Datenextraktion und Tool-Missbrauch entlang des OWASP GenAI Red Teaming Guide und NIST AI 100-2.

TTP-basiertes Red Teaming

Angriffssimulation entlang MITRE ATT&CK mit vereinbarten Zielen, Messung von Erkennung und Eindämmung, Purple Teaming als Lernschleife.

Angriffsfläche von außen und vor Ort

EASM für unbekannte Assets und Shadow IT, Physical- und IoT-Pentests, wo Gebäude, Hardware und Funk zur Angriffsfläche gehören.

APTS-Gap-Assessment

Autonome Pentest-Plattformen gegen die acht APTS-Domänen bewerten, inklusive Vendor-Due-Diligence und Regulatorik-Mapping.

So starten Sie

  1. 1Scope und Autonomie festlegenZiele, Ausschlüsse, Testfenster und Notfallkontakte schriftlich vereinbaren und je Ziel festlegen, welche Schritte eine Freigabe brauchen.
  2. 2Testen und belegenSchwachstellen kontrolliert ausnutzen, jedes Finding mit Evidenz, Reproduktion und Beweis dokumentieren und jeden Schritt protokollieren.
  3. 3Bewerten und nachtestenBefunde priorisieren, Maßnahmen begleiten und die Behebung per Re-Test verifizieren, als Nachweis für Audits, NIS2 und DORA.
Publikationen

Deep Dives, Whitepaper und Analysen

Deep Dives 13

OWASP APTSKI-gesteuerte Pentest-Plattformen führen Angriffsketten zunehmend selbstständig aus — der OWASP Autonomous Penetration Testing Standard (APTS) definiert erstmals einen Governance-Rahmen dafür: 173 Anforderungen, 8 Domänen, 3 Compliance-Tiers, 4 Autonomie-Level.30. Juli 2026Threat-Model-Guided Security TestingEin gemeinsamer Trace zeigt nur, dass Ereignisse zusammengehören. Ob ein KI-Agent dabei Freigabe, Ziel, Berechtigung und Herkunft der Daten respektiert hat, zeigt er nicht. Unser bei der ICSPIS 2026 (IEEE) angenommenes Paper zeigt, welche Telemetrie dafür nötig ist. Diese Seite überträgt die Ergebnisse auf den OWASP Agent Control Standard (ACS).4. Oktober 2026AI Red TeamingWie Sie Sprachmodelle und KI-Anwendungen systematisch auf Jailbreaks, Prompt Injection, Datenabfluss und unsichere Tool-Nutzung testen – von der Szenariodefinition bis zum wiederholbaren Prüfprozess.31. Juli 2026Penetration TestingWie ein Penetrationstest funktioniert, worin er sich von Schwachstellenscans und Red Teaming unterscheidet – und welche Methodiken, Abläufe und regulatorischen Vorgaben bei der Beauftragung relevant sind.31. Juli 2026Red TeamingWie Sie mit zielgerichteten, an realen Angreifern orientierten Simulationen prüfen, ob Ihre Organisation einen Angriff tatsächlich erkennt, eindämmt und beantwortet – nicht nur, ob eine einzelne Schwachstelle existiert.31. Juli 2026MITRE ATT&CKSeit 2015 dokumentiert MITRE ATT&CK öffentlich beobachtete Taktiken, Techniken und Prozeduren (Tactics, Techniques and Procedures, TTPs) realer Angreifer. Wir zeigen, wie Sie das Framework für Detection Engineering, Threat Intelligence und Red Teaming nutzen – und wo seine Grenzen liegen.EASMWie kontinuierliche Discovery aus dem Blickwinkel eines Angreifers unbekannte Assets, Shadow IT und exponierte Dienste sichtbar macht – von der ersten Erkennung bis zur Remediation.31. Juli 2026Physical PentestingWie sich Zutrittskontrollen, Gebäudeprozesse und das Verhalten vor Ort unter realistischen Angriffsbedingungen überprüfen lassen – kontrolliert, autorisiert und nachvollziehbar dokumentiert.31. Juli 2026IoT-PentestingVernetzte Produkte sind keine reinen Softwaresysteme: Sie bestehen aus Platine, Firmware, Funkstrecke, Cloud-Backend und App. Ein IoT-Pentest prüft diese Ebenen zusammenhängend – dort, wo Angreifende ansetzen.31. Juli 2026Bug Bounty & VDPWie Sie Schwachstellenmeldungen externer Sicherheitsforscher strukturiert entgegennehmen, bearbeiten und vergüten – von der Vulnerability Disclosure Policy bis zum privaten Bug-Bounty-Programm.31. Juli 2026IT-Security-AuditsWie technische Security-Audits und Compliance-Audits zusammenspielen – von Active Directory über M365 und Firewalls bis zur Architektur, geprüft gegen CIS Benchmarks, Hersteller-Baselines und BSI-IT-Grundschutz.31. Juli 2026M&A Due DiligenceWie Sie die Cyber-Sicherheitslage eines Übernahmeziels unter Zeitdruck belastbar bewerten – und was die Ergebnisse für Kaufpreis, Garantien und Integration bedeuten.31. Juli 2026MCP PentestingWir prüfen MCP-Deployments strukturiert entlang der OWASP MCP Top 10 – von der Enumeration über die Testausführung bis zur belastbaren Nachweisführung. Die Liste liegt als Version v0.1 (Beta) vor und dient dabei als Strukturierungsrahmen, nicht als Prüfnorm mit Konformitätsaussage.2. August 2026

Whitepaper 4

Threat-Model-Guided Security Testing for Agentic AI — Research Edition (EN)AI OWASP LLM PenTesting: Wie du deine KI-Systeme wirklich absicherstTLPT nach DORA: Wie du deine Kronjuwelen wirklich schütztIoT Penetration Testing — Wie Sie vernetzte Geräte wirklich absichern
Lösungen & Leistungen

Vom Feld in die Umsetzung

VamiRedteamMulti-Agenten-Penetrationstests

Leistungen

VamiRedteam Agentic AI Pentesting KI-Produkte Pentesting Penetration Testing API Security & Testing Physical Pentesting IoT Pentesting EASM — Attack Surface Management Bug-Bounty Programme IT Security Audits M&A Security Due Diligence Offensive Security Trainings & Zertifizierungen (öffnet externe Website)
Weiterforschen

Verwandte Forschungsfelder

AI Threat ModelingBedrohungsmodelle für KI-Agenten und MCP-Landschaften: MAESTRO und STRIDE – vom Datenflussdiagramm bis zum prüfbaren Sicherheitstest.Threat & Vulnerability IntelligenceSchwachstellen-Lagebilder mit Sofortmaßnahmen, Priorisierung mit CVSS, EPSS und KEV, Dark Web Monitoring, Angriffserkennung und Resilienz.Agentic AI SecurityWie KI-Agenten die Angriffsfläche erweitern und wie sich ihre Aktionen zur Laufzeit kontrollieren, testen und überwachen lassen.
Zurück zu Vami Research

Autonom testen – mit Scope, Aufsicht und Beweis?

Im Erstgespräch klären wir Scope, Aufsicht und regulatorischen Rahmen – vom klassischen Pentest über AI Red Teaming bis zu agentischen Tests mit VamiRedteam.

Erstgespräch vereinbaren (öffnet externe Website)Zurück zu Vami Research