MAESTRO: Threat Modeling für Agentic AI

MAESTRO steht für „Multi-Agent Environment, Security, Threat, Risk, and Outcome“. Das Framework wurde am 6. Februar 2025 von Ken Huang (CEO & Chief AI Officer von DistributedApps.ai) im Blog der Cloud Security Alliance veröffentlicht und ist explizit für Agentic AI entworfen – also für Systeme, in denen KI-Agenten autonom Entscheidungen treffen, Werkzeuge nutzen und miteinander interagieren. Kern ist eine siebenschichtige Referenzarchitektur, entlang derer Bedrohungen Schicht für Schicht identifiziert werden. MAESTRO ersetzt etablierte Methoden nicht, sondern erweitert sie gezielt um agentische und ML-spezifische Perspektiven.

Etablierte Methoden modellieren Software mit vorhersagbarem Verhalten. Der CSA-Begründung zufolge fehlt STRIDE der Blick auf KI-spezifische Bedrohungen wie Adversarial-Angriffe und das unvorhersehbare Lern- und Entscheidungsverhalten der Agenten; PASTA adressiert weder Angriffe auf Modelle (etwa Model Extraction) noch die Komplexität autonomer Entscheidungen; das datenschutzorientierte LINDDUN deckt zentrale Sicherheitsbedrohungen agentischer Systeme wie Data Poisoning nicht ab. Hinzu kommen Aspekte, die keine der klassischen Methoden systematisch erfasst: unvorhersagbares Agentenverhalten, Goal Misalignment, Kollusion zwischen Agenten und Risiken aus der KI-Lieferkette. Genau an diesen Lücken setzt MAESTRO an.

MAESTRO zerlegt ein Agentic-AI-System in sieben Schichten: Foundation Models (Schicht 1, die Basismodelle), Data Operations (Schicht 2, u. a. Datenhaltung und RAG-Pipelines), Agent Frameworks (Schicht 3, Entwicklungs-Frameworks und Orchestrierung), Deployment and Infrastructure (Schicht 4), Evaluation and Observability (Schicht 5, Monitoring und Bewertung) sowie Agent Ecosystem (Schicht 7, das Zusammenspiel vieler Agenten in Marktplätzen und Geschäftsanwendungen). Eine Sonderrolle hat Security and Compliance (Schicht 6): Sie ist als vertikale Querschnittsschicht definiert, die alle anderen Schichten durchzieht. Jede Schicht bringt eigene Bedrohungsklassen, Verantwortlichkeiten und Kontrollen mit.

Der von der CSA beschriebene Prozess umfasst sechs Schritte: Systemzerlegung entlang der sieben Schichten, schichtspezifische Bedrohungsmodellierung, Identifikation schichtübergreifender Bedrohungen, Risikobewertung, Maßnahmenplanung sowie Umsetzung mit kontinuierlicher Überwachung. Besonders relevant sind die Cross-Layer-Bedrohungen: Eine kompromittierte Bibliothek im Agent-Framework wirkt auf die übrigen Ebenen, Zugriffsrechte können zwischen Schichten eskalieren, und Goal-Misalignment-Effekte einzelner Agenten kaskadieren durch das gesamte Ökosystem. Threat Modeling nach MAESTRO ist damit kein einmaliges Dokument, sondern ein wiederkehrender Prozess, der bei Architekturänderungen erneut durchlaufen wird.

Die OWASP Agentic Security Initiative pflegt mit „Agentic AI – Threats and Mitigations“ (v1.0 vom Februar 2025, aktuell Version 1.1 vom Dezember 2025) einen Katalog von 17 agentischen Bedrohungen (T1–T17) – von Memory Poisoning (T1) und Tool Misuse (T2) über Rogue Agents in Multi-Agent Systems (T13) bis zu Insecure Inter-Agent Protocol Abuse (T16, u. a. bei Protokollen wie MCP und A2A) und Supply Chain Compromise (T17). Das OWASP-Dokument verweist selbst auf MAESTRO als schichtbasierte Erweiterung von STRIDE für Agentic AI. In der Praxis ergänzen sich beide: MAESTRO liefert die Struktur (wo im System gesucht wird), der OWASP-Katalog die Inhalte (wonach je Schicht gesucht wird).

Ein typischer Durchlauf beginnt mit der Scope-Definition (welche Agenten, Werkzeuge, Datenflüsse und Schnittstellen zum System gehören) und einem Architektur-Walkthrough, in dem alle Komponenten den sieben Schichten zugeordnet werden. Anschließend werden je Schicht Bedrohungen identifiziert – der OWASP-Katalog dient dabei als Checkliste – und um schichtübergreifende Szenarien ergänzt. Die bewerteten Risiken fließen in eine priorisierte Maßnahmenplanung und in bestehende Prozesse wie Secure Development Lifecycle und ISMS ein. Dass die Methode auch für Agenten-Protokolle trägt, zeigt die CSA selbst: Im April 2025 wurde Googles Agent-to-Agent-Protokoll (A2A) vollständig mit MAESTRO modelliert.