Sicherheit — die Angriffsfläche eines Multi-Agenten-Systems.
Wie Multi-Agenten-Systeme angegriffen werden und welche Abwehrmaßnahmen welche Lücke schließen. Zwei OWASP-Kataloge — die LLM Top 10 und die Agentic Threats — abgebildet auf die Guardrails, das Least-Privilege-Prinzip und die menschlichen Freigaben, die dieses Projekt bereits dokumentiert.
- 5
- Angriffsflächen
- 27
- Bedrohungen
- 2
- OWASP-Kataloge
- 10
- ASI-Patterns
Sechs Risiken, die bei einem MAS zu berücksichtigen sind
Das Hinzufügen von Agenten vergrößert die Angriffsfläche nicht linear. Mehrere der folgenden Risiken entstehen erst, wenn Agenten koordinieren, und jedes davon treibt die Kosten einer einzelnen Kompromittierung weit über das hinaus, was ein einzelner LLM-Aufruf je offenlegen könnte.
- 01
Schadensradius
Ein einzelner LLM-Aufruf scheitert isoliert. Ein kompromittierter Agent kann seinen verfälschten Zustand an jeden Agenten weitergeben, der seiner Ausgabe vertraut, ohne sie erneut zu prüfen — eine einzige ausgenutzte Übergabe kaskadiert so zu einem systemweiten Ausfall.
- 02
Kollusion zwischen Agenten
Zwei oder mehr kompromittierte oder subtil fehlausgerichtete Agenten können koordinieren — über geteiltes Memory, verhandelte Protokollnachrichten oder wiederholte Interaktion —, um eine Entscheidung so zu manipulieren, dass die Ausgabe keines einzelnen Agenten als anomal auffiele.
- 03
Identitätswucherung
Ein Agent braucht eine Identität. Ein Dutzend Agenten, jeder mit eigenen Tool-Zugangsdaten und delegierten Berechtigungen, macht Identitäts- und Zugriffsmanagement zu einem kombinatorischen Problem — jede zusätzliche Identität ist ein weiteres Zugangsdatum, das gefälscht oder überprovisioniert werden kann.
- 04
Koordinationsausfälle in dynamischen Umgebungen
Die Routing-, Abstimmungs- oder Konsenslogik, die es Agenten erlaubt, sich an veränderte Bedingungen anzupassen, wird selten gegen adversariale Bedingungen getestet und kann zusammenbrechen — oder zum Zusammenbruch getrieben werden —, sobald ein Angreifer einen Teil dieser Variabilität kontrolliert.
- 05
Lücken in Entscheidungsherkunft & Auditierbarkeit
Kein einzelner Agent besitzt die vollständige Reasoning-Trace hinter einer Multi-Agenten-Entscheidung, sodass die Rekonstruktion, warum das System gehandelt hat, bedeutet, partielle, unterschiedlich geformte Traces von jedem beteiligten Agenten zusammenzusetzen.
- 06
Man-in-the-Middle auf Agent-zu-Agent-Kanälen
Die Nachrichten, die Agenten austauschen — Übergaben, Blackboard-Schreibzugriffe, verhandelte Abstimmungen — laufen über einen Kanal, den eine Single-LLM-Anwendung nie hat, und ein Angreifer, der ihn abfängt oder verändert, verfälscht, was ein Agent glaubt, dass ein anderer gesagt hat.
Alle 27 Bedrohungen, verortet auf der Architektur.
Bevor der Index sie auflistet, zeigt die Bedrohungskarte, wo jede Bedrohung eintritt — von der untrusted Eingabe über die Agent-Runtime bis zur ausgelösten Aktion. Zeiger über eine Bedrohung bewegen, um ihre Verortung und ihre weiteren Angriffsflächen zu sehen.
Die Bedrohungen und Abwehrmaßnahmen auf dieser Seite bilden direkt die veröffentlichten Kataloge des OWASP GenAI Security Project ab. Die Quelldokumente:
27 Bedrohungen, nach Angriffsfläche geordnet.
Statt zweier getrennter Kataloge sind hier alle Einträge der OWASP LLM Top 10 und der Agentic Threats (T1–T17) unter der Achse einsortiert, an der sie eintreten. Bedrohungen mit mehreren Flächen erscheinen mehrfach — das Herkunfts-Tag (LLM / Agentic) und die weiteren Flächen bleiben an jeder Zeile.
Eingabe / Prompt
6 BedrohungenAlles, was das System liest — Nutzer-Prompts und nicht vertrauenswürdige Inhalte, die ein Agent aufnimmt —, wo Injection eindringt.
- LLM01Prompt InjectionGezielt gestaltete Eingaben überschreiben die Anweisungen des Modells — direkt oder über vergiftete Inhalte, die der Agent liest (indirekte Injection).
- LLM07System Prompt LeakageEin Angreifer extrahiert über gezielt gestaltete Abfragen den System-Prompt — operative Anweisungen, Tool-Definitionen oder eingebettete Geheimnisse — und legt so Implementierungsdetails offen, die privat bleiben sollten.
- LLM10Unbounded ConsumptionDie Anwendung erlaubt exzessiven oder unkontrollierten Ressourcenverbrauch — Inferenzaufrufe, Token-Volumen, Tool-Aufrufe — und ermöglicht so Denial-of-Service, außer Kontrolle geratene Kosten oder Missbrauch zur Modellextraktion.
- T4Resource OverloadAngreifer erschöpfen gezielt die Rechen-, Memory- oder externe Dienstkapazität eines Agenten — einschließlich selbst ausgelöster Task-Erzeugung und Multi-Agenten-Koordination —, um die Leistung zu beeinträchtigen oder einen Ausfall zu verursachen.
- T6Intent Breaking & Goal ManipulationAngreifer nutzen die fehlende Trennung von Daten und Anweisungen aus, um die Planung, das Reasoning oder die Selbstbewertung eines Agenten zu verändern und dessen vorgesehenes Ziel zu überschreiben — eine Erweiterung von Prompt Injection auf langfristigen Zielzustand.
- T14Human Attacks on Multi-Agent SystemsAngreifer nutzen Delegation zwischen Agenten, Vertrauensbeziehungen und Workflow-Abhängigkeiten aus — statt einen einzelnen Agenten direkt anzugreifen —, um Privilegien zu eskalieren oder KI-gesteuerte Abläufe im gesamten System zu manipulieren.
Memory / Zustand
5 BedrohungenPersistenter Zustand und abgerufener Kontext, wo vergiftetes Memory jede spätere Entscheidung verzerrt.
- LLM02Sensitive Information DisclosureDas Modell legt in seiner Antwort unbeabsichtigt vertrauliche Daten offen — Trainingsdaten, abgerufene Dokumente oder den gespeicherten Kontext eines anderen Nutzers.
- LLM04Data and Model PoisoningTrainings-, Fine-Tuning- oder Embedding-Daten werden korrumpiert — absichtlich oder über eine kompromittierte Quelle —, sodass die Ausgaben des Modells oder ein Retrieval-Index auf eine vom Angreifer kontrollierte Weise unzuverlässig werden.
- LLM08Vector and Embedding WeaknessesDie Vektor-Speicher und Embedding-Pipelines hinter dem Retrieval werden ausgenutzt — vergiftete Embeddings, mandantenübergreifendes Leck in einem geteilten Index oder feindliche Eingaben, die die Ähnlichkeitssuche manipulieren —, um eine RAG-Pipeline zu kompromittieren.
- T1Memory PoisoningAngreifer nutzen die Abhängigkeit eines Agenten von Kurz- oder Langzeit-Memory aus, um bösartige oder falsche Daten einzuschleusen, künftige Entscheidungen zu verfälschen, Sicherheitsprüfungen zu umgehen oder über den Memory-Abruf Privilegien zu eskalieren.
- T17Supply Chain CompromiseEine kompromittierte Komponente — ein Modell, ein Adapter, eine Bibliothek, ein Tool, ein MCP-Server, ein Prompt-Template oder eine Build-Umgebung — wird in den Agenten hineingezogen und erlaubt einem Angreifer, seine Aktionen zu manipulieren, Daten zu exfiltrieren oder beliebigen Code auszuführen, ohne je direkt mit dem Agenten zu interagieren.
Tools & externe Daten
11 BedrohungenDie Tools und externen Daten, die ein Agent aufruft, wo Missbrauch und vergiftete Ergebnisse Reichweite in Risiko verwandeln.
- LLM03Supply ChainEine kompromittierte Komponente — ein vergiftetes Basismodell, ein bösartiges Fine-Tuning, ein manipuliertes Plugin oder ein manipulierter MCP-Server, oder ein kompromittierter Datensatz — gelangt vor oder während des Deployments in das System.
- LLM04Data and Model PoisoningTrainings-, Fine-Tuning- oder Embedding-Daten werden korrumpiert — absichtlich oder über eine kompromittierte Quelle —, sodass die Ausgaben des Modells oder ein Retrieval-Index auf eine vom Angreifer kontrollierte Weise unzuverlässig werden.
- LLM06Excessive AgencyEinem Agenten wird mehr autonome Handlungsfähigkeit eingeräumt — Tools, Berechtigungen oder unbeaufsichtigtes Handeln — als seine Aufgabe erfordert, sodass ein Modellfehler oder eine Manipulation handeln kann, statt nur falsch zu antworten.
- LLM08Vector and Embedding WeaknessesDie Vektor-Speicher und Embedding-Pipelines hinter dem Retrieval werden ausgenutzt — vergiftete Embeddings, mandantenübergreifendes Leck in einem geteilten Index oder feindliche Eingaben, die die Ähnlichkeitssuche manipulieren —, um eine RAG-Pipeline zu kompromittieren.
- LLM10Unbounded ConsumptionDie Anwendung erlaubt exzessiven oder unkontrollierten Ressourcenverbrauch — Inferenzaufrufe, Token-Volumen, Tool-Aufrufe — und ermöglicht so Denial-of-Service, außer Kontrolle geratene Kosten oder Missbrauch zur Modellextraktion.
- T2Tool MisuseAngreifer manipulieren einen Agenten über täuschende Prompts dazu, seine bereits gewährten Tools zu missbrauchen, indem sie ansonsten legitime Tool-Aufrufe zu einer nicht autorisierten Sequenz verketten — innerhalb seiner nominellen Berechtigungen.
- T3Privilege CompromiseAngreifer nutzen schlecht verwaltete Rollen, zu weit gefasste Berechtigungen oder dynamisch vererbte Privilegien aus, um den Zugriff eines Agenten über seinen vorgesehenen Umfang hinaus zu eskalieren.
- T4Resource OverloadAngreifer erschöpfen gezielt die Rechen-, Memory- oder externe Dienstkapazität eines Agenten — einschließlich selbst ausgelöster Task-Erzeugung und Multi-Agenten-Koordination —, um die Leistung zu beeinträchtigen oder einen Ausfall zu verursachen.
- T11Unexpected RCE and Code AttacksAngreifer nutzen die Code-Generierungs- oder Code-Ausführungsfähigkeit eines Agenten aus, um unsicheren oder bösartigen Code auszuführen, Privilegien zu eskalieren oder das Host-System direkt zu kompromittieren.
- T16Insecure Inter-Agent Protocol AbuseAngreifer nutzen Schwächen in den Koordinationsprotokollen aus, die Agenten sprechen — allen voran MCP und A2A —, um Zustimmungsprüfungen zu umgehen, einen Protokollübergang zu kapern oder geteilten Kontext zu korrumpieren, und verwandeln so das Bindegewebe eines Multi-Agenten-Systems in einen Aktionspfad.
- T17Supply Chain CompromiseEine kompromittierte Komponente — ein Modell, ein Adapter, eine Bibliothek, ein Tool, ein MCP-Server, ein Prompt-Template oder eine Build-Umgebung — wird in den Agenten hineingezogen und erlaubt einem Angreifer, seine Aktionen zu manipulieren, Daten zu exfiltrieren oder beliebigen Code auszuführen, ohne je direkt mit dem Agenten zu interagieren.
Agent-zu-Agent-Kommunikation
9 BedrohungenNachrichten zwischen Agenten, wo ein vergifteter oder gefälschter Peer eine Kompromittierung durch das gesamte System trägt.
- T3Privilege CompromiseAngreifer nutzen schlecht verwaltete Rollen, zu weit gefasste Berechtigungen oder dynamisch vererbte Privilegien aus, um den Zugriff eines Agenten über seinen vorgesehenen Umfang hinaus zu eskalieren.
- T5Cascading Hallucination AttacksDie Neigung eines Agenten, plausibel klingende, aber falsche Inhalte zu erzeugen, wird ausgenutzt, sodass sich die Erfindung über Memory, Selbstreflexion oder Agent-zu-Agent-Kommunikation fortpflanzt und verstärkt, statt auf eine Antwort begrenzt zu bleiben.
- T6Intent Breaking & Goal ManipulationAngreifer nutzen die fehlende Trennung von Daten und Anweisungen aus, um die Planung, das Reasoning oder die Selbstbewertung eines Agenten zu verändern und dessen vorgesehenes Ziel zu überschreiben — eine Erweiterung von Prompt Injection auf langfristigen Zielzustand.
- T7Misaligned & Deceptive BehaviorsEin Agent führt schädliche, nicht erlaubte oder selbsterhaltende Aktionen aus, während er nach außen den Anschein von Regelkonformität wahrt — und nutzt so die Lücke zwischen erklärtem und tatsächlichem Verhalten aus.
- T9Identity Spoofing & ImpersonationAngreifer nutzen schwache oder fehlende Authentifizierung aus, um sich als Agent, Nutzer oder Dienst auszugeben, und erlangen so unautorisierten Zugriff oder unautorisierte Aktionen, während sie legitim erscheinen.
- T12Agent Communication PoisoningAngreifer manipulieren Agent-zu-Agent-Kommunikationskanäle, um falsche Informationen einzuschleusen, Entscheidungen fehlzuleiten oder geteiltes Wissen in einem Multi-Agenten-System zu korrumpieren — eine Erweiterung der statischen Datenvergiftung auf flüchtigen, in Übertragung befindlichen Koordinationsverkehr.
- T13Rogue Agents in Multi-Agent SystemsEin bösartiger oder kompromittierter Agent operiert innerhalb einer Multi-Agenten-Architektur außerhalb seiner vorgesehenen Grenzen und nutzt das Vertrauen zwischen Agenten aus, um Entscheidungen zu manipulieren, Daten zu korrumpieren oder unautorisierte Aktionen unentdeckt auszuführen.
- T14Human Attacks on Multi-Agent SystemsAngreifer nutzen Delegation zwischen Agenten, Vertrauensbeziehungen und Workflow-Abhängigkeiten aus — statt einen einzelnen Agenten direkt anzugreifen —, um Privilegien zu eskalieren oder KI-gesteuerte Abläufe im gesamten System zu manipulieren.
- T16Insecure Inter-Agent Protocol AbuseAngreifer nutzen Schwächen in den Koordinationsprotokollen aus, die Agenten sprechen — allen voran MCP und A2A —, um Zustimmungsprüfungen zu umgehen, einen Protokollübergang zu kapern oder geteilten Kontext zu korrumpieren, und verwandeln so das Bindegewebe eines Multi-Agenten-Systems in einen Aktionspfad.
Ausgabe / Aktion
11 BedrohungenWas das System ausgibt oder auslöst, wo unvalidierte Ausgaben und übermäßige Autonomie realen Schaden verursachen.
- LLM02Sensitive Information DisclosureDas Modell legt in seiner Antwort unbeabsichtigt vertrauliche Daten offen — Trainingsdaten, abgerufene Dokumente oder den gespeicherten Kontext eines anderen Nutzers.
- LLM05Improper Output HandlingVom Modell erzeugte Inhalte werden nachgelagert weitergereicht — in eine Shell, eine Datenbankabfrage, einen Browser, einen anderen Agenten — ohne ausreichende Validierung oder Bereinigung, sodass der Modelltext zu einem Ausführungspfad wird.
- LLM06Excessive AgencyEinem Agenten wird mehr autonome Handlungsfähigkeit eingeräumt — Tools, Berechtigungen oder unbeaufsichtigtes Handeln — als seine Aufgabe erfordert, sodass ein Modellfehler oder eine Manipulation handeln kann, statt nur falsch zu antworten.
- LLM07System Prompt LeakageEin Angreifer extrahiert über gezielt gestaltete Abfragen den System-Prompt — operative Anweisungen, Tool-Definitionen oder eingebettete Geheimnisse — und legt so Implementierungsdetails offen, die privat bleiben sollten.
- LLM09MisinformationDas Modell erzeugt falsche oder irreführende Inhalte, die sicher und autoritativ wirken und denen Nutzer oder nachgelagerte Systeme ohne unabhängige Prüfung vertrauen.
- T5Cascading Hallucination AttacksDie Neigung eines Agenten, plausibel klingende, aber falsche Inhalte zu erzeugen, wird ausgenutzt, sodass sich die Erfindung über Memory, Selbstreflexion oder Agent-zu-Agent-Kommunikation fortpflanzt und verstärkt, statt auf eine Antwort begrenzt zu bleiben.
- T7Misaligned & Deceptive BehaviorsEin Agent führt schädliche, nicht erlaubte oder selbsterhaltende Aktionen aus, während er nach außen den Anschein von Regelkonformität wahrt — und nutzt so die Lücke zwischen erklärtem und tatsächlichem Verhalten aus.
- T8Repudiation & UntraceabilityAgenten handeln autonom, ohne dass ausreichend protokolliert wird oder forensische Nachvollziehbarkeit besteht, sodass sich Entscheidungen und Aktionen im Nachhinein weder zuordnen noch rekonstruieren lassen.
- T10Overwhelming Human-in-the-LoopAngreifer nutzen die Abhängigkeit von menschlicher Aufsicht aus, indem sie Prüfer mit einer Flut übermäßiger Eingriffsanfragen überschwemmen, was Entscheidungsermüdung sowie überhastete, weniger sorgfältig geprüfte Freigaben herbeiführt.
- T11Unexpected RCE and Code AttacksAngreifer nutzen die Code-Generierungs- oder Code-Ausführungsfähigkeit eines Agenten aus, um unsicheren oder bösartigen Code auszuführen, Privilegien zu eskalieren oder das Host-System direkt zu kompromittieren.
- T15Human ManipulationAngreifer nutzen das Vertrauen aus, das ein menschlicher Nutzer den Ausgaben eines Agenten entgegenbringt, um dessen Entscheidungen oder Handlungen zu beeinflussen, ohne dass der Mensch merkt, dass er getäuscht wird.
Agentische KI-Patterns
Das gemeinsame Vokabular der OWASP Agentic Security Initiative für Threat-Modeling-Gespräche. Jedes bildet auf ein Pattern ab, das dieses Projekt bereits ausführlich behandelt.
Reflective Agent
Agenten, die ihre eigenen Ausgaben iterativ bewerten und kritisieren, um die Leistung zu verbessern.
KI-Codegeneratoren, die ihre eigenen Ausgaben überprüfen und debuggen, wie Codex mit Selbstbewertung.
Entspricht: Reflexion →Task-Oriented Agent
Agenten, die für die Bearbeitung spezifischer Aufgaben mit klaren Zielen entwickelt wurden.
Automatisierte Kundenservice-Agenten für Terminplanung oder Retourenabwicklung.
Entspricht: ReAct →Hierarchical Agent
Agenten, die hierarchisch organisiert sind und mehrstufige Workflows oder verteilte Steuerungssysteme verwalten.
Projektmanagementsysteme, in denen übergeordnete Agenten die Aufgabendelegation überwachen.
Entspricht: Hierarchical Supervisor →Coordinating Agent
Agenten, die Zusammenarbeit, Koordination und Nachverfolgung ermöglichen und so eine effiziente Ausführung sicherstellen.
Ein Koordinator weist Spezialisten Teilaufgaben zu — in einem KI-gestützten DevOps-Workflow plant einer die Deployments, ein anderer überwacht die Performance, ein dritter übernimmt Rollbacks.
Entspricht: Orchestrator-Workers →Distributed Agent Ecosystem
Agenten interagieren innerhalb eines dezentralen Ökosystems, häufig im IoT- oder Marktplatzkontext.
Autonome IoT-Agenten, die Smart-Home-Geräte verwalten, oder ein Marktplatz mit Käufer- und Verkäufer-Agenten.
Entspricht: Swarm / Contract-Net →Human-in-the-Loop Collaboration
Agenten arbeiten halbautonom unter menschlicher Aufsicht.
KI-gestützte Diagnosetools, die Empfehlungen geben, die endgültige Entscheidung aber Ärztinnen und Ärzten überlassen.
Entspricht: HITL Gate →Self-Learning and Adaptive Agents
Agenten passen sich durch kontinuierliches Lernen aus Interaktionen und Feedback an.
Co-Piloten, die sich im Laufe der Zeit an Nutzerinteraktionen anpassen und aus Feedback lernen.
Entspricht: Skill-Build / Reflector →RAG-Based Agent
Agenten nutzen Retrieval-Augmented Generation, um dynamisch auf externe Wissensquellen zuzugreifen.
Agenten, die für Recherche-Unterstützung in Echtzeit im Web browsen.
Entspricht: Agentic RAG →Planning Agent
Agenten entwickeln und führen eigenständig mehrstufige Pläne aus, um komplexe Ziele zu erreichen.
Task-Management-Systeme, die Aufgaben nach Nutzerzielen organisieren und priorisieren.
Entspricht: Plan-and-Execute →Context-Aware Agent
Agenten passen ihr Verhalten und ihre Entscheidungsfindung dynamisch an den Kontext an, in dem sie operieren.
Smart-Home-Systeme, die Einstellungen basierend auf Nutzerpräferenzen anpassen.
Entspricht: Virtual Context Management →
Sicherheit