NCSC warnt: Agentische KI braucht Grenzen außerhalb des Modells

Schutzmechanismen im Modell allein tragen kein Sicherheitskonzept — so lässt sich die Kernbotschaft der jüngsten britischen Praxishinweise zusammenfassen. Das National Cyber Security Centre (NCSC) veröffentlichte am 20. August 2026 vorläufige Hinweise zum Cyberrisiko agentischer KI und warnt darin davor, Schutzmechanismen im Modell oder Agent-Harness als vollständige Absicherung zu behandeln.

Autonomie vergrößert den möglichen Schaden

Die Hinweise richten sich laut NCSC an Entwickler und Betreiber von Umgebungen, in denen KI-Agenten mit erheblicher Autonomie arbeiten sollen. Die Grundregel der Behörde ist einfach: Je größer die Autonomie eines Agenten, desto größer kann seine Wirkung sein. Kontrollen sollen deshalb proportional zu Autonomiegrad und Schadenspotenzial ausgelegt werden.

Das verschiebt die Risikobewertung vom Modell auf dessen Handlungsspielraum. Ein Agent, der nur Informationen aufbereitet, braucht einen anderen Kontrollrahmen als ein System mit Zugriff auf produktive Werkzeuge und Daten, selbst wenn beide technisch auf derselben Modellfamilie beruhen. Wer allein Modellfähigkeiten bewertet, übersieht den möglichen Schadensradius.

Autonomie ist ein Risikofaktor.

Die tragenden Grenzen liegen außerhalb

Modell- und Harness-seitige Absicherungen bilden laut NCSC lediglich einen Teil des Schutzes. Nach Angaben von Infosecurity Magazine empfiehlt die Behörde zusätzlich Sandboxing, menschliche Aufsicht und eng begrenzte Zugriffe, um unbeabsichtigte oder böswillige Aktivitäten einzudämmen.

Diese Empfehlung rückt vertraute Sicherheitsprinzipien ins Zentrum: Isolation begrenzt den Wirkungsraum, knappe Berechtigungen reduzieren mögliche Folgen und menschliche Aufsicht schafft eine weitere Kontrollinstanz. Der Hinweis ist unbequem für Produktteams, die Sicherheit bislang vor allem als Prompt- und Guardrail-Aufgabe behandelt haben. Ein Systemprompt ersetzt keine Zugriffsgrenze.

Der Maßstab sollte daher nicht lauten, ob ein Agent im Test meist das Richtige tut. Plattform- und Securityteams müssen vor dem produktiven Einsatz klären, welche Aktionen er überhaupt ausführen darf, welche Systeme erreichbar sind und wie weit eine fehlerhafte oder manipulierte Aktion reichen könnte. Je größer dieser Raum ausfällt, desto stärker müssen die äußeren Kontrollen werden.

Monitoring gilt für jedes Deployment

Eine Anforderung stuft das NCSC nicht nach Autonomie ab: Alle Deployments sollen robuste Observability, Betriebsüberwachung und Reaktionsverfahren erhalten. Damit setzt die Behörde eine klare Untergrenze. Auch ein kleiner Pilot ist nicht zu unbedeutend für Überwachung, sobald sein Agent eigenständig handelt.

Das Betriebsteam braucht deshalb nachvollziehbare Aktivität und einen vorbereiteten Reaktionsweg, bevor ein Agent produktive Rechte erhält. Das NCSC begründet diese Anforderung mit dem Risiko nicht genehmigter oder unbeabsichtigter Agentenaktionen, ohne in den vorläufigen Hinweisen einzelne Vorfälle zu benennen.

Der Status der Hinweise bleibt wichtig: Das NCSC bezeichnet sie ausdrücklich als vorläufig. Formale Leitlinien werden noch entwickelt und sollen den Blogbeitrag später ablösen. Architekturentscheidungen sollten diese Unsicherheit konservativ auffangen: geringe Autonomie, enge Zugriffe, isolierte Ausführung und Überwachung von Beginn an. Wer diese Grenzen erst nach dem produktiven Start zieht, muss sie in ein laufendes System einbauen.