Was bedeutet Zero Trust für KI-Infrastruktur konkret?
Direkte Antwort
Zero Trust für KI-Infrastruktur bedeutet, dass kein Zugriff auf Modelle, Tools oder Daten allein deshalb vertraut wird, weil er aus dem internen Netzwerk kommt — jeder Zugriff wird explizit authentifiziert, autorisiert und protokolliert, unabhängig von seiner Herkunft. Das ist besonders relevant bei Agenten-Systemen, deren Aktionen sich über mehrere Tools und Datenquellen erstrecken können.
"Ein Agent, der einmal Zugriff auf ein Tool hat, sollte nicht automatisch auch Zugriff auf alle anderen Tools im selben Netzwerk bekommen.
Klassische Netzwerksicherheit vertraut oft implizit allem innerhalb der eigenen Infrastruktur — bei KI-Agenten mit Zugriff auf mehrere Tools und Datenquellen wird genau diese Annahme zum Risiko.
Warum implizites Netzwerkvertrauen bei Agenten-Systemen riskant wird
In klassischen Architekturen wird einem Dienst innerhalb des internen Netzwerks oft implizit vertraut, sobald er die Netzwerkgrenze passiert hat. Bei einem KI-Agenten mit potenziell manipulierbarem Verhalten (etwa durch Prompt Injection) bedeutet dieses implizite Vertrauen, dass ein einziger kompromittierter Aufruf Zugriff auf das gesamte interne Netzwerk erlangen kann.
Zero Trust verlangt stattdessen, dass jeder einzelne Zugriff — auch zwischen intern vertrauten Komponenten — explizit autorisiert wird, unabhängig davon, woher er kommt.
Explizite Autorisierung pro Tool und pro Datenquelle
Statt eines Agenten mit pauschalem Zugriff auf "alle internen Systeme" sollte jedes einzelne Tool und jede Datenquelle eigene, granulare Berechtigungen definieren, die exakt auf den benötigten Anwendungsfall zugeschnitten sind.
Diese Granularität begrenzt den Schaden im Fall einer erfolgreichen Manipulation erheblich — ein kompromittierter Agent mit Zugriff auf nur ein einzelnes, eng begrenztes Tool kann deutlich weniger Schaden anrichten als einer mit pauschalem Netzwerkzugriff.
Kontinuierliche Verifikation statt einmaliger Anmeldung
Zero Trust verlangt außerdem, dass Vertrauen nicht einmalig bei der Anmeldung etabliert und dann dauerhaft angenommen wird, sondern kontinuierlich anhand des tatsächlichen Verhaltens neu bewertet wird.
Bei Agenten-Systemen bedeutet das etwa, ungewöhnliche Zugriffsmuster (plötzlich massiv mehr Anfragen an ein bestimmtes Tool) automatisiert zu erkennen und den Zugriff im Zweifel temporär einzuschränken, statt sich auf die initiale Autorisierung zu verlassen.
Wann passt es — wann nicht?
Passt gut
- ✓Ein Agent hat Zugriff auf mehrere Tools oder Datenquellen mit unterschiedlicher Sensibilität
Passt nicht
- ✗Es gibt ein einzelnes, isoliertes System ohne Zugriff auf sensible interne Ressourcen