KI-BedrohungskatalogAutonome KI und AgentenProduktion
Unsichere Inter-Agent-Kommunikation (A2A/MCP)
In Multi-Agent-Systemen tauschen Agenten Nachrichten aus und entdecken Werkzeuge über gemeinsame Registries, etwa via A2A- oder MCP-Protokoll. Fehlt eine verlässliche gegenseitige Authentifizierung, kann sich ein Angreifer als legitimer Agent ausgeben.
Beschreibung
Agent-zu-Agent-Protokolle wie A2A (Agent2Agent) und MCP (Model Context Protocol) ermöglichen es Agenten, Aufgaben an andere Agenten zu delegieren und Werkzeuge über gemeinsame Registries zu entdecken. Viele Implementierungen verlassen sich dabei auf schwache oder fehlende gegenseitige Authentifizierung. Ein Angreifer kann einen Agenten mit ähnlichem Namen oder ähnlicher Fähigkeitsbeschreibung registrieren, Nachrichten abfangen oder sich gegenüber einem delegierenden Agenten als der eigentlich adressierte Empfänger ausgeben. Der delegierende Agent überträgt dem untergeschobenen Teilnehmer faktisch seine eigenen Rechte.
Mögliche Auswirkung
Ein untergeschobener Agent kann delegierte Aufgaben übernehmen, manipulierte Ergebnisse zurückliefern oder abgefangene Daten exfiltrieren, mit den Rechten des Systems, das ihm vertraut hat. In vernetzten Multi-Agent-Architekturen kann sich ein einzelner kompromittierter Teilnehmer über mehrere Arbeitsabläufe auswirken. Der EU AI Act verlangt Robustheit gegenüber Manipulationsversuchen Dritter und ein wirksames Risikomanagement.
Beispiel
Ein Recherche-Agent delegiert eine Teilaufgabe an einen Daten-Abruf-Agenten über eine gemeinsame Registry. Ein Angreifer registriert dort einen bösartigen Agenten mit fast identischem Namen. Die Auswahl-Logik wählt den bösartigen Agenten statt des legitimen aus. Dieser liefert manipulierte Daten zurück oder leitet die Anfrage samt sensibler Details an einen externen Server weiter.
Empfohlene Gegenmaßnahmen (4)
Jede Maßnahme nennt ihre Maßnahmenart, Wirkung, Umsetzungsebene und die Begründung der Einordnung.
Gegenseitige Authentifizierung zwischen kommunizierenden AgentenTechnisch
- Wirkung
- Präventiv
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur
- Begründung der Einordnung
- „Gegenseitige Authentifizierung zwischen kommunizierenden Agenten“ ist primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen.
Signierte Nachrichten und vertrauenswürdige Registry-Anker für Tool-/Agenten-VerzeichnisseTechnisch
- Wirkung
- Präventiv
- Umsetzungsebene
- Anwendung, API & Agenten, Lieferkette
- Begründung der Einordnung
- „Signierte Nachrichten und vertrauenswürdige Registry-Anker für Tool-/Agenten-Verzeichnisse“ ist primär technisch: Kryptografische oder maschinenprüfbare Merkmale sichern Vertraulichkeit, Integrität oder Herkunft.
Least-Agency-Scoping delegierter Rechte je Agent-InteraktionTechnisch
- Wirkung
- Präventiv
- Umsetzungsebene
- Anwendung, API & Agenten, Organisation
- Ergänzende Maßnahmenart
- Governance & Compliance
- Begründung der Einordnung
- „Least-Agency-Scoping delegierter Rechte je Agent-Interaktion“ ist primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen; ergänzt durch Regeln und Aufsicht.
Isolations- und Kill-Switch-Mechanismen für kompromittierte AgentenTechnisch
- Wirkung
- Präventiv, Schadensbegrenzend, Korrigierend
- Umsetzungsebene
- Anwendung, API & Agenten, Infrastruktur, Nutzung & Betrieb
- Ergänzende Maßnahmenart
- Organisatorisch & prozessual
- Begründung der Einordnung
- „Isolations- und Kill-Switch-Mechanismen für kompromittierte Agenten“ ist primär technisch: Architektur- und Laufzeitgrenzen trennen Daten, Ausführung oder Mandanten und begrenzen die Fehlerausbreitung; ergänzt durch verbindliche Abläufe.
Standard-Zuordnungen
Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen sind taxonomisch, kein Konformitätsnachweis.
Belegte Referenzen (6)
Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.
- OWASP LLM Top 10 ASI07:2026 Insecure Inter-Agent CommunicationASI07 Insecure Inter-Agent Communication, pp. 27–29 of the official PDF OWASP FoundationOriginal
- MITRE ATLAS AML.T0073 ImpersonationATLAS.yaml technique object with id AML.T0073 (pinned release v5.6.0) MITREOriginal
- MITRE ATLAS AML.T0110 AI Agent Tool PoisoningATLAS.yaml technique object with id AML.T0110 (pinned release v5.6.0) MITREOriginal
- EU AI Act Article 15(5) Accuracy, robustness and cybersecurityArticle 15(5), including the express references to data/model poisoning, adversarial examples/evasion, confidentiality attacks and model flaws European Union (EUR-Lex)Original
- EU AI Act Article 9(1), 9(2)(a), 9(2)(d) Risk management systemArticle 9(1), 9(2)(a), 9(2)(d), read with Article 9(3) European Union (EUR-Lex)Original
- DSGVO Article 32(1)(b) Security of processingArticle 32(1)(b), read with Article 32(1) and 32(2) European Union (EUR-Lex)Original
Begriffe auf dieser Seite
Fachbegriffe aus dem Glossar, die in diesem Eintrag vorkommen. Jeder Verweis führt zur vollständigen Erklärung.
- MCP (Model Context Protocol) Offener Standard, über den ein Modell Werkzeuge und Datenquellen anbindet.
Verwandte Bedrohungen
Weitere Einträge aus der Themengruppe Autonome KI und Agenten.
Diese Bedrohung im eigenen System bewerten
Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs samt EU-AI-Act- und DSGVO-Einwertung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.
Diesen Eintrag zitieren
Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.
„Unsichere Inter-Agent-Kommunikation (A2A/MCP)“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Juli 2026. https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/unsichere-inter-agent-kommunikation/