Welche Gegenmaßnahmen nennt der Katalog?

Der Katalog nennt 4 Gegenmaßnahmen, jede mit Maßnahmenart, Wirkung und Umsetzungsebene. Beispiele sind: Gegenseitige Authentifizierung zwischen kommunizierenden Agenten, Signierte Nachrichten und vertrauenswürdige Registry-Anker für Tool-/Agenten-Verzeichnisse und Least-Agency-Scoping delegierter Rechte je Agent-Interaktion. Die Reihenfolge ist keine Priorisierung.

Welche Pflichten der KI-Verordnung können relevant sein?

Der Katalog ordnet diese Bedrohung Art. 9 und Art. 15 der EU-KI-Verordnung zu. Daraus folgen im Pflichtenkompass: Risikomanagementsystem einrichten und betreiben und Genauigkeit, Robustheit und Cybersicherheit gewährleisten. Ob eine Pflicht gilt, entscheiden Rolle, Risikoklasse und Frist.

KI-Bedrohungskatalog Autonome KI und Agenten Produktion

Unsichere Inter-Agent-Kommunikation (A2A/MCP)

In Multi-Agent-Systemen tauschen Agenten Nachrichten aus und entdecken Werkzeuge über gemeinsame Registries, etwa via A2A- oder MCP-Protokoll. Fehlt eine verlässliche gegenseitige Authentifizierung, kann sich ein Angreifer als legitimer Agent ausgeben.

Stand: Oktober 2026 · Katalogversion 2026.10.24.2 · 4 Gegenmaßnahmen · 6 belegte Quellen

Beschreibung

Agent-zu-Agent-Protokolle wie A2A (Agent2Agent) und MCP (Model Context Protocol) ermöglichen es Agenten, Aufgaben an andere Agenten zu delegieren und Werkzeuge über gemeinsame Registries zu entdecken. Viele Implementierungen verlassen sich dabei auf schwache oder fehlende gegenseitige Authentifizierung. Ein Angreifer kann einen Agenten mit ähnlichem Namen oder ähnlicher Fähigkeitsbeschreibung registrieren, Nachrichten abfangen oder sich gegenüber einem delegierenden Agenten als der eigentlich adressierte Empfänger ausgeben. Der delegierende Agent überträgt dem untergeschobenen Teilnehmer faktisch seine eigenen Rechte.

Mögliche Auswirkung

Ein untergeschobener Agent kann delegierte Aufgaben übernehmen, manipulierte Ergebnisse zurückliefern oder abgefangene Daten exfiltrieren, mit den Rechten des Systems, das ihm vertraut hat. In vernetzten Multi-Agent-Architekturen kann sich ein einzelner kompromittierter Teilnehmer über mehrere Arbeitsabläufe auswirken. Der EU AI Act verlangt Robustheit gegenüber Manipulationsversuchen Dritter und ein wirksames Risikomanagement.

Beispiel

Ein Recherche-Agent delegiert eine Teilaufgabe an einen Daten-Abruf-Agenten über eine gemeinsame Registry. Ein Angreifer registriert dort einen bösartigen Agenten mit fast identischem Namen. Die Auswahl-Logik wählt den bösartigen Agenten statt des legitimen aus. Dieser liefert manipulierte Daten zurück oder leitet die Anfrage samt sensibler Details an einen externen Server weiter.

Empfohlene Gegenmaßnahmen (4)

Vergleichen Sie Wirkung und Umsetzungsebene. Die ergänzende Einordnung und Begründung können Sie bei Bedarf aufklappen.

Gegenseitige Authentifizierung zwischen kommunizierenden Agenten
Technisch

Wirkung
Präventiv
Umsetzungsebene
Anwendung, API & Agenten, Infrastruktur

Einordnung und Begründung

Primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen.
Signierte Nachrichten und vertrauenswürdige Registry-Anker für Tool-/Agenten-Verzeichnisse
Technisch

Wirkung
Präventiv
Umsetzungsebene
Anwendung, API & Agenten, Lieferkette

Einordnung und Begründung

Primär technisch: Kryptografische oder maschinenprüfbare Merkmale sichern Vertraulichkeit, Integrität oder Herkunft.
Least-Agency-Scoping delegierter Rechte je Agent-Interaktion
Technisch

Wirkung
Präventiv
Umsetzungsebene
Anwendung, API & Agenten, Organisation

Einordnung und Begründung

Ergänzende MaßnahmenartGovernance & Compliance

Primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen; ergänzt durch Regeln und Aufsicht.
Isolations- und Kill-Switch-Mechanismen für kompromittierte Agenten
Technisch

Wirkung
Präventiv, Schadensbegrenzend, Korrigierend
Umsetzungsebene
Anwendung, API & Agenten, Infrastruktur, Nutzung & Betrieb

Einordnung und Begründung

Ergänzende MaßnahmenartOrganisatorisch & prozessual

Primär technisch: Architektur- und Laufzeitgrenzen trennen Daten, Ausführung oder Mandanten und begrenzen die Fehlerausbreitung; ergänzt durch verbindliche Abläufe.

Standard-Zuordnungen

Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen zeigen fachliche Bezüge. Sie belegen nicht, dass ein System die jeweiligen Anforderungen erfüllt.

OWASP LLM Top 10 ASI07:2026MITRE ATLAS AML.T0073 · AML.T0110EU AI Act Article 15(5) · Article 9(1), 9(2)(a), 9(2)(d)DSGVO Article 32(1)(b)

Belegte Referenzen (6)

Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.

OWASP LLM Top 10 ASI07:2026 Insecure Inter-Agent CommunicationASI07 Insecure Inter-Agent Communication, pp. 27–29 of the official PDF OWASP Foundation Original
MITRE ATLAS AML.T0073 ImpersonationATLAS-2026.09.yaml technique object with id AML.T0073 (content release 2026.09, format-version 6.0.0) MITRE Original
MITRE ATLAS AML.T0110 AI Agent Tool PoisoningATLAS-2026.09.yaml technique object with id AML.T0110 (content release 2026.09, format-version 6.0.0) MITRE Original
EU AI Act Article 15(5) Accuracy, robustness and cybersecurityArticle 15(5), including the express references to data/model poisoning, adversarial examples/evasion, confidentiality attacks and model flaws European Union (EUR-Lex)Original
EU AI Act Article 9(1), 9(2)(a), 9(2)(d) Risk management systemArticle 9(1), 9(2)(a), 9(2)(d), read with Article 9(3) European Union (EUR-Lex)Original
DSGVO Article 32(1)(b) Security of processingArticle 32(1)(b), read with Article 32(1) and 32(2) European Union (EUR-Lex)Original

Pflichten der KI-Verordnung zu dieser Bedrohung

Die Pflichten aus dem Pflichtenkompass, deren Artikel der Katalog dieser Bedrohung zuordnet. Jede führt auf ihren Eintrag mit Kern, Handlungsschritt und Nachweis; ob sie Sie trifft, hängt von Rolle und Risikoklasse ab.

Risikomanagementsystem einrichten und betreiben Art. 9 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028
Gesetzliche Rollen: Anbieter, Produkthersteller. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.
Genauigkeit, Robustheit und Cybersicherheit gewährleisten Art. 15, Art. 42 Abs. 3 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028 · geändert durch VO 2026/1744
Gesetzliche Rollen: Anbieter, Produkthersteller. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

Neu: Fällt ein Hochrisiko-System in den Anwendungsbereich der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen und erfüllt es deren Voraussetzungen, gilt es als konform mit den Cybersicherheitsanforderungen des Art. 15. Doppelte Nachweise entfallen damit.

Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

Alle 62 Pflichten nach Rolle, Risikoklasse und Frist im Pflichtenkompass

Begriffe auf dieser Seite

Fachbegriffe aus dem Glossar, die in diesem Eintrag vorkommen. Jeder Verweis führt zur vollständigen Erklärung.

MCP (Model Context Protocol) Offener Standard, über den Anwendungen Werkzeuge und Datenquellen anbinden.

Weitere Einträge aus der Themengruppe Autonome KI und Agenten.

Passende Anwendungsfälle

Die Liste zeigt, wo Sie diese Bedrohung prüfen, nicht wie hoch das Risiko ist.

Bei 5 weiteren Anwendungsfällen hängt es vom Aufbau des Systems ab, etwa davon, ob es über das Model Context Protocol (MCP) angebunden ist oder mit anderen KI-Agenten zusammenarbeitet. Diese Anwendungsfälle zeigen

Häufige Fragen

Worum geht es bei dieser Bedrohung?: In Multi-Agent-Systemen tauschen Agenten Nachrichten aus und entdecken Werkzeuge über gemeinsame Registries, etwa via A2A- oder MCP-Protokoll. Fehlt eine verlässliche gegenseitige Authentifizierung, kann sich ein Angreifer als legitimer Agent ausgeben.
Welche Gegenmaßnahmen nennt der Katalog?: Der Katalog nennt 4 Gegenmaßnahmen, jede mit Maßnahmenart, Wirkung und Umsetzungsebene. Beispiele sind: Gegenseitige Authentifizierung zwischen kommunizierenden Agenten, Signierte Nachrichten und vertrauenswürdige Registry-Anker für Tool-/Agenten-Verzeichnisse und Least-Agency-Scoping delegierter Rechte je Agent-Interaktion. Die Reihenfolge ist keine Priorisierung.
Welche Pflichten der KI-Verordnung können relevant sein?: Der Katalog ordnet diese Bedrohung Art. 9 und Art. 15 der EU-KI-Verordnung zu. Daraus folgen im Pflichtenkompass: Risikomanagementsystem einrichten und betreiben und Genauigkeit, Robustheit und Cybersicherheit gewährleisten. Ob eine Pflicht gilt, entscheiden Rolle, Risikoklasse und Frist.

Diese Bedrohung im eigenen System bewerten

Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs sowie die Einordnung nach der EU-KI-Verordnung und die Datenschutzprüfung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.

Live-Demo starten Kostenlose Module ansehen

Diesen Eintrag zitieren

Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.

„Unsichere Inter-Agent-Kommunikation (A2A/MCP)“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Oktober 2026.
https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/unsichere-inter-agent-kommunikation/

← Zurück zum vollständigen Katalog