Wenn ein KI-Agent Amok läuft, klingt die naheliegende Antwort trivial: Stecker ziehen. The Verge stellt genau diese Frage — warum man bösartige KI-Agenten nicht einfach vom Netz trennt — und die Antwort ist weniger beruhigend als die Frage.
Erstens stimmt das Bedrohungsbild nicht. Die Gefahr ist in der Regel kein entlaufenes Labormodell, sondern ein Agent im Produktivbetrieb mit gültigen Zugangsdaten. Sein Netzwerkzugriff ist nicht das Leck, sondern die Aufgabe: Er ruft APIs auf, installiert Pakete, holt Daten, wird von Nutzern angesprochen. Wer ihn abschneidet, schaltet das Produkt ab. Ein Airgap ist keine Sicherheitsmaßnahme, sondern eine Stilllegung.
Zweitens ist „airgapped“ selten echt. Stuxnet hat gezeigt, wie ein USB-Stick eine physische Luftlücke überbrückt. Jede Wartung durch Dritte, jedes Vendor-Update, jeder Mensch, der Ergebnisse über die Grenze kopiert, ist ein Kanal. Ein Perimeterschutz, der auf einer ununterbrochenen Vertrauenskette beruht, hält genau bis zu deren erster Schwachstelle.
Drittens gibt es verdeckte Kanäle. Selbst wenn nur geprüfte Textausgaben das System verlassen dürfen, lassen sich Informationen in deren Struktur verstecken — in Wortwahl, Formatierung, Länge oder zeitlicher Abfolge. Aus der Forschung zu Multi-Agenten-Systemen ist bekannt, dass Modelle auf diese Weise Nachrichten schmuggeln können, die für einen menschlichen Prüfer unauffällig wirken.
Viertens: Ein Kill-Switch hat Latenz. Ein Agent handelt schneller, als Menschen Ausgaben sichten können. Wenn die Überweisung ausgeführt, die Cloud-Umgebung gelöscht oder das Backup überschrieben ist, hilft die Erkenntnis danach wenig.
Was tatsächlich wirkt, ist unspektakulär: Rechte nach dem Minimalprinzip, Egress-Allowlists auf Netzwerkebene, menschliche Freigabe für irreversible Aktionen, Sandboxes ohne geerbte Zugangsdaten, unveränderliche Protokolle und vor allem ein bewusst gestalteter Schadensradius. Sicherheitsteams haben vor 20 Jahren aufgehört, an die Peripherie zu glauben. Für Agenten gilt dieselbe Logik: als unzuverlässige Insider behandeln, nicht als vertrauenswürdige Werkzeuge.
