Agentic Ops/Dev: Die Risiken - kurz und knapp!

AI-Agents werden im Ops/Dev erst dann wirklich „agentic“, wenn sie Tools ausführen (Tickets, Git, IaC, Kubernetes, Observability). Genau das erhöht den Nutzen – und den Blast Radius. Standards wie MCP vereinfachen Tool-Anbindung, machen aber auch „mehr Tools schneller verfügbar“. Damit werden Security & Governance zum Pflichtprogramm.

Die größten Risikoklassen

1) Prompt Injection / Indirect Injection („Confused Deputy“)
Angreifer verstecken Instruktionen in Quellen, die der Agent liest (Ticket, Wiki, Logs, Slack). Der Agent übernimmt sie und nutzt seine Rechte. Das ist ein Top-Risiko in gängigen LLM-Security-Frameworks.

2) Rechte-Explosion (Scope Creep)
Jede neue Integration (Jira, Git, Terraform, K8s) vergrößert den Schaden bei Fehlern oder Missbrauch – besonders bei Write-Rechten.

3) Tool-Chaining / Composition Attacks
Einzeln harmlose Tools werden in Kombination gefährlich (Git/Filesystem/Shell → bis hin zu RCE). Genau solche Ketteneffekte wurden im MCP-Umfeld in Security-Berichten diskutiert.

4) Supply-Chain-Risiko
MCP macht das Einbinden neuer Server/Connectoren leicht – dadurch steigt das Risiko durch unsichere oder kompromittierte Tool-Komponenten.

5) Datenabfluss
Agents sammeln viel Kontext (Logs, Tickets, Configs). Ohne Filter/Redaction können Secrets, interne Details oder Kundendaten „mitzusammengefasst“ werden.

6) DoS & Kostenexplosion
Große Abfragen (Logs/Traces/Repos) können Systeme und Budgets belasten („Model/Tool DoS“).

10 Guardrails, die sich bewähren

Read-only Default, Write nur gezielt.
PR-first statt exec-first (Changes als Pull Request).
Approval Gates für riskante Aktionen (Ticket + Review + Policy).
Least Privilege: pro Tool eigener Identity-Scope, getrennt nach Dev/Prod.
Gateway/Policy Layer vor MCP-Servern (AuthZ, Rate limits, Logging).
Egress-Kontrolle (Allowlists, private endpoints).
Tool-Design ohne freie Shell-Strings: strukturierte Parameter + serverseitige Validierung.
Untrusted Context markieren (Tickets/Logs nie direkt zu Actions machen).
Audit Trails für jeden Tool-Call.
Break-glass: zeitlich begrenzte Elevated Rights + 4-Augen-Prinzip.