Die Architekturkarte als Angriffsfläche: KI-Agenten und das neue Exfiltrationsrisiko

Die Karte war immer sensibel — nur der Zugriff hat sich geändert

Jeder CISO weiß bereits, dass das Enterprise-Architecture-Repository sensibel ist. Es kommt einem vollständigen Bauplan der Organisation nahe: das vollständige Systeminventar, die Abhängigkeitsketten, die das Geschäft tragen, die einzelnen Ausfallpunkte, die veralteten und ungepatchten Komponenten, die Datenflusspfade, die regulierte Informationen berühren, und manchmal genau die Sicherheitsmaßnahmen, die sie schützen. Das gilt seit Jahren.

Was sich geändert hat, sind nicht die Daten — es ist, wer oder was sie erreichen kann. In dem Moment, in dem ein KI-Agent dieses Repository abfragen kann, hört die Karte auf, ein Dokument zu sein, das einige wenige berechtigte Personen Sicht für Sicht lesen, und wird zu einer abfragbaren Oberfläche, die ein automatisiertes System von Ende zu Ende durchqueren kann. Der Wert davon ist real: über lebendige Architektur zu schlussfolgern ist wirklich nützlich. Aber eine neue Fähigkeit zur Traversierung ist auch eine neue Angriffsfläche, und sie als weniger zu behandeln ist Wunschdenken.

Was ein Agent extrahieren kann — und warum es sich von einem Menschen unterscheidet

Ein menschlicher Architekt, der das Repository liest, sieht ein Diagramm nach dem anderen, mit menschlicher Geschwindigkeit, und hinterlässt eine menschlich sichtbare Spur. Ein Agent, der den gesamten Graphen durchqueren kann, tut etwas kategorisch anderes: er verknüpft Sichten, die kein einzelner Leser verknüpfen würde, mit Maschinengeschwindigkeit, und gibt sie in einer einzigen strukturierten Antwort zurück.

Stellen Sie die falsche Frage — oder lassen Sie einen zu breiten Prompt laufen — und der Agent kann die Aufklärung zusammenstellen, die ein Angreifer sonst wochenlang von Hand aufbauen würde. Die Gefahr ist nicht allein Bosheit; eine ehrliche, aber überberechtigte Abfrage kann denselben Bauplan zutage fördern. Dies sind die Artefakte, die eine Traversierung zusammensetzen kann:

• Abhängigkeitsketten: welche Systeme fallen, wenn eine vorgelagerte Komponente ausfällt
• Einzelne Ausfallpunkte über kritische Geschäftsfunktionen hinweg
• Veraltete und ungepatchte Komponenten, abgebildet auf die von ihnen gestützten Dienste
• Sensible Datenflusspfade, einschließlich dort, wo regulierte Daten Grenzen überschreiten
• Die Gestalt der Sicherheitskontrollen — und daraus abgeleitet die Lücken zwischen ihnen

Prompt Injection und überberechtigte Agenten

Zwei Fehlermodi verwandeln einen nützlichen Agenten in einen Exfiltrationspfad. Der erste ist der überberechtigte Agent: einer, dem breiter, dauerhafter Zugriff auf das gesamte Repository gegeben wurde, weil das Begrenzen sich wie Reibung anfühlte. Was auch immer ein Angreifer diesen Agenten zu tun überreden kann, kann er über die gesamte Karte hinweg tun.

Der zweite ist Prompt Injection. Agenten lesen im Rahmen ihrer Arbeit nicht vertrauenswürdige Inhalte — Tickets, Dokumente, Modellannotationen, externe Seiten. Tragen diese Inhalte versteckte Anweisungen, können sie den Agenten umlenken. Kombinieren Sie eine injizierte Anweisung mit einem breit berechtigten Agenten, und eine Routineabfrage wird zu einer gezielten Traversierung Ihrer sensibelsten Struktur. Die Lehre lautet: dem Prompt nicht zu vertrauen und Berechtigungen nie über die Aufgabe hinausgehen zu lassen.

Die Souveränitätsdimension: wohin die Antwort geht

Exfiltration betrifft nicht nur, was ein Agent liest — sie betrifft, wohin die Antwort reist. Ist der Agent ein universeller Assistent, der von einem US-Cloud-Modell gestützt wird, verlässt der Bauplan, den er zusammenstellt, Ihre Kontrolle in dem Moment, in dem er zur Inferenz gesendet wird. Für eine regulierte EU-Institution ist das ein DORA-, CSSF-, DSGVO- und EU-AI-Act-Anliegen, nicht bloß eine Hygienepräferenz.

Deshalb formulieren wir das Ziel als Sovereign Context Layer statt nur als Zugriffskontrolle. Es geht nicht nur darum, wer abfragen darf, sondern wohin die Daten gehen — ein data-residency-aware MCP, der den Egress regelt und regulierten Kontext innerhalb eines von Ihnen kontrollierten Perimeters hält. Um klar zu sein, wo wir stehen: dieser Sovereign Layer ist der Ansatz, auf den wir hinarbeiten, Überzeugung und Roadmap, keine ausgelieferte Fähigkeit. Was heute existiert, ist die Haltung, auf der er ruht — EU-Region- oder On-Premise-Hosting unter Ihrer Kontrolle und ein vernetztes EA-Modell, das um Governance herum gestaltet ist.

Kontrollen, die es eindämmen — bekannt, nicht exotisch

Die ehrliche Lesart ist, dass der Wert real und die Kontrollen bekannt sind. Nichts von dem Folgenden ist neuartige Sicherheitsforschung; es ist die disziplinierte Anwendung von Least Privilege, Egress-Kontrolle und Monitoring auf eine neue Art von Konsument. Eindämmung ist ein Ingenieurproblem mit etablierten Antworten, kein Grund, KI über Architektur zu verbieten.

• Least-Privilege, permission-aware Zugriff: der Agent erreicht nur den Ausschnitt, den eine Aufgabe braucht, niemals den ganzen Graphen standardmäßig
• Redaction und Scoping: die sensibelsten Attribute entfernen oder maskieren, bevor irgendeine Antwort zusammengesetzt wird
• Egress- und Residenzkontrolle: regeln, wohin jede Antwort reisen darf; regulierten Kontext innerhalb eines von Ihnen kontrollierten Perimeters halten
• Vollständige Abfrageprotokollierung: jede Traversierung aufgezeichnet, zuordenbar und für einen Auditor überprüfbar
• Anomalieerkennung bei Abfragen: die breite, strukturkartierende Frage markieren, die keine legitime Aufgabe stellen würde

Die Entscheidung eines CISO: das Tor regeln, nicht den Agenten verbieten

Die falsche Schlussfolgerung ist, KI-Schlussfolgern über Architektur zu verbieten; die Fähigkeit ist zu wertvoll und die Kontrollen sind zu gut verstanden für ein pauschales Nein. Die richtige Schlussfolgerung ist, das EA-Repository als genau das zu behandeln, was es geworden ist — ein hochwertiges Asset hinter einem geregelten Tor — und bewusst zu entscheiden, was es durchquert, an wen und wohin.

Beginnen Sie dort, wo Ihre Praxis tatsächlich steht. Ein nützlicher erster Schritt ist, die eigene Exposition zu kennen: wie aktuell Ihre Karte ist, wie der Zugriff heute begrenzt ist und wohin regulierte Daten fließen. Das kostenlose EA-Reifegrad-Assessment von ArchiLU bewertet zehn Dimensionen und liefert in etwa zehn Minuten einen priorisierten Aktionsplan — ein konkreter Ausgangspunkt, bevor Sie irgendeinen Agenten anbinden. Behandeln Sie dies wie immer als Dokumentations- und Nachweisunterstützung für die DORA/CSSF-Prüfung, nicht als Konformitätsgarantie.