Ein großes KI-Modell oder viele Agenten? Ein Sicherheitsblick

Für Unternehmens-KI können mehrere kleine Agenten, die je eine Aufgabe mit begrenztem Zugriff erledigen, sicherer und günstiger sein als ein großes Modell, das mit allem verbunden ist. Der Vorteil stellt sich nicht von selbst ein: Er entsteht, wenn jeder Agent nur die Daten und Befugnisse bekommt, die er braucht, und er bringt mehr Teile mit sich, die gesteuert werden müssen.

Dieser Artikel richtet sich an Führungskräfte, die eine KI-Architektur wählen. Er stellt die Sicherheits- und Kostenargumente für begrenzte Agenten dar, die Gegenargumente und wie man beide Ansätze steuert.

Was ist der Unterschied zwischen einem Einzelmodell und vielen Agenten?

Bei einem Einzelmodell beantwortet ein allgemeines Modell jede Anfrage und ist mit jeder Datenquelle und jedem Werkzeug verbunden, das es brauchen könnte. Bei einem Multi-Agenten-Ansatz übernehmen getrennte Agenten getrennte Aufgaben, etwa Rechnungen lesen, Lieferanten prüfen oder Antworten entwerfen, und reichen Arbeit untereinander weiter. Open-Source-Frameworks wie AutoGen wurden gebaut, um Anwendungen aus miteinander sprechenden Agenten zu erstellen.

Die Frage für ein Unternehmen ist nicht, was fortschrittlicher ist, sondern was den Schaden begrenzt, wenn etwas schiefgeht.

Sind Multi-Agenten-Systeme sicherer?

Sie können es sein, aus einem Hauptgrund: dem Schadensradius. OWASPs Leitfaden zu übermäßiger Handlungsfähigkeit führt den Schaden einer fehlgeleiteten KI auf drei Grundursachen zurück: übermäßige Funktionalität, übermäßige Berechtigungen und übermäßige Autonomie. Ein Einzelmodell, das an alle Systeme angeschlossen ist, hat alle drei. Ein Agent, der nur Rechnungen lesen kann und weder E-Mails senden noch Geld bewegen darf, hat viel weniger zu missbrauchen.

Das zählt, weil der wichtigste Angriff auf KI-Systeme darin besteht, ihnen Anweisungen unterzuschieben. OWASP führt Prompt Injection an erster Stelle der Risiken für Anwendungen auf Basis großer Sprachmodelle, und IBMs Cost of a Data Breach Report 2026 ergab, dass Prompt-Injection-Vorfälle gegen die KI von Organisationen im Schnitt 5,89 Millionen Dollar Verlust verursachten. Trifft eine eingeschleuste Anweisung einen Agenten mit engen Rechten, kann sie weniger anrichten.

Derselbe OWASP-Eintrag warnt auch vor der Kehrseite: In Multi-Agenten-Systemen ist ein kompromittierter Peer-Agent selbst ein Angriffsweg. Agenten, die einander ungeprüft vertrauen, verbreiten das Problem, statt es einzudämmen.

Ist es günstiger, viele kleine Modelle zu nutzen?

Oft ja. Viele Anfragen sind einfach und brauchen nicht das größte Modell. Die FrugalGPT-Studie testete, jede Anfrage an das günstigste Modell zu senden, das sie voraussichtlich gut beantwortet, und nur bei Bedarf zu eskalieren. Bei den getesteten Aufgaben erreichte das die Leistung des besten Einzelmodells bei bis zu 98 % geringeren Kosten.

Die Einsparungen hängen von der Arbeit ab. Ein System, das bei den meisten Anfragen tiefes Schlussfolgern braucht, gewinnt weniger.

Welche Risiken hat der Multi-Agenten-Ansatz?

• Komplexität. Mehr Agenten bedeuten mehr Verbindungen, mehr Zugangsdaten und mehr Stellen für Fehlkonfiguration.
• Hype. Gartner sagt voraus, dass über 40 % der Projekte mit agentischer KI bis Ende 2027 eingestellt werden, und warnt vor „Agent Washing“, also vorhandenen Chatbots und Automatisierungen, die in Agenten umbenannt werden. Nur etwa 130 der Tausenden Anbieter, die agentische KI beanspruchen, seien echt.
• Verantwortlichkeit. Trifft eine Kette von Agenten eine Entscheidung, muss weiterhin klar sein, welche Person dafür einsteht.

Wie hilft das gegen Schatten-KI?

Beschäftigte nutzen KI, ob freigegeben oder nicht. Der Work Trend Index 2024 von Microsoft und LinkedIn ergab, dass 75 % der Wissensarbeitenden KI bei der Arbeit nutzen und 78 % dieser Nutzenden eigene Werkzeuge mitbringen. Analyse: Ein Katalog freigegebener, gut begrenzter Agenten für häufige Aufgaben bietet eine bessere Option als nicht freigegebene Werkzeuge und lässt sich leichter vertreten als ein Verbot.

Wie steuert man KI-Agenten?

Das AI Risk Management Framework des NIST gilt für jeden Agenten ebenso wie für das ganze System:

1. Govern: jedem Agenten eine benannte verantwortliche Person und einen schriftlichen Zweck geben.
2. Map: festhalten, welche Daten und Werkzeuge jeder Agent erreicht und was passiert, wenn er fehlgeleitet wird.
3. Measure: jeden Agenten vor dem Start und nach Änderungen auf Prompt Injection und Datenabfluss testen.
4. Manage: minimalen Zugriff gewähren, für Aktionen, die Geld, Daten oder Nachrichten aus dem Unternehmen bewegen, menschliche Freigabe verlangen und Protokolle führen.
5. Klein anfangen. Agenten nur dort bauen, wo der Nutzen klar ist, und solche abschaffen, die ihn nicht bringen.

Was es kostet, diese Schritte auszulassen, lesen Sie in Spart es wirklich Geld, KI-Governance zu kürzen?. Zu den Risiken von Agenten auf persönlichen Computern siehe Lokale KI-Agenten: privat, aber auch sicher?.

Häufige Fragen

Sind Multi-Agenten-Systeme sicherer als ein großes Modell?

Sie können es sein, wenn jeder Agent nur die Daten und Werkzeuge bekommt, die seine Aufgabe braucht, sodass ein erfolgreicher Angriff auf einen Agenten weniger erreicht. Sicher von Haus aus sind sie nicht: Mehr Agenten bedeuten mehr Verbindungen zu schützen und mehr Berechtigungen zu verwalten.

Sind kleinere Modelle wirklich günstiger?

Oft. Die FrugalGPT-Studie fand, dass es die Leistung des besten Einzelmodells bei bis zu 98 % geringeren Kosten erreichen kann, jede Anfrage an das günstigste Modell zu leiten, das sie beantworten kann, bei den getesteten Aufgaben.

Was ist Schatten-KI?

Schatten-KI ist die Nutzung von KI-Werkzeugen, die der Arbeitgeber nicht freigegeben hat. Microsoft und LinkedIn stellten 2024 fest, dass 78 % der Menschen, die KI bei der Arbeit nutzen, eigene Werkzeuge mitbringen.

Sollte jedes Unternehmen jetzt KI-Agenten bauen?

Nein. Gartner sagt voraus, dass bis Ende 2027 über 40 % der Projekte mit agentischer KI wegen Kosten, unklarem Nutzen oder schwachen Risikokontrollen eingestellt werden. Beginnen Sie dort, wo ein Agent klar Mehrwert bringt.

Quellen

1. OWASP (2025), LLM06:2025 Excessive Agency — Übermäßige Funktionalität, Berechtigungen und Autonomie als Grundursachen; umfasst kompromittierte Peer-Agenten in Multi-Agenten-Systemen.
2. OWASP (2025), LLM01:2025 Prompt Injection — Prompt Injection, einschließlich indirekter Injektion über Websites oder Dateien.
3. NIST (2023), Artificial Intelligence Risk Management Framework (AI RMF 1.0) — Die Funktionen Govern, Map, Measure und Manage.
4. Wu et al. (2023), AutoGen: Enabling Next-Gen LLM Applications via Multi-Agent Conversation — Ein Open-Source-Framework, um Anwendungen aus mehreren miteinander kommunizierenden Agenten zu bauen.
5. Chen, Zaharia and Zou (2023), FrugalGPT: How to Use Large Language Models While Reducing Cost and Improving Performance — Modellkaskaden erreichten in den berichteten Experimenten die Leistung des besten Einzelmodells bei bis zu 98 % Kostensenkung.
6. Microsoft and LinkedIn (2024), AI at Work Is Here. Now Comes the Hard Part (Work Trend Index) — 75 % der Wissensarbeitenden nutzen KI bei der Arbeit; 78 % der KI-Nutzenden bringen eigene Werkzeuge mit.
7. Gartner (2025), Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 — Prognose zu Einstellungen und „Agent Washing“; Gartner schätzt, dass nur etwa 130 von Tausenden Anbietern agentischer KI echt sind.
8. IBM (2026), AI-powered adversaries and the enterprise risk challenge (Cost of a Data Breach Report 2026) — Prompt-Injection-Vorfälle verursachten im Schnitt 5,89 Millionen Dollar Verlust.