Mythos-Härtungs-Control · MRIS 2.0 · Wirkt in TISAX®

MHC-16 Multi-Agent-Integrität

Begrenzt, wie weit ein manipulierter, fehlerhafter oder kompromittierter Agent innerhalb einer Kette oder Orchestrierung mehrerer KI-Agenten wirken kann, bevor Schaden entsteht oder sich ausbreitet.

Auf einen Blick

Operativer Nutzen: Begrenzt, wie weit ein manipulierter, fehlerhafter oder kompromittierter Agent innerhalb einer Kette oder Orchestrierung mehrerer AI-Agenten wirken kann, bevor Schaden entsteht oder sich ausbreitet.
Betroffene Richtlinie: Richtlinie zur Nutzung von AI-Agenten (Ergänzung für Mehr-Agenten-Architekturen).
Abhängigkeiten: setzt MHC-13 voraus (Einzel-Agenten-Identität, -Werkzeugzugriff und -Kill-Switch als Grundlage).
Aufwandstreiber: Anzahl und Komplexität der Agent-zu-Agent-Verbindungen, Grad der Orchestrierung, Umfang gemeinsam genutzter Speicher-/Kontextsysteme.
Kostenrahmen (Lizenz/Personentage, indikative Größenordnung ohne Einzelpreise; nur relevant, sobald produktiv mehrere Agenten kommunizieren): KMU — Lizenz gering bis mittel (meist Eigenkonfiguration im vorhandenen Agenten-Framework statt separates Produkt), ca. 20–40 Personentage · Midcap — Lizenz mittel, ca. 40–90 Personentage · Enterprise — Lizenz mittel bis hoch (mehrere komplexe Orchestrierungen, viele Vertrauensgrenzen), ca. 90–180 Personentage.
Primäre Kennzahl: Anteil der Agent-zu-Agent-Verbindungen mit authentifizierter, integritätsgeschützter Kommunikation und funktionsfähigem Circuit-Breaker.
Berührte Standards (ohne Erfüllungsanspruch): kein Vergleichsrahmen aus Phase 3 einschlägig (originär); OWASP Top 10 for Agentic Applications (ASI06, ASI07, ASI08).

Control-Statement

Organisationen, die mehrere miteinander kommunizierende AI-Agenten produktiv einsetzen (Multi-Agenten-Systeme, Orchestrator-/Sub-Agenten-Architekturen, Agent-Ketten), sichern zusätzlich zur Einzel-Agenten-Absicherung (MHC-13) die Kommunikation zwischen den Agenten technisch ab: authentifizierte und integritätsgeschützte Nachrichten zwischen Agenten, eine Trennung gemeinsam genutzter Speicher- und Kontextsysteme entlang klarer Vertrauensgrenzen, sowie einen Circuit-Breaker, der die Ausbreitung eines fehlerhaften oder manipulierten Agenten auf nachgelagerte Agenten begrenzt.

Zweck und Bedrohungsbezug

Die Einzel-Agenten-Absicherung aus MHC-13 nimmt an, dass ein Agent isoliert betrachtet werden kann. Sobald mehrere Agenten miteinander kommunizieren — etwa ein Planungsagent, der Teilaufgaben an spezialisierte Ausführungsagenten delegiert, oder mehrere Agenten mit Zugriff auf einen gemeinsamen Speicher —, entstehen zusätzliche, emergente Risiken: Ein Agent kann Nachrichten eines anderen Agenten implizit vertrauen, ohne dessen Identität oder die Integrität der Nachricht zu prüfen (unsichere Inter-Agent-Kommunikation, u. a. über MCP/A2A-Protokolle). Ein gemeinsam genutzter Speicher- oder Kontext-Store kann durch eine einzelne manipulierte Interaktion vergiftet werden (Memory/Context Poisoning) und wirkt dann auf alle nachfolgenden Konsumenten dieses Speichers, unter Umständen über Sitzungen und Agenten hinweg. Und ein fehlerhaftes oder manipuliertes Ergebnis eines Agenten kann, wenn es ungeprüft als vertrauenswürdige Eingabe an den nächsten Agenten weitergereicht wird, sich innerhalb der Kette verstärken statt gedämpft zu werden (Cascading Failures) — mit Wirkung im Sekundenbereich, außerhalb direkter menschlicher Aufsicht. Bemerkenswert dabei: Selbst wenn kein einzelner Agent für sich genommen das bekannte "Lethal-Trifecta"-Muster erfüllt (gleichzeitiger Zugriff auf sensible Daten, Exposition gegenüber nicht vertrauenswürdigem Inhalt und Fähigkeit zur externen Kommunikation), kann eine Kette mehrerer Agenten dieses Muster in Summe erfüllen, wenn jeder Agent nur einen Teil davon trägt — ein blinder Fleck, wenn Risiko nur je Agent statt systemweit bewertet wird. Diese drei Bedrohungen entsprechen ASI06, ASI07 und ASI08 der OWASP Top 10 for Agentic Applications. Schutzziel ist, dass ein einzelner kompromittierter oder fehlerhafter Agent nicht ungebremst auf andere Agenten oder gemeinsam genutzte Speicher wirken kann.

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Originäre Ergänzung: MHC-16 ist keinem TISAX®-Control zugeordnet und geht über die Diagnose des Fragenkatalogs hinaus.

Reifegrad-Pfad

Initial: Inventar der Agent-zu-Agent-Verbindungen vorhanden, Kommunikation technisch noch nicht abgesichert.
Defined: authentifizierte, integritätsgeschützte Inter-Agent-Kommunikation aktiv; Speicher-/Kontextsysteme entlang der Vertrauensgrenzen getrennt; Circuit-Breaker vorhanden, mindestens manuell auslösbar.
Managed: Circuit-Breaker automatisiert mit definierten Schwellwerten; regelmäßiger Test gegen Context-Poisoning und Kaskadeneffekte; Vertrauensgrenzen-Karte aktuell gehalten.

MVP-Staffelung nach Schutzbedarf: Auch hier gilt: nicht jede Multi-Agenten-Architektur trägt von Anfang an dieselben Systeme mit demselben Schutzbedarf. Bei normalem Schutzbedarf genügt als MVP eine einfache, geteilte Authentifizierung zwischen Agenten (z. B. gemeinsames Secret statt vollständiger kryptografischer Identitätsprüfung) sowie ein manuell auslösbarer Circuit-Breaker; bei hohem Schutzbedarf werden kryptografische Inter-Agent-Authentifizierung (Anschluss an die Agenten-Identität aus MHC-13) und ein automatisierter Circuit-Breaker mit definierten Schwellwerten verbindlich; bei sehr hohem Schutzbedarf gelten zusätzlich Herkunftskennzeichnung im gemeinsamen Speicher als Pflicht sowie der Context-Poisoning-/Kaskaden-Test mindestens jährlich als Zielwert unverändert.

Messung und Audit-Nachweis

Kennzahl: Anteil der Agent-zu-Agent-Verbindungen mit authentifizierter, integritätsgeschützter Kommunikation (Zielwert: 100 %); Anteil produktiver Multi-Agenten-Systeme mit dokumentierter Vertrauensgrenzen-Karte und funktionsfähigem Circuit-Breaker (Zielwert: 100 %).
Nachweis: Vertrauensgrenzen-Karte, Konfigurationsnachweis der Authentifizierung, Testprotokoll des Context-Poisoning-/Kaskaden-Tests, Circuit-Breaker-Auslösehistorie.
Prüflogik: dokumentiert? — Vertrauensgrenzen-Karte je Multi-Agenten-System; verantwortlich? — benannte Gesamtverantwortung je System, zusätzlich zu den Einzel-Agenten-Verantwortlichen aus MHC-13; Häufigkeit? — Test mindestens jährlich angesichts der schnellen Entwicklung in diesem Bereich; Toleranz? — kein produktives Multi-Agenten-System ohne authentifizierte Inter-Agent-Kommunikation und funktionsfähigen Circuit-Breaker.
Evidence-Mapping zum ISA-Katalog: entfällt — MHC-16 ist vollständig originär und keinem TISAX®-Control zugeordnet (siehe Abschnitt 9); der oben stehende MHC-Nachweis bildet die alleinige Grundlage für die Audit-Vorbereitung.

Typische Fehler

Agenten vertrauen Nachrichten anderer Agenten implizit, weil sie "aus dem eigenen System" kommen — keine Unterscheidung zwischen intern geprüfter und von außen beeinflusster Herkunft.
Gemeinsamer Speicher- oder Kontext-Store ohne Herkunftskennzeichnung — im Nachhinein nicht rekonstruierbar, welcher Agent oder welche externe Quelle einen bestimmten Eintrag verursacht hat.
Kein Circuit-Breaker — ein einzelner fehlerhafter oder manipulierter Agent versorgt eine ganze Kette oder Orchestrierung ungebremst mit fehlerhaften Ergebnissen weiter.
Risikobewertung erfolgt nur je Einzel-Agent, nicht für die Kette als Ganzes — eine Kette, die in Summe ein Lethal-Trifecta-Muster erfüllt, bleibt unentdeckt, weil kein einzelner Agent darin auffällig ist.

Abgrenzung und Restrisiko

Abgrenzung: setzt eine Architektur mit mehreren, miteinander kommunizierenden Agenten voraus; die Absicherung eines einzelnen Agenten (Identität, Werkzeugzugriff, Kill-Switch, Grundhärtung gegen Prompt Injection) regelt MHC-13, auf dem dieser Eintrag aufbaut.
Restrisiko: emergentes Fehlverhalten in komplexen Multi-Agenten-Systemen ist nicht vollständig vorhersagbar; ein Circuit-Breaker begrenzt die Auswirkung, verhindert aber nicht jede Fehlentscheidung im Einzelfall.
TISAX®-Controls: keine. Dieses MHC ist vollständig originär — kein TISAX®-Anforderungsbefund aus Teil I liegt zugrunde (siehe Teil I, Abschnitt "Originäre Ergänzungen jenseits von TISAX®").
Framework: originär — kein Vergleichsrahmen aus Phase 3 einschlägig; OWASP Top 10 for Agentic Applications (ASI06 Memory & Context Poisoning, ASI07 Insecure Inter-Agent Communication, ASI08 Cascading Failures) als Bedrohungstaxonomie, nicht als Compliance-Rahmenwerk; Priorität P2, zukunftsgerichtet — relevant, sobald mehrere Agenten produktiv miteinander kommunizieren (siehe Priorisierungskapitel).

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog