Agentic denial of service macht AI-Automatisierung zum Risiko

Agentic denial of service ist die Bezeichnung von Infoblox für Störungen, bei denen AI agents Ressourcen verbrauchen, unterstützende Systeme überlasten oder schädliche automatisierte Aktionen ausführen. Anders als ein herkömmlicher denial-of-service attack, der ein System durch eine Überlastung mit Datenverkehr unerreichbar macht, zielt dieses Risiko auf die Fähigkeit eines Unternehmens, seine Agents, deren Infrastruktur oder die von ihnen geschützten Dienste zu nutzen. Die Analyse von Infoblox vom 20. Oktober 2026 dokumentiert keinen bestätigten ADoS-Vorfall. Die beschriebenen Szenarien dienen der Veranschaulichung, die zugrunde liegenden Techniken sind jedoch bereits katalogisiert.

Ein AI agent ist Software, die selbstständig Aufgaben planen, Tools verwenden und Aktionen zur Erreichung eines Ziels ausführen kann. In einem Security Operations Centre oder SOC können Agents Endpoint-Aktivitäten erfassen, Identitätsdatensätze durchsuchen, Threat Intelligence hinzuziehen, Beweismittel zusammenfassen und Untersuchungsfälle eröffnen. Ein Strom plausibler Warnmeldungen könnte diese Workflows zunehmend verlangsamen, die token budgets aufbrauchen, die begrenzen, wie viel Text ein AI-System verarbeitet, und bei den Analysten wachsende Warteschlangen verursachen. Im Beispiel von Infoblox wird ein echter Einbruch schwerer erkennbar, während eine automatisierte Reaktion den falschen Teil des Netzwerks isoliert und einen umsatzkritischen Dienst deaktiviert. Es muss weder ein Server mit Datenverkehr überflutet werden noch eine firewall ausfallen, weil die defensive Automatisierung selbst die Störung verursacht.

Die potenzielle Reichweite geht weit über Sicherheitsteams hinaus. Service-desk agents können Anfragen zu Konten, Geräten und Software bearbeiten und dadurch Identitäten und Endpoints beeinflussen. Security agents können mit security information and event management systems interagieren, die Warnmeldungen sammeln, sowie mit security orchestration, automation and response tools, die Reaktionen koordinieren. Sie können außerdem auf endpoint detection systems, Threat Intelligence und Security Controls zugreifen. Site reliability engineering und IT operations agents können Ausfälle diagnostizieren oder Produktionsanwendungen, Rechenkapazitäten und Traffic-Routen verändern. Cloud agents stellen Workloads bereit und verwalten Quotas, Konten, Budgets und Scaling.

Andere Agents schreiben, testen und implementieren Code über Repositories sowie continuous integration und continuous delivery pipelines, die das Erstellen und Veröffentlichen von Software automatisieren. Knowledge agents fragen Dokumente, Datenbanken und vertrauliche Geschäftsinformationen ab. Identity agents können Verzeichnisse, single sign-on systems, privileged access und Berechtigungen ändern. Network operations agents können DNS verändern, das Domain Name System, das Namen wie Website-Adressen in Netzwerkadressen umwandelt, ebenso wie Dynamic Host Configuration Protocol-Dienste, die Netzwerkeinstellungen zuweisen, IP address management systems, firewalls und Netzwerkrouten. Ihre Nützlichkeit beruht auf diesem Zugriff, doch daraus ergibt sich auch das Schadenspotenzial, wenn sie manipuliert, überlastet oder mit übermäßigen Befugnissen ausgestattet werden.

Infoblox unterteilt ADoS in drei Formen. Die erste, denial of security, richtet sich gegen den Untersuchungsprozess der Verteidiger. Jedes scheinbar bedeutsame Ereignis kann AI inference, Threat-Intelligence-Anreicherung, sandbox analysis, API calls, also zwischen Softwarediensten ausgetauschte Anfragen, , die Nutzung von Warteschlangen und menschliche Überprüfungen auslösen. Der Angreifer muss möglicherweise nur wenig aufwenden, um jedes einzelne Ereignis zu erzeugen, während dem Verteidiger in jeder Untersuchungsphase Kosten entstehen. Infoblox argumentiert, dass die Kosten mit jedem weiteren Ereignis steigen und sich vervielfachen, wenn die Untersuchungen vertieft werden. Das Ziel besteht nicht unbedingt darin, ein System zum Absturz zu bringen, sondern die Verteidigung so langsam, teuer oder abgelenkt zu machen, dass sie den entscheidenden Einbruch nicht erkennt.

Ein hohes Volumen ist nicht der einzige Weg. Angreifer könnten die Informationen manipulieren, die ein AI-Sicherheitsassistent abruft, sodass er überzeugende, aber falsche Zusammenfassungen erstellt. Analysten müssten die Automatisierung dann überprüfen oder infrage stellen, anstatt sich auf sie verlassen zu können, um ihre Arbeitsbelastung zu verringern. Dies ist sowohl ein Problem der Datenintegrität als auch der Kapazität, weil der Agent verfügbar bleiben und gleichzeitig unzuverlässige Schlussfolgerungen liefern kann.

Die zweite Form, denial of infrastructure, tritt auf, wenn die Aktivität von Agents gemeinsam genutzte Abhängigkeiten wie DNS, APIs, Cloud-Ressourcen, Netzwerkpfade oder andere Agents überlastet. Ein Operations agent könnte wiederholt dieselbe Fehlerbehebung versuchen, oder eine speziell präparierte Eingabe könnte einen Orchestrator dazu bringen, Arbeit an ein Dutzend Specialist agents zu verteilen, die jeweils zusätzliche Tools aufrufen. Das wahrscheinliche Ergebnis ist ein brownout, bei dem ein Dienst teilweise verfügbar bleibt, aber langsam oder unzuverlässig wird. Zu den Anzeichen können sporadische Verzögerungen, eingeschränkte APIs und stark gestiegene Cloud-Ausgaben gehören, anstatt eines einzigen offensichtlichen Ausfalls. Dadurch lässt sich das Ereignis nur schwer diagnostizieren und später rekonstruieren.

Die dritte Form, denial by response, tritt ein, wenn eine automatisierte Gegenmaßnahme mehr Schaden verursacht als das ursprüngliche Problem. Infoblox verweist auf eine Beobachtung des Threat-Intelligence-Teams von Google, wonach ein Angreifer in weniger als sechs Stunden eine durch Agents gesteuerte credential-harvesting campaign plante, aufbaute und betrieb. Schnellere Angriffe erhöhen den Druck, defensiven Agents mehr Unabhängigkeit zu geben. Die Aktualisierung einer Blockierungsrichtlinie für einen high-confidence indicator hat jedoch ganz andere Folgen als die Quarantäne eines Rechenzentrums, die Abschaltung von DNS oder das Zurücksetzen Tausender Zugangsdaten.

Ein Beispiel betrifft einen Service-desk agent, der auf einen starken Anstieg von failed-login tickets reagiert, indem er Passwörter zurücksetzt und Konten neu erstellt. Wenn die tatsächliche Ursache ein Ausfall des Identity Providers ist, erschwert jeder Reparaturversuch die Wiederherstellung. Ein Angreifer könnte absichtlich ähnliche Verwirrung erzeugen, und zwar durch prompt injection, also Eingaben, die ein AI-System dazu bringen sollen, unbeabsichtigten Anweisungen zu folgen, oder durch manipulierte Kontextinformationen. Der Agent muss nicht selbst böswillig sein. Seine autorisierte Reaktion wird zur schädlichen Aktion.

Die zugrunde liegenden Bausteine sind nicht völlig neu. MITRE ATLAS, eine Knowledge Base zu Angriffen auf AI-Systeme, umfasst denial of AI service, cost harvesting mit einer Subtechnik für agentic resource consumption sowie AI-agent tool invocation. Die ADoS-Bezeichnung von Infoblox fasst diese Techniken im Zusammenhang mit Agents zusammen, die über Befugnisse in operativen Geschäftssystemen verfügen.

Vier Merkmale erhöhen die Besorgnis. Unternehmen führen Agents schneller ein, als sie diese inventarisieren können. Ein einziger Agent kann Tausende Aktionen ausführen, während ein Mensch noch die erste Warnmeldung bewertet. Kostengünstige Eingaben können teure Abläufe aus Berechnungen, Anreicherungen und Überprüfungen anstoßen. Da Agents während ihrer Ausführung planen und über Unternehmensgrenzen hinweg arbeiten, kann ein einziges Ereignis gleichzeitig Sicherheit, Netzwerke, Cloud-Dienste, Finanzen und Compliance betreffen. Unternehmen müssen daher ihre Agents identifizieren, deren Autonomie begrenzen und mit zunehmender Verbreitung die Sichtbarkeit ihres Verhaltens aufrechterhalten.

Infoblox empfiehlt, Entscheidungen zu treffen, bevor kostspielige Workflows beginnen, Verhalten statt einzelner Warnmeldungen zu beobachten, die Automatisierung auf verlässliche Bestands- und Verbindungsdatensätze zu stützen und feste Grenzen festzulegen.