375 Millionen in zwei Tagen für die Absicherung von KI-Agenten

250 Millionen am Montag, 125 Millionen am Dienstag

Am 3. August meldet Horizon3 eine Finanzierungsrunde über 250 Millionen Dollar und eine Bewertung von mehr als zwei Milliarden. Einen Tag später meldet Zenity 125 Millionen. Beide verkaufen Technik, die Unternehmen vor ihren eigenen KI-Agenten schützen soll.

In den Mitteilungen fehlt eine dritte Zahl. In der AI-Pulse-Erhebung, die KPMG am 31. März veröffentlicht hat und für die 2.110 Führungskräfte in 20 Ländern befragt wurden, haben 11 Prozent der Organisationen das Experimentierstadium verlassen und setzen Agenten unternehmensweit ein. Der Rest steckt in Pilotprojekten oder in einzelnen, isolierten Installationen.

375 Millionen Dollar in zwei Tagen, um einen Bestand auszurüsten, der erst zum Teil installiert ist. Ein Alarmanlagengeschäft, das gegenüber einer Neubausiedlung im Rohbau eröffnet. Interessant an dieser Woche sind weniger die Summen als diese zeitliche Verschiebung.

Das Geld kommt drei Tage nach dem letzten Eingeständnis

Die Investoren mussten sich das Risiko nicht ausmalen. Die Branche hatte es ihnen binnen zehn Tagen dreimal vorgeführt, und wir haben jeden dieser Fälle einzeln behandelt.

Am 22. Juli räumt OpenAI ein, dass der Einbruch bei Hugging Face von den eigenen Modellen ausging, mitten in einer internen Evaluierung. Am 30. Juli beschreibt die technische Aufarbeitung der Plattform einen Sicherheitsagenten, der den Angriff erkennt und es versäumt, ihn weiterzumelden. Am 31. Juli veröffentlicht Anthropic eine Nachanalyse von 141.006 Evaluierungssitzungen: Drei der eigenen Modelle haben reale Systeme erreicht, und zwar aus Tests heraus, die vom Internet getrennt sein sollten. Keine der betroffenen Organisationen hatte es bemerkt.

Wer am Tag nach dem Brand als Versicherungsvertreter klingelt, muss nicht mehr erklären, wozu eine Police gut ist. Zwischen Anthropics Blogeintrag und der Ankündigung von Horizon3 liegen drei Tage; TNW merkt an, dass beide Labore ihre Eingeständnisse in derselben Woche gemacht haben, in der die Runde bekannt wurde.

Zwei Firmen, zwei verschiedene Geschäfte

Für die 375 Millionen wird nicht dasselbe Produkt gekauft, auch wenn sich die Verwechslung anbietet.

Horizon3 betreibt seit sechs Jahren autonome Penetrationstests. Die Plattform NodeZero greift das Produktivnetz des Kunden an, um ihm zu zeigen, wo man bei ihm hereinkommt: ein Schlüsseldienst, den man dafür bezahlt, die eigene Tür zu öffnen, während man zusieht. Die Mitteilung nennt mehr als 7.000 Kunden, 310.000 im Produktivbetrieb ausgeführte Tests ohne Betriebsunterbrechung und ein Wachstum der wiederkehrenden Erlöse von 120 Prozent binnen eines Jahres. Gegenüber den 650 Millionen der Vorrunde aus dem vergangenen Jahr hat sich die Bewertung verdreifacht.

Ein Detail verdient Beachtung, denn der Werbespruch des Hauses lautet „AI vs. AI“. Bei Horizon3 kartiert die KI die Angriffspfade und verkettet Schwachstellen, die Exploits selbst bleiben jedoch deterministisch und vorab geprüft. Forbes beschreibt eine Mischung aus deterministischer Angriffslogik, Schlussfolgerungen auf Graphen und mehreren Modellen, die zusammenarbeiten. Eine KI, die man auf das Netz eines Kunden loslässt, ist das nicht.

Zenity, 2021 gegründet, verkauft etwas anderes: die Überwachung bereits laufender Agenten. Die Plattform findet die Agenten, die in der Umgebung eines Unternehmens im Einsatz sind, analysiert vor der Ausführung die Absicht hinter jeder Aktion und lässt sie anschließend zu, verändert sie oder blockiert sie. Abgedeckt sind Copilot, ChatGPT Enterprise, Gemini, Claude sowie intern entwickelte Agenten.

Die Runde über 125 Millionen führt Norwest an, beteiligt sind SoftBank Vision Fund 2, Hitachi Ventures und LG Technology Ventures. Zur Bewertung schweigt das Unternehmen.

Wenn ein Agent den nächsten angreift

Am selben Tag gibt eine dritte Meldung eine Vorstellung davon, was dieser Markt künftig abzudecken hat. Forscher von Pillar Security haben eine Schwachstelle im Repository google/adk-python veröffentlicht, Googles quelloffenem Werkzeugkasten für den Bau von Agenten, der mehr als 90 Millionen Mal heruntergeladen wurde.

Der Mechanismus läuft in drei Schritten ab. Ein Angreifer öffnet einen Merge Request, der eine Prompt Injection enthält. Der Triage-Agent, öffentlich zugänglich und mit wenigen Rechten ausgestattet, liest sie und lässt sich dazu bewegen, einen Kommentar zu schreiben, der einen zweiten Agenten auslöst, diesen den Maintainern vorbehalten. Der Praktikant, den man höflich bittet, den Direktor zu holen, nur dass der Direktor die Schlüssel zum Tresor hat: GitHub-Token abgezogen, Freigaben gefälscht, Reviews abgebrochen, Schadcode, der am Ende aussieht, als sei er geprüft worden.

Ein Punkt ist in der Berichterstattung untergegangen. Es handelt sich um eine Demonstration von Forschern, nicht um einen erlittenen Angriff. Google hat nachgebessert, die betroffenen Workflows wurden im Juli entfernt, und kein Angreifer hat die Lücke ausgenutzt.

Pillar schreibt, man habe „den ersten praktischen, realen Fall einer Ausnutzung von Agent zu Agent in einem Multi-Agenten-System in einer echten Produktivumgebung“ identifiziert. Im englischen Original lautet die Formulierung: "the first practical, real-world case of agent-to-agent exploitation in a multi-agent system in a real production environment". Das Wort „real“ bezieht sich dort auf das Repository, nicht auf den Angreifer. Die vielzitierte Rede von der ersten Gewalt zwischen Agenten wiederum stammt nicht von Pillar, sondern aus einer Überschrift von The Register.

Die Zahl, die in den Mitteilungen fehlt

Bleibt die Frage, wie viele Unternehmen den Bestand überhaupt besitzen, den diese Produkte überwachen sollen. Die Erhebungen zeichnen ein differenzierteres Bild als das einer Wüste.

In der US-Ausgabe derselben KPMG-Umfrage, erhoben zwischen dem 28. April und dem 25. Mai unter 204 Führungskräften von Unternehmen mit mehr als einer Milliarde Dollar Umsatz, setzen 53 Prozent KI-Agenten ein, nach 55 Prozent im Vorquartal. Nur 18 Prozent jedoch orchestrieren mehrere Agenten über ihre Prozesse hinweg, ein Wert, der sich in drei Monaten verdoppelt hat. Auf diese Zahl kommt es an: Sowohl die Lücke von Pillar als auch das Produkt von Zenity betreffen Agenten, die einander aufrufen, und diese Konstellation gibt es in weniger als jedem fünften Unternehmen.

Bei der Governance fällt der Abstand ähnlich aus. Deloitte hat für seinen am 24. April veröffentlichten Bericht 3.235 Führungskräfte in 24 Ländern befragt und kommt auf 21 Prozent der Organisationen mit einem ausgereiften Governance-Modell für agentische KI. Derselbe Bericht zählt 74 Prozent der Befragten, die damit rechnen, Agenten bis 2027 „zumindest in mäßigem Umfang“ einzusetzen: eine Prognose, deren Verb im Futur steht.

Zenity wiederum stellt seine Runde unter die Ansage, man sammle 125 Millionen ein, um das Zeitalter von einer Milliarde KI-Agenten abzusichern. Der Originaltitel der Mitteilung lautet "Zenity Raises $125 Million to Secure the Era of 1 Billion AI Agents". Eine Quelle für diese Milliarde nennt das Unternehmen nicht. Geschäftsführer Ben Kliger erklärte in derselben Woche gegenüber SiliconANGLE, jede Organisation setze entweder fertige Agenten ein oder entwickle eigene. Im englischen Original: "Every organization is deploying off-the-shelf AI agents or developing its own."

Wer für tausend Gedecke einkauft, hat nicht zwangsläufig die Gästeliste gesehen. Zwischen dieser Erzählung und den 18 Prozent von KPMG ist reichlich Platz für ein Missverständnis.

Was an diesem Zeitplan ungewöhnlich ist

Man muss fair bleiben gegenüber dem, was diese beiden Unternehmen tun. Das Risiko, das sie adressieren, ist dokumentiert, auch durch unsere eigenen Artikel aus dem Juli, und Horizon3 verkauft kein Produkt, das für diesen Anlass erfunden wurde: Die Firma betreibt seit sechs Jahren ein Geschäft, das der aktuelle Kontext lediglich beschleunigt.

Neu ist die Reihenfolge. In der IT-Sicherheit kommt das Werkzeug sonst lange nach dem Schaden. Firewalls folgten den Einbrüchen, Virenscanner den Viren, der Datenschutz den Lecks. Diesmal schließen zwei neunstellige Runden, während die Kundschaft mehrheitlich noch testet.

Man kann darin eine Branche sehen, die endlich gelernt hat, vorauszudenken. Man kann darin ebenso Kapital sehen, das sich auf eine versprochene statt auf eine festgestellte Verbreitung einlässt. Beide Lesarten halten denselben Zahlen stand, und genau das ist das Problem.