Ein Agent kann durch gegnerischen Text getäuscht werden, der in seine Eingabekanäle, Speichermodule oder externen Datenfeeds eingeschleust wird. Die Taxonomie von Google DeepMind aus dem Jahr 2026 („KI-Agentenfallen") ergab, dass unsichtbare HTML-Inhaltsinjektionen bei autonomen Agenten eine Erfolgsquote von 86% erzielten . Das Risiko verschiebt sich von der Frage „Was habe ich unterschrieben?" hin zu „Was hat mein Agent abgeleitet, und mit welchen Berechtigungen?"
Autonome Agenten, die Arbitrage ausführen, können von gegnerischen MEV-Bots „gesandwicht" oder überholt werden. Flash-Loan-gestützte Angriffe plünderten 2026 2,4 Milliarden US-Dollar aus DeFi-Protokollen – ein Anstieg von 340% im Vergleich zum Vorjahr –, da KI-optimierte Bots Arbitrage-Pfade als Waffe einsetzten .
Agenten, die private Schlüssel verwalten, Marktdaten analysieren und Transaktionen autonom einreichen, schaffen eine neue Art von Vertragsrisiko. Ein Protokoll kann auf Solidity-Ebene einwandfrei geprüft sein und dennoch Gelder verlieren, weil der privilegierte Akteur ein Sprachmodell ist, das mit Text manipuliert werden kann .
KI-Modelle (z. B. Anthropics Claude Opus 4.8) ermöglichten es Sicherheitsforschern und Angreifern gleichermaßen, kritische Schwachstellen schneller zu entdecken. Shielded Labs fand mit einem KI-Agenten einen Fehler im Orchard-Pool von Zcash, der seit Mai 2022 bestand . Nordkoreanische Hackergruppen – verantwortlich für 66% aller Krypto-Hack-Verluste (643 Mio. US-Dollar) im ersten Halbjahr 2026 – setzen zunehmend KI ein, um die Suche nach Exploits zu automatisieren .
Eine kritische Schwachstelle (CVSS 10.0) in React Server Components (CVE-2025-55182) erlaubte Angreifern die Remote-Code-Ausführung auf DApp-Frontend-Servern, die als Signierer-Proxies für lokale KI-Agenten fungieren, und ermöglichte das Abfangen von Sitzungsschlüsseln .
| Vorfall | Datum | Verluste | Details |
|---|---|---|---|
| Drift Protocol | 12. April 2026 | ~285 Mio. US-Dollar | Flash-Loan- + Orakelmanipulationsangriff, KI-optimiert |
| KelpDAO | 23. April 2026 | ~292 Mio. US-Dollar | Ausbeutung einer Governance-Vertragslogik; zusammen mit Drift machten diese beiden Vorfälle 44% der Verluste im ersten Halbjahr 2026 aus |
| Boltz-Abschaltung | 3. August 2026 | Nicht bekannt gegeben (Verluste aufgefangen) | Nicht-verwahrender Bitcoin-Swap/Bridge wurde offline genommen, nachdem monatelange KI-gestützte automatisierte Sondierungen die Fähigkeiten des kleinen Teams zur Fehlerbehebung überforderten |
| Orchard-Pool-Schwachstelle | Entdeckt Juni 2026 | Vor Ausbeutung geschlossen | Kritischer Fehler, gefunden von einem KI-Agenten (Claude Opus 4.8); bestand seit Mai 2022 |
| 212 On-Chain-Exploits (H1 2026) | Jan.–Juni 2026 | 1,1 Mrd. US-Dollar (Blockaid) / 1,32 Mrd. US-Dollar (CertiK) | Rekordinzidenzvolumen – 3,4-mal so viele Vorfälle wie im gesamten Jahr 2025 |
Die jährlichen Verlustprognosen für KI-gesteuerte Smart-Contract-Exploits liegen bei 10 bis 20 Milliarden US-Dollar bis 2027, falls die aktuellen Trends anhalten .
Singapore MAS — Im August 2026 bestätigte die Monetary Authority of Singapore, dass agentische KI von ihren verbindlichen Bankregeln und den bevorstehenden Guidelines on AI Risk Management (Konsultation gestartet Nov. 2025) abgedeckt wird. Die MAS baut außerdem praktische Infrastruktur durch Project MindForge auf .
US-Finanzministerium — FS AI RMF — Das Financial Services AI Risk Management Framework (Februar 2026) bietet eine risikobasierte Governance-Struktur speziell für KI im Bank- und Finanzwesen .
EU AI Act + MiCA — Stand August 2026 gibt es keinen einzigen finalisierten Compliance-Leitfaden für KI-Agenten in der EU. Organisationen müssen Anforderungen aus dem EU AI Act und der Markets in Crypto-Assets-Verordnung zusammenführen .
Singapore IMDA — Model AI Governance Framework for Agentic AI — Veröffentlicht im August 2026, mit der Forderung nach einer vorausschauenden Risikobewertung, technischen Kontrollen über den gesamten Agentenlebenszyklus und menschlicher Aufsicht proportional zum Autonomiegrad .
Cloud Security Alliance — Autonomy Levels and Control Framework — Fünf Schlüsselprinzipien: Autonomie muss explizit begründet werden, höhere Autonomie erfordert stärkere Kontrollen, menschliche Aufsicht proportional zum Risiko, kontinuierliche Überwachung und klare Verantwortlichkeit .
Deterministische Richtlinien-Engine zur Aktionsvalidierung. Behandeln Sie alle benutzergenerierten und abgerufenen Inhalte als nicht vertrauenswürdig. Validieren Sie jede vorgeschlagene Aktion eines Agenten gegen eine deterministische Richtlinien-Engine – Eingabebereinigung allein kann gegnerische Anweisungen nicht entfernen .
Human-in-the-Loop-Genehmigungstore für alle wertvollen oder risikoreichen Aktionen vor der Ausführung .
Aufgabentrennung, Genehmigungsschwellen und Zugriffsüberprüfungen – wenden Sie dieselben Finanzkontrollprinzipien, die für menschliche Operateure gelten (z. B. doppelte Autorisierung für große Überweisungen), auch auf KI-Agenten an .
Inhaltsfilterung und Ausgabeüberwachung auf gegnerische Prompts und anomale Verhaltensmuster .
Autonomiegrad-Stufung – Agenten sollte nicht standardmäßig maximale Autonomie gewährt werden; geringere Autonomie mit expliziten Eskalationspfaden für wertvolle Aktionen .
Agentenspezifische Prüfung und Invarianten-Durchsetzung – über Standard-Smart-Contract-Audits hinaus benötigen Agenten Laufzeitmonitore, die Aktionen gegen vordefinierte Invarianten und Schutzschalter prüfen .
Kontextbewusste Eingabebereinigung und Speicherisolierung – verhindern Sie Prompt-Injection über externe Datenfeeds oder Agentenspeichermodule .
Vierschichtige Governance-Architektur (in der akademischen Forschung vorgeschlagen): Selbstregulierungsmodule neben jedem Modell, interne Modell-Governance, zentrale Aufsicht und externe regulatorische Berichterstattung .
Ein Agent kann durch gegnerischen Text getäuscht werden, der in seine Eingabekanäle, Speichermodule oder externen Datenfeeds eingeschleust wird. Die Taxonomie von Google DeepMind aus dem Jahr 2026 („KI-Agentenfallen") ergab, dass unsichtbare HTML-Inhaltsinjektionen bei autonomen Agenten eine Erfolgsquote von 86% erzielten . Das Risiko verschiebt sich von der Frage „Was habe ich unterschrieben?" hin zu „Was hat mein Agent abgeleitet, und mit welchen Berechtigungen?"
Autonome Agenten, die Arbitrage ausführen, können von gegnerischen MEV-Bots „gesandwicht" oder überholt werden. Flash-Loan-gestützte Angriffe plünderten 2026 2,4 Milliarden US-Dollar aus DeFi-Protokollen – ein Anstieg von 340% im Vergleich zum Vorjahr –, da KI-optimierte Bots Arbitrage-Pfade als Waffe einsetzten .
Agenten, die private Schlüssel verwalten, Marktdaten analysieren und Transaktionen autonom einreichen, schaffen eine neue Art von Vertragsrisiko. Ein Protokoll kann auf Solidity-Ebene einwandfrei geprüft sein und dennoch Gelder verlieren, weil der privilegierte Akteur ein Sprachmodell ist, das mit Text manipuliert werden kann .
KI-Modelle (z. B. Anthropics Claude Opus 4.8) ermöglichten es Sicherheitsforschern und Angreifern gleichermaßen, kritische Schwachstellen schneller zu entdecken. Shielded Labs fand mit einem KI-Agenten einen Fehler im Orchard-Pool von Zcash, der seit Mai 2022 bestand . Nordkoreanische Hackergruppen – verantwortlich für 66% aller Krypto-Hack-Verluste (643 Mio. US-Dollar) im ersten Halbjahr 2026 – setzen zunehmend KI ein, um die Suche nach Exploits zu automatisieren .
Eine kritische Schwachstelle (CVSS 10.0) in React Server Components (CVE-2025-55182) erlaubte Angreifern die Remote-Code-Ausführung auf DApp-Frontend-Servern, die als Signierer-Proxies für lokale KI-Agenten fungieren, und ermöglichte das Abfangen von Sitzungsschlüsseln .
| Vorfall | Datum | Verluste | Details |
|---|---|---|---|
| Drift Protocol | 12. April 2026 | ~285 Mio. US-Dollar | Flash-Loan- + Orakelmanipulationsangriff, KI-optimiert |
| KelpDAO | 23. April 2026 | ~292 Mio. US-Dollar | Ausbeutung einer Governance-Vertragslogik; zusammen mit Drift machten diese beiden Vorfälle 44% der Verluste im ersten Halbjahr 2026 aus |
| Boltz-Abschaltung | 3. August 2026 | Nicht bekannt gegeben (Verluste aufgefangen) | Nicht-verwahrender Bitcoin-Swap/Bridge wurde offline genommen, nachdem monatelange KI-gestützte automatisierte Sondierungen die Fähigkeiten des kleinen Teams zur Fehlerbehebung überforderten |
| Orchard-Pool-Schwachstelle | Entdeckt Juni 2026 | Vor Ausbeutung geschlossen | Kritischer Fehler, gefunden von einem KI-Agenten (Claude Opus 4.8); bestand seit Mai 2022 |
| 212 On-Chain-Exploits (H1 2026) | Jan.–Juni 2026 | 1,1 Mrd. US-Dollar (Blockaid) / 1,32 Mrd. US-Dollar (CertiK) | Rekordinzidenzvolumen – 3,4-mal so viele Vorfälle wie im gesamten Jahr 2025 |
Die jährlichen Verlustprognosen für KI-gesteuerte Smart-Contract-Exploits liegen bei 10 bis 20 Milliarden US-Dollar bis 2027, falls die aktuellen Trends anhalten .
Singapore MAS — Im August 2026 bestätigte die Monetary Authority of Singapore, dass agentische KI von ihren verbindlichen Bankregeln und den bevorstehenden Guidelines on AI Risk Management (Konsultation gestartet Nov. 2025) abgedeckt wird. Die MAS baut außerdem praktische Infrastruktur durch Project MindForge auf .
US-Finanzministerium — FS AI RMF — Das Financial Services AI Risk Management Framework (Februar 2026) bietet eine risikobasierte Governance-Struktur speziell für KI im Bank- und Finanzwesen .
EU AI Act + MiCA — Stand August 2026 gibt es keinen einzigen finalisierten Compliance-Leitfaden für KI-Agenten in der EU. Organisationen müssen Anforderungen aus dem EU AI Act und der Markets in Crypto-Assets-Verordnung zusammenführen .
Singapore IMDA — Model AI Governance Framework for Agentic AI — Veröffentlicht im August 2026, mit der Forderung nach einer vorausschauenden Risikobewertung, technischen Kontrollen über den gesamten Agentenlebenszyklus und menschlicher Aufsicht proportional zum Autonomiegrad .
Cloud Security Alliance — Autonomy Levels and Control Framework — Fünf Schlüsselprinzipien: Autonomie muss explizit begründet werden, höhere Autonomie erfordert stärkere Kontrollen, menschliche Aufsicht proportional zum Risiko, kontinuierliche Überwachung und klare Verantwortlichkeit .
Deterministische Richtlinien-Engine zur Aktionsvalidierung. Behandeln Sie alle benutzergenerierten und abgerufenen Inhalte als nicht vertrauenswürdig. Validieren Sie jede vorgeschlagene Aktion eines Agenten gegen eine deterministische Richtlinien-Engine – Eingabebereinigung allein kann gegnerische Anweisungen nicht entfernen .
Human-in-the-Loop-Genehmigungstore für alle wertvollen oder risikoreichen Aktionen vor der Ausführung .
Aufgabentrennung, Genehmigungsschwellen und Zugriffsüberprüfungen – wenden Sie dieselben Finanzkontrollprinzipien, die für menschliche Operateure gelten (z. B. doppelte Autorisierung für große Überweisungen), auch auf KI-Agenten an .
Inhaltsfilterung und Ausgabeüberwachung auf gegnerische Prompts und anomale Verhaltensmuster .
Autonomiegrad-Stufung – Agenten sollte nicht standardmäßig maximale Autonomie gewährt werden; geringere Autonomie mit expliziten Eskalationspfaden für wertvolle Aktionen .
Agentenspezifische Prüfung und Invarianten-Durchsetzung – über Standard-Smart-Contract-Audits hinaus benötigen Agenten Laufzeitmonitore, die Aktionen gegen vordefinierte Invarianten und Schutzschalter prüfen .
Kontextbewusste Eingabebereinigung und Speicherisolierung – verhindern Sie Prompt-Injection über externe Datenfeeds oder Agentenspeichermodule .
Vierschichtige Governance-Architektur (in der akademischen Forschung vorgeschlagen): Selbstregulierungsmodule neben jedem Modell, interne Modell-Governance, zentrale Aufsicht und externe regulatorische Berichterstattung .