Cloudflare sieht den Wendepunkt zum agentischen Internet

Der Mensch ist nicht mehr der einzige Web-Nutzer

Cloudflare beschreibt einen deutlichen Wendepunkt: Der Datenverkehr von KI-Agenten ist im Jahresvergleich um mehr als 1.700 Prozent gestiegen. Nach Angaben des Unternehmens entfallen inzwischen rund 60 Prozent des Verkehrs in seinem Netzwerk auf KI-Agenten. 6

Damit verschiebt sich das Internet von einer überwiegend menschlich gesteuerten Umgebung zu einer Infrastruktur, in der autonome Software zunehmend selbstständig recherchiert, Dienste aufruft und Aktionen ausführt. Cloudflare spricht deshalb vom Aufbau eines „agentischen Internets“.

Warum KI-Agenten ein neues Sicherheitsmodell erfordern

Ein Chatbot, der lediglich eine Antwort formuliert, stellt ein anderes Risiko dar als ein Agent mit Zugriff auf Browser, Tools und Unternehmensdaten. Solche Systeme können:

• Webseiten durchsuchen und Inhalte extrahieren,
• externe Werkzeuge und APIs aufrufen,
• auf interne Anwendungen oder Daten zugreifen,
• Anweisungen in konkrete Aktionen übersetzen.

Das vergrößert die Angriffsfläche. Zu den Risiken gehören Prompt Injection, manipulierte Tool-Beschreibungen, unbeabsichtigte oder übermäßig weitreichende Aktionen, der Missbrauch von Zugangsdaten und die unbemerkte Weitergabe vertraulicher Informationen. Bei MCP-Servern können Angreifer etwa bösartige Anweisungen in scheinbar harmlose Tool-Beschreibungen einbetten.

Shadow AI und Shadow MCP

Unter „Shadow AI“ versteht man die Nutzung nicht freigegebener KI-Dienste durch Beschäftigte. Werden interne Dokumente, personenbezogene Daten oder Geschäftsgeheimnisse in solche Dienste kopiert, können sie die von der Organisation vorgesehenen Kontrollmechanismen umgehen. Cloudflare empfiehlt deshalb, KI-Anwendungen zunächst zu inventarisieren und ihre Nutzung nicht einfach als genehmigt vorauszusetzen. Richtlinien zur Verhinderung von Datenverlust können sensible Inhalte in Prompts erkennen und blockieren.

Noch unübersichtlicher wird es bei „Shadow MCP“. Das Model Context Protocol (MCP) verbindet KI-Agenten mit Werkzeugen und Datenquellen. Eine nicht genehmigte MCP-Verbindung schafft damit einen unkontrollierten Pfad zwischen Agent, Tool und Unternehmensdaten. Identitätsprüfung, Berechtigungen, Protokollierung und Sicherheitsfreigaben können dabei umgangen werden.

Cloudflare Gateway soll MCP-Datenverkehr anhand von Protokollmerkmalen erkennen. So können Sicherheitsteams feststellen, welche Nutzer und Server solche Verbindungen erzeugen, und nicht genehmigte Nutzung auf verwalteten Netzwerken aufspüren.

Cloudflares empfohlene Schutzmaßnahmen

Cloudflare fasst den Ansatz im Wesentlichen in drei Schritten zusammen:

1. Nutzung sichtbar machen: Unternehmen sollten KI- und MCP-Verkehr in ihren verwalteten Netzwerken identifizieren, statt nur die offiziell freigegebenen Anwendungen zu betrachten.
2. Sensible Eingaben kontrollieren: DLP- und Prompt-Regeln sollen verhindern, dass vertrauliche Informationen an nicht freigegebene KI-Dienste übertragen werden.
3. MCP-Zugänge zentral absichern: Freigegebene MCP-Server sollen nur über kontrollierte Server-Portale erreichbar sein. Der Zugriff sollte identitätsbasiert, nach dem Prinzip der geringsten Rechte und über eine Zero-Trust-Architektur erfolgen. Direkte Verbindungen aus verwalteten Netzwerkpfaden sollen blockiert werden.

Der entscheidende Perspektivwechsel: Nicht jeder Agent ist automatisch vertrauenswürdig, nur weil er zu einem Unternehmen gehört. Auch Agenten benötigen eine überprüfbare Identität, begrenzte Berechtigungen und nachvollziehbare Aktivitäten.

„Q Day“: Warum die Migration vor dem Durchbruch beginnen soll

Als „Q Day“ wird der Zeitpunkt bezeichnet, an dem leistungsfähige, kryptografisch relevante Quantencomputer verbreitete Public-Key-Verfahren wie RSA oder elliptische Kurven brechen könnten. Besonders problematisch ist das Szenario „Harvest now, decrypt later“: Angreifer sammeln verschlüsselte Daten bereits heute und entschlüsseln sie möglicherweise erst später, sobald die nötige Quantenhardware verfügbar ist.

Cloudflare will seine gesamte Produktpalette bis 2029 vollständig post-quanten-sicher machen. Das Unternehmen unterstützt bereits schrittweise post-quantenfähige Verfahren und hat auch post-quantenfähige Authentifizierung für Verbindungen zu Ursprungsservern über Authenticated Origin Pulls und den Custom Origin Trust Store angekündigt. Dieser Schritt soll den Weg zu einer umfassenderen PQ-Authentifizierung ebnen.

Die genaue Jahreszahl von Q Day lässt sich nicht verlässlich vorhersagen. In der Debatte wird ein möglicher Zeitraum um 2030 als relevant beschrieben. Die praktische Schlussfolgerung lautet daher: Unternehmen sollten die Migration nicht erst beginnen, wenn ein konkretes Datum feststeht.

Kitesurf: Ein Browser für Software statt für Menschen

Cloudflares Antwort auf das Wachstum agentischer Web-Nutzung besteht nicht nur aus Abwehrmaßnahmen. Mit Kitesurf hat das Unternehmen einen Browser vorgestellt, der speziell für KI-Agenten entwickelt wurde und sich in der Beta-Phase kostenlos über Browser Run nutzen lässt. 12

Kitesurf ist zustandslos und läuft vollständig auf Cloudflare Workers beziehungsweise in V8-Isolaten. Er verzichtet auf Funktionen, die Menschen beim visuellen Surfen benötigen, etwa klassische Tabs, Erweiterungen, Themes, pixelgenaue Darstellung oder flüssiges Scrollen. Stattdessen konzentriert er sich auf Aufgaben wie Screenshots und die Extraktion von HTML-Inhalten.

Für typische agentische Workloads soll Kitesurf laut Cloudflare drei- bis siebenmal weniger CPU und Arbeitsspeicher benötigen als Chromium. 2 Das kann mehr parallele Sitzungen ermöglichen und die Skalierung kurzfristiger Agentenlasten erleichtern. Gleichzeitig liegt die Browser-Automatisierung näher an Cloudflares bestehenden Kontrollschichten für Identität, Netzwerkregeln, Sicherheit und Beobachtbarkeit.

Die größere Strategie

Cloudflare versucht damit, zwei Seiten derselben Entwicklung abzudecken: Das Unternehmen will den neuen maschinellen Datenverkehr absichern und zugleich die Infrastruktur bereitstellen, auf der Agenten das Web effizient bedienen können.

Die Strategie kombiniert daher die Erkennung interner KI-Nutzung, Schutz vor Datenabfluss, kontrollierte MCP-Verbindungen, Zero-Trust-Berechtigungen und die Umstellung auf quantenresistente Kryptografie. Kitesurf ist dabei nicht bloß ein schlankerer Browser. Er ist ein Baustein für ein Internet, in dem Software nicht mehr nur Inhalte abruft, sondern zunehmend selbstständig im Web handelt.