Was ist AI-APP?
Eine AI Application Protection Platform (AI-APP) ist eine speziell für KI-Anwendungen entwickelte Sicherheitslösung, die Transparenz, Risikobewertung und aktive Verteidigung über den gesamten KI-Lebenszyklus hinweg integriert. Sie schützt nicht nur KI-Modelle, sondern berücksichtigt auch die Anwendungen, Agenten, Daten, Identitäten und Cloud-Ressourcen, mit denen diese interagieren.
Eine AI-APP schafft so einen zentralen Überblick über die gesamte KI-Anwendungsumgebung – von der Entwicklung und Bereitstellung bis zum laufenden Betrieb. Sie macht sichtbar, welche KI-Komponenten eingesetzt werden, auf welche Daten sie zugreifen und welche Berechtigungen oder externen Verbindungen bestehen.
Anstatt einzelne Sicherheitsebenen isoliert zu behandeln, korreliert eine AI-APP Signale aus Entwicklung, Cloud-Infrastruktur und Live-Runtime-Verhalten. Die Plattform bildet diese Verbindungen in einem einheitlichen Security Graph ab und identifiziert so tatsächlich ausnutzbare Angriffspfade. Sicherheitsteams können dadurch kritische Risiken gezielter priorisieren und beheben.
Alle Informationen hier im Video:
Hinweis zur Terminologie: Dieser Leitfaden verwendet durchgängig „AI-APP" für die Sicherheitsplattform, die diese Workloads schützt, und „KI-Anwendung" oder „KI-Workload" für die zu schützende Software.
AI Security Starter Pack
Build a practical foundation for securing AI workloads across development, cloud, and runtime.
Umstellung auf KI-native Anwendungsarchitektur
Moderne KI-Anwendungen stellen eine völlig neue Art von Workloads dar. Im Gegensatz zu traditioneller deterministischer Software sind heutige KI-Workloads komplexe Ökosysteme, die Basismodelle, nicht-deterministische autonome Agenten, Drittanbieter-APIs und Model-Context-Protocol-Server (MCP) miteinander verbinden.
Aus Sicherheitsperspektive verändert dies das Risikoprofil grundlegend. Ein KI-Agent, der über MCP auf externe Tools und Ressourcen zugreifen kann, kann aktiv handeln – etwa Kundendatenbanken auslesen, Code ausführen oder externe APIs aufrufen – anstatt nur Text zu generieren. Probabilistische Outputs und dynamischer Kontext führen dazu, dass sich KI-Anwendungen bei jedem Durchlauf anders verhalten können. Traditionelle AppSec-Tools und -Methoden stoßen deshalb an ihre Grenzen.
Um diese hochdynamischen Workloads abzusichern, entstand eine neue Kategorie von Sicherheitstools: die AI Application Protection Platform (AI-APP).
Die vier Säulen des KI-Anwendungsrisikos
Für den Schutz von KI-Anwendungen benötigen Sicherheitsteams ein klares Modell dafür, wo Risiken tatsächlich entstehen. Die Architektur gliedert sich in vier Säulen, die der Entwicklung und dem Betrieb moderner KI-Systeme entsprechen.
| Säule | Abdeckung | Beispielrisiken |
|---|---|---|
| Infrastruktur und Zugriff | Cloud-Workloads, Agentenidentitäten, IAM-Rollen und zugrunde liegende PaaS-/SaaS-Umgebungen | Öffentlich exponierte Inference-Endpunkte, Authentifizierungsumgehungen, übermäßig permissive IAM-Rollen für das Service-Konto eines KI-Agenten |
| Modelle und Guardrails | Basis- und fein abgestimmte Modelle, Sicherheitskonfigurationen und Deployment-Einstellungen | Model Poisoning durch beschädigte Trainingsdaten, fehlende Output-Guardrails, falsch konfigurierte Model-Serving-Endpunkte mit Anfälligkeit für Prompt Injection |
| Anwendungsebene (Agenten und Tools) | Autonome Agenten, deren zugewiesene Fähigkeiten, Integrationen und MCP-Server | Ein Agent mit uneingeschränkten Code-Ausführungstools, Schreibzugriff auf Produktionsdatenbanken oder der Fähigkeit, beliebige externe APIs ohne Validierung aufzurufen |
| Daten | Sensible Unternehmensdaten, Training-Datasets, Wissensdatenbanken für Retrieval-Augmented Generation (RAG) und Inference-Logs | Unbeabsichtigter Datenabfluss durch Modellantworten, Manipulation eines Agenten durch Angreifer zur Exfiltration privater Datensätze aus einer verbundenen Wissensdatenbank |
Diese vier Säulen sind eng miteinander verknüpft – und gerade in ihrem Zusammenspiel entstehen besonders kritische Risiken. Ein öffentlich erreichbarer SageMaker-Endpunkt (Infrastruktur) kann beispielsweise mit einem Agenten verbunden sein, der Schreibzugriff auf eine Produktionsdatenbank besitzt (Anwendungsebene). Kann dieser Agent zugleich auf sensible Kundendaten zugreifen (Daten) und fehlen wirksame Output-Guardrails (Modelle und Guardrails), entsteht ein kritischer Angriffspfad. Sicherheitstools, die diese Ebenen isoliert betrachten, können solche Zusammenhänge nur unzureichend erkennen. KI-Anwendungssicherheit erfordert deshalb einen ebenenübergreifenden Kontext, der Risiken und Abhängigkeiten in der gesamten KI-Umgebung sichtbar macht.
Funktionsweise von AI-APP: Verbindung von Code, Cloud und Runtime
Um über eine einzelne Ebene hinauszugehen, korreliert AI-APP Signale aus Entwicklung, Cloud-Infrastruktur und Live-Runtime-Verhalten. Dadurch deckt die Plattform tatsächlich ausnutzbare Angriffspfade auf.
Die Plattform arbeitet in drei Kernphasen des Lebenszyklus:
Transparenz (Code und Cloud): Die Plattform erkennt alle KI-Dienste, Agenten, Modelle, SDKs und Integrationen in der gesamten Umgebung – ob verwaltet oder selbst gehostet. Sie bildet ab, wie Modelle, Prompts, APIs, MCP-Server und Plugins verwendet werden, und erstellt eine einheitliche AI-BOM, die Artefakte von der IDE bis zum Cloud-Deployment verfolgt. Dies eliminiert Shadow AI, indem Komponenten sichtbar werden, von deren Betrieb Teams nichts wussten.
Risikokontextualisierung (Cloud): Nach Erstellung des Inventars bewertet die Plattform den KI-Sicherheitsstatus. Sie scannt Modellkonfigurationen auf schwache Guardrails, klassifiziert, ob jeder Agent Daten lesen, schreiben, ausführen oder exponieren kann, und korreliert diese Fähigkeiten mit Cloud-Konfigurationen, Identitätsberechtigungen und Netzwerkexposition. Durch die Verbindung dieser Signale in einem einheitlichen Security Graph bildet sie die exakten Angriffspfade ab, die Angreifer ausnutzen könnten – anstatt eine Liste isolierter Befunde zu präsentieren.
Verteidigung (Runtime): Da sich KI-Agenten nach dem Deployment weiterentwickeln und unvorhersehbare Aktionen ausführen können, überwacht die Plattform das Live-Verhalten aktiv. Sie erkennt schädliche Aktionen in Echtzeit: Prompt-Injection-Versuche, anomalen Datenabfluss, abweichendes Agentenverhalten oder verdächtige Schreiboperationen eines Agenten in einer Datenbank, auf die er nicht zugreifen sollte.
Inside MCP Security: A Field Guide
Examine how MCP servers, agent permissions, and connected tools create cross-layer security considerations.
Der Security Graph bildet die technische Grundlage für diese kontextbezogene Risikobewertung. Er verknüpft einzelne Ressourcen, Identitäten, Daten, Modelle und Sicherheitsbefunde mit ihren Abhängigkeiten und macht dadurch sichtbar, wie sich eine Schwachstelle über mehrere Ebenen hinweg zu einem ausnutzbaren Angriffspfad entwickeln kann.
Auswahlkriterien für eine AI-APP
Nicht alle Plattformen, die KI-Sicherheitsfunktionen beanspruchen, sind echte AI-APPs. Bei der Bewertung von Lösungen zum Schutz von KI-Workloads sollten folgende Kriterien erfüllt sein:
Agentless Discovery über Multi-Cloud-Umgebungen: Automatische Identifizierung verwalteter KI-Dienste und selbst gehosteter Modellinfrastruktur über AWS, Azure, GCP und andere Anbieter hinweg – ohne reibungsintensive Runtime-Agenten.
AI-BOM und Nachverfolgung der Lieferkette: Inventarisierung aller KI-Software, SDKs, Dependencies, Modelle und MCP-Verbindungen mit Verknüpfung von Code-Repositories und Live-Cloud-Umgebungen.
Tool- und Fähigkeitsklassifizierung für Agenten: Explizite Klassifizierung dessen, wozu jeder KI-Agent berechtigt ist (Lesen, Schreiben, Ausführen), um den Blast Radius eines kompromittierten Agenten präzise zu bewerten.
Ein einheitlicher Security Graph: Korrelation von Code-Kontext, Deployment-Realität und Live-Verhalten zur Nachverfolgung potenzieller Ausnutzungspfade.
Angriffspfad-Priorisierung: Darstellung, wie exponierte KI-Dienste, überprivilegierte Identitäten und sensible Daten zu einem einzelnen ausnutzbaren Pfad zusammenlaufen – priorisiert nach tatsächlicher Ausnutzbarkeit.
Geschäftsvorteile einer AI Application Protection Platform
Wenn eine AI-APP Code, Cloud und Runtime in einem einzigen Modell verbindet, gehen die Ergebnisse über einen verbesserten Sicherheitsstatus hinaus. Die Lösung verändert die Zusammenarbeit von Teams und die Geschwindigkeit, mit der Unternehmen ausliefern können.
Beschleunigte, sichere Innovation: Durch die Integration von Sicherheit in jede Phase der KI-Pipeline können Unternehmen KI-Coding-Assistenten sicher einsetzen, KI-gestützte Funktionen schneller ausliefern und agentenbasierte Automatisierung skalieren, ohne dass Innovation die Kontrolle übersteigt. Entwicklungsteams werden nicht durch Sicherheitsüberprüfungen blockiert, da Risiken kontinuierlich und kontextuell bewertet werden.
Verkürzte Zeit bis zur Behebung: Die Aufdeckung tatsächlich ausnutzbarer Angriffspfade anstelle tausender isolierter Warnungen ermöglicht es Sicherheitsanalysten, sich auf die Risiken mit den größten potenziellen Auswirkungen zu konzentrieren. Die Rückverfolgung eines Runtime-Problems zum zugrunde liegenden Code oder zur Fehlkonfiguration ermöglicht die direkte Behebung der Ursache – anstatt Symptome zu behandeln.
Einheitliche Sicherheitsgovernance über Teams hinweg: Eine AI-APP überbrückt die Lücke zwischen Entwicklungsteams, Data Scientists und Security Operations, indem sie allen eine einzige Wahrheitsquelle für alle KI-Ressourcen, Risiken und den Compliance-Status bietet. Anstatt dass jedes Team mit einer anderen Risikosicht arbeitet, arbeiten alle vom selben kontextuellen Modell aus.
Eliminierung blinder Flecken durch Shadow AI: Agentless Discovery über Multi-Cloud-Umgebungen hinweg deckt KI-Dienste, Modelle und Integrationen auf, die ohne Sicherheitsaufsicht bereitgestellt wurden. Nicht sichtbare Ressourcen lassen sich nicht schützen – und kontinuierliche Inventarisierung ist die Grundlage für die Durchsetzung sicherer Standardkonfigurationen.
Genpact erzielte mit diesem Ansatz volle Transparenz über seine Multi-Cloud-Umgebung, beschleunigte das Deployment von KI-Anwendungen mit eingebauter Sicherheit und verbesserte gleichzeitig die Geschwindigkeit bei der Behebung kritischer Schwachstellen.
Häufige Fehler bei der Absicherung moderner KI
Dies sind die gefährlichsten Fehler, die Sicherheitsteams machen, wenn sie bestehende Praktiken auf KI-Workloads anwenden. Jeder einzelne erzeugt blinde Flecken, die Angreifer aktiv ausnutzen.
Annahme, dass bestehende AppSec-Tools ausreichen: Traditionelle Infrastruktur-Scanner erkennen Cloud-Ressourcen und Code-Scanner zeigen Entwicklerabsichten, aber keines von beiden kann modellieren, wie sich ein nicht-deterministischer Agent zur Runtime dynamisch verhält. Legacy-Tools können nicht bestimmen, ob eine Schwachstelle in einem bestimmten Cloud-Kontext tatsächlich ausnutzbar ist. Das Ergebnis: Rauschen ohne verwertbare Erkenntnisse.
Ignorieren der KI-Lieferkette und von Shadow AI: Entwicklungsteams führen häufig neue KI-Dienste, Open-Source-Modelle, SDKs und Dependencies ohne Sicherheitsaufsicht in ihre Umgebungen ein – nur 37 % der Unternehmen haben Prozesse zur Bewertung der Sicherheit von KI-Tools vor dem Deployment. Ohne eine AI Bill of Materials (AI-BOM), die verfolgt, was in die Codebasis gelangt und was in der Produktion läuft, verlieren Teams den Überblick über ihre Lieferkette vollständig. Shadow AI kann sich unkontrolliert ausbreiten. Laut dem Bericht State of AI in the Cloud 2025 nutzen 85 % der Unternehmen inzwischen eine Form von KI, doch den meisten fehlt die volle Transparenz darüber, was tatsächlich bereitgestellt ist.
Bewertung von KI-Risiken ohne ebenenübergreifenden Kontext: Die Fokussierung auf isolierte Schwachstellen führt zu Alarmrauschen. Ein öffentlich exponierter Endpunkt mag isoliert betrachtet wie eine Fehlkonfiguration mit niedriger Priorität erscheinen. Wenn dieser Endpunkt jedoch mit einem KI-Agenten verbunden ist, der Zugriff auf sensible Kundendaten und ein uneingeschränktes Code-Ausführungstool hat, wird er zu einer kritischen, ausnutzbaren Bedrohung. Sicherheitsteams scheitern, wenn sie Signale aus Infrastruktur, Identität, Daten und Anwendungsverhalten nicht gleichzeitig korrelieren können.
KI-Sicherheit als eigenständiges Problem behandeln: Viele Unternehmen etablieren separate KI-Sicherheitsinitiativen, die von ihrem breiteren Cloud-Sicherheitsprogramm getrennt sind. Dies erzeugt ein weiteres Silo. KI-Workloads laufen auf Cloud-Infrastruktur, nutzen Cloud-Identitäten und greifen auf Cloud-gehostete Daten zu. Ihre Absicherung erfordert die Verankerung von KI-Risiken im selben Cloud-Kontext wie alles andere.
Der Wiz-Ansatz: End-to-End-Kontext von Code bis Runtime
Die Wiz AI-Application Protection Platform (AI-APP) verbindet den gesamten KI-Stack und bildet Beziehungen über Infrastruktur, Modelle, Agenten, Tools und Daten hinweg ab. Dieser Kontext hilft, riskante Kombinationen frühzeitig zu erkennen.
Der Prozess beginnt in der Entwicklung. Wiz Code scannt CI/CD, Repositories und IDEs auf exponierte KI-Credentials, unsichere Muster und verwundbare Dependencies, bevor diese die Produktion erreichen.
In der Cloud erkennt Wiz Cloud KI-Dienste, Modelle und Integrationen, einschließlich MCP-Verbindungen. Die Lösung bewertet Konfigurationen, bildet Angriffspfade ab und erweitert DSPM auf KI-Trainingsdaten. Teams können so klar erkennen, wie Modelle, Identitäten und sensible Daten zusammenhängen.
Während der Runtime überwacht Wiz Defend das Verhalten out-of-band und erkennt Prompt Injection, ungewöhnliches Agentenverhalten und anomalen Datenabfluss – Risiken, die erst im laufenden Betrieb sichtbar werden.
So entsteht ein kontinuierlicher Sicherheitskreislauf: Erkenntnisse aus der Entwicklung fließen in die Bewertung der Cloud-Umgebung ein, diese wiederum steuert die Runtime-Überwachung. Erkenntnisse aus dem laufenden Betrieb fließen anschließend an die Entwicklungsteams zurück.
Wiz bringt auch KI-gestützte Agenten in Sicherheitsworkflows ein:
Red Agent simuliert Angreiferverhalten, um ausnutzbare Pfade zu validieren.
Blue Agent untersucht Warnungen und unterstützt threat hunting.
Green Agent wandelt Befunde in priorisierte Behebungsmaßnahmen mit KI-gestützter Remediation um.
Eine Demo anfordern, um zu sehen, wie Wiz Code, Cloud und Runtime in einem einzigen Security Graph für KI-Workloads verbindet.
See your AI application context in action
Explore how Wiz connects AI assets, identities, exposure, data, and runtime behavior in one security graph.
