Sicherheitslücke KI-Skills: Mondoo bringt agentenunabhängigen Checker auf den Markt

Mit dem rasanten Aufstieg agentenbasierter KI wächst nicht nur die Innovationsgeschwindigkeit – sondern auch die Angriffsfläche. Genau hier setzt ein neues Angebot des Berliner Security-Spezialisten Mondoo an: Mit dem „AI Skills Check“ bringt das Unternehmen nach eigenen Angaben den weltweit ersten kostenlosen Sicherheits-Checker für KI-Skills auf den Markt – und adressiert damit ein Risiko, das bislang oft unter dem Radar lief.

Im Kern geht es um ein Problem, das viele Unternehmen gerade erst zu begreifen beginnen. KI-Agenten greifen zunehmend auf sogenannte Skills zurück – Erweiterungen von Drittanbietern, die Aufgaben automatisieren, Daten verarbeiten oder sogar eigenständig Aktionen im Namen der Nutzer ausführen. Was nach Effizienzgewinn klingt, birgt jedoch erhebliche Gefahren: Denn diese Skills können tiefen Zugriff auf Systeme, Zugangsdaten und sensible Informationen erhalten.

Dass diese Bedrohung keineswegs theoretisch ist, zeigt ein aktuelles Beispiel aus der Forschung: Allein auf der Plattform ClawHub, dem derzeit größten öffentlichen Register für KI-Skills, wurden in diesem Jahr über 1.100 bösartige oder manipulierte Skills identifiziert – viele davon waren frei verfügbar, bevor sie entdeckt wurden.

Mondoo will mit seinem neuen Tool genau hier ansetzen – und zwar möglichst früh. Der AI Skills Check ist bewusst agentenunabhängig konzipiert und erlaubt es, Skills bereits vor ihrer Installation zu prüfen. Nutzer können gezielt nach Namen, Registern oder sogenannten Package-URLs suchen und erhalten detaillierte Einblicke in Funktion, Verhalten und potenzielle Sicherheitsrisiken.

Anders als klassische Sicherheitslösungen, die meist nur einzelne Plattformen oder Marktplätze abdecken, verfolgt Mondoo einen übergreifenden Ansatz: Der Checker analysiert Skills registerübergreifend und vergleicht systematisch, was ein Skill verspricht – und was er tatsächlich tut. Dafür kombiniert das Tool mehrere Analyseebenen, darunter Mustererkennung, maschinelles Lernen, semantische Auswertung und eine tiefgehende technische Inspektion.

Das Ergebnis ist eine differenzierte Risikobewertung, die sich an etablierten Branchenstandards orientiert. Die Erkenntnisse werden unter anderem auf das Framework MITRE ATLAS abgebildet und mit den Kriterien der OWASP LLM Top 10 abgeglichen – ein Ansatz, der besonders für Sicherheitsteams und Compliance-Verantwortliche relevant ist.

„Viele Teams installieren KI-Skills, ohne genau zu wissen, wie sie sich verhalten oder worauf sie Zugriff haben“, erklärt Patrick Münch, Chief Security Officer und Mitgründer von Mondoo. „Dabei können diese Erweiterungen eigenständig im Namen der Nutzer agieren – das erhöht das Risiko erheblich.“ Ziel des neuen Tools sei es daher, genau diese Intransparenz zu beseitigen und Risiken sichtbar zu machen, bevor sie überhaupt entstehen.

Ein zusätzlicher Mehrwert liegt in der Transparenz über den Markt selbst: Der AI Skills Check bietet Echtzeit-Ranglisten, die sowohl die populärsten als auch die riskantesten Skills sichtbar machen. Unternehmen können so schnell einschätzen, welche Tools möglicherweise bereits im Umlauf sind – und wo besonderer Handlungsbedarf besteht.

Dass Mondoo den Service kostenlos und ohne Abonnement anbietet, ist dabei kein Zufall. Angesichts der schnellen Verbreitung agentenbasierter KI gehe es zunächst darum, ein grundlegendes Sicherheitsniveau zu etablieren und Bewusstsein für neue Risiken zu schaffen.

Mit dem AI Skills Check erweitert Mondoo sein Portfolio im Bereich Schwachstellenmanagement – und positioniert sich zugleich in einem Feld, das gerade erst entsteht. Denn je stärker KI-Agenten in Unternehmensprozesse integriert werden, desto dringlicher wird die Frage: Wer überprüft eigentlich die Helfer der Helfer?