Es gibt ein Sicherheitskonzept, das sich still und leise zur mit Abstand nützlichsten Linse für das Denken über KI-Agenten entwickelt hat — und wenn du einen betreibst, solltest du es beim Namen kennen. Simon Willison nannte es die Lethal Trifecta — und die Forschung von 2026 gibt ihm immer wieder recht.
Die Idee lässt sich in einem Satz erklären. Ein KI-Agent wird gefährlich, wenn er drei Fähigkeiten kombiniert:
1 // Zugriff auf private Daten
Deine Dateien, deine E-Mails, deine Datenbank, deine Secrets.
2 // Kontakt mit untrusted Content
Eine Webseite, ein Dokument, eine E-Mail, ein Bug-Report — alles, was ein Angreifer beeinflussen könnte.
3 // Externe Kommunikation
Eine E-Mail senden, einen API-Call machen, eine URL aufrufen, an einen geteilten Ort schreiben.
Jedes Bein für sich ist unproblematisch. Ein Agent, der deine privaten Daten liest, aber nicht mit der Außenwelt reden kann, kann sie nicht leaken. Ein Agent, der untrusted Webseiten liest, aber keine Secrets zu stehlen hat, ist harmlos. Aber steck alle drei zusammen, und du hast eine Maschine gebaut, die ein Angreifer — über den untrusted Content — anweisen kann, deine privaten Daten zu nehmen und nach draußen zu schaffen. Der Agent tut das bereitwillig, weil er deine Anweisungen nicht zuverlässig von denen des Angreifers unterscheiden kann.
Die Zahl, die dich stoppen sollte
Hier ist, was das über ein Gedankenexperiment hinaushebt. Eine aktuelle Research Note der Cloud Security Alliance bewertete produktive KI-Agenten und stellte fest, dass 98 % von ihnen alle drei Beine der Trifecta kombinieren. Keine riskante Minderheit. Fast alle.
Und es wird schlimmer, denn eine separate Assessment-Methodik — das AI Risk Quadrant — bewertete 100 produktive Agenten nach Angriffsfläche und Blast Radius und fand heraus, dass nur 11 % bestanden. Die anderen 89 % waren nach dem Maßstab der Prüfer in einem Zustand deployt, in dem eine erfolgreiche Injection realen Schaden anrichten könnte.
Stellt man diese beiden Befunde nebeneinander, ist das Bild ernüchternd: Die überwältigende Mehrheit der Agenten, die gerade in Produktion laufen, hat genau die Fähigkeitskombination, die Prompt Injection katastrophal macht — und die überwältigende Mehrheit hat die Arbeit nicht getan, um den Schaden einzudämmen.
Warum es so schwer zu vermeiden ist
Das Frustrierende ist, dass die Trifecta kein Fehler ist, den Leute aus Nachlässigkeit machen. Sie ist das, wie nützlich aussieht.
Du willst, dass dein Agent deine Daten hat — warum ihn sonst deployen? Du willst, dass er echte Inhalte liest — das ist der Job. Und du willst, dass er handelt — ein Agent, der nur denken und nie tun kann, ist ein sehr teures Autocomplete. Die drei Fähigkeiten, die die Schwachstelle erzeugen, sind dieselben drei, die den Wert erzeugen. Deshalb weisen Forscher immer wieder darauf hin, dass Fähigkeit und Sicherheit in der Praxis invers korreliert sind: Je mehr du einen Agent tun lässt, desto mehr kann ein Angreifer durch ihn tun.
Das ist ein wirklich unbequemer Trade-off, und ich glaube, ein großer Teil der Branche hofft insgeheim, ein besseres Modell werde ihn verschwinden lassen. Wird es nicht. Solange das Modell Anweisungen und Daten als dieselbe Art Text liest, bleibt die Trifecta tödlich, egal wie fähig das Modell wird.
Das Dreieck aufbrechen
Der einzige dauerhafte Fix besteht darin, für eine gegebene Aufgabe eines der Trifecta-Beine zu entfernen — und nicht zu versuchen, das Modell klug genug zu machen, um zu widerstehen. In der Praxis bedeutet das architektonische Grenzen, nicht besseres Prompting:
Externe Kommunikation kappen
Für Agenten, die sensible Daten anfassen. Wenn er nichts nach draußen senden kann, kann er nichts exfiltrieren — selbst wenn er vollständig übernommen ist.
Zugriff auf private Daten kappen
Für Agenten, die untrusted Content lesen müssen. Lass den Web-Browsing-Agent browsen; gib ihm nur nicht die Schlüssel.
Untrusted Content kappen
Indem du alles von außerhalb einer Trust Boundary validierst, sandboxt oder in Quarantäne stellst, bevor der Agent mit echter Autorität es je zu sehen bekommt.
Nichts davon ist exotisch. Das sind least privilege, Netzwerksegmentierung und Trust Boundaries — die ältesten Ideen der Security, angewandt auf eine neue Art Komponente. Die Teams, die Agent Security 2026 richtig machen, sind nicht die mit den cleversten Prompts. Es sind die, die auf ihren Agent geschaut, die Beine der Trifecta gezählt und bewusst eines gekappt haben.
Wenn du aus der ganzen Agent-Security-Forschung dieses Jahres eine Sache mitnimmst, dann diese: Aus der Lethal Trifecta kommst du nicht per Prompt raus. Du musst dich per Architektur herausbauen.
Quellen: Simon Willison — The lethal trifecta for AI agents; Adversa AI — Top Agentic AI Security Resources, July 2026 (CSA-Lethal-Trifecta-Note und AI-Risk-Quadrant-Zahlen).