In einem Entwicklerteam läuft ein KI-Agent in der Entwicklungsumgebung mit. Er liest Quellcode, ruft interne APIs auf, führt Befehle in der Shell aus. Im Sicherheitsteam sieht niemand, was davon im Einzelnen passiert. Genau in dieser Situation stecken Unternehmen heute, wenn sie Agenten wie Cursor, Claude Code oder Codex an ihre Mitarbeiter ausgeben. Diese Agenten handeln autonom, haben Zugriff auf Code, interne Systeme und APIs – und sie tun es nicht immer so, wie es erwartet wird. Prompt-Injection, unkontrollierte Aktionen, Missbrauch von Tools: Es gibt viele Wege, wie ein Agent Schaden anrichten kann, bewusst oder unbewusst.
Uber hat das erkannt und eine Lösung entwickelt. Sie heißt ADR – Agentic AI Detection and Response – und ist ein Sicherheitssystem speziell für KI-Agenten. ADR ist Open Source, unter Apache-Lizenz auf GitHub veröffentlicht, und läuft bei Uber bereits in Produktion. Das zugrunde liegende Paper wurde zur MLSys 2026 angenommen. In diesem Blogpost schauen wir uns an, was ADR ist, wie es funktioniert und warum es eine Blaupause für die Sicherung von KI-Agenten sein könnte – ohne Hype, aber mit Blick auf die Details.
Warum KI-Agenten ein Sicherheitsproblem sind – und welchen Schutz sie brauchen
Bevor wir in die technischen Details von ADR eintauchen, ein Schritt zurück: Warum sind KI-Agenten überhaupt ein Sicherheitsrisiko? Ein herkömmlicher Bot mit klar definierter Pipeline ist gut zu kontrollieren. Ein KI-Agent ist flexibel. Er interpretiert Anweisungen, trifft Entscheidungen, verwendet Tools. Das ist seine Stärke – und seine größte Schwachstelle. Der bekannteste Angriffsvektor ist die Prompt-Injection: Ein Angreifer schleust bösartige Anweisungen in den Kontext des Agents ein, zum Beispiel über eine manipulierte Webseite, eine E-Mail oder eine Datei. Der Agent folgt dann nicht mehr den Absichten des Nutzers, sondern denen des Angreifers – und führt möglicherweise Aktionen aus, die der Nutzer nie autorisiert hat.
Dazu kommt unkontrollierte Tool-Nutzung: Ein Agent mit Zugriff auf Shell, Code-Repos oder interne APIs kann versehentlich Daten löschen, unerwünschte Änderungen committen oder sensible Informationen nach außen tragen. In einem Enterprise-Umfeld sind die Konsequenzen schwerwiegend: Datenverlust, Compliance-Verstöße, Reputationsschäden. Deshalb braucht es ein Sicherheitssystem, das nicht auf eine einzige Maßnahme setzt, sondern einen Rundum-Schutz bietet. ADR verfolgt genau diesen Ansatz. Es beobachtet, testet, erkennt und verhindert – vier Fähigkeiten, die zusammen ein Sicherheitsnetz bilden. Man kann sich das wie ein modernes Gebäude mit Sicherheitspersonal vorstellen: Kameras beobachten das Geschehen (Observability), regelmäßige Sicherheitsübungen testen die Verteidigung (Benchmark), Alarme melden Vorfälle (Detection), und automatische Schlösser verhindern, dass jemand in den falschen Bereich gelangt (Prevention).
ADR Observability: Was Agenten wirklich tun, lückenlos beobachten
Der erste Baustein von ADR ist die Observability – die Fähigkeit, das Verhalten von KI-Agenten detailliert zu erfassen. Das ist die Grundlage für alles Weitere: Nur wer weiß, was ein Agent tut und warum, kann verdächtige Aktivitäten erkennen. ADR Observability, umgesetzt als ADR Sensor, sammelt Telemetriedaten von Agenten in Echtzeit. Dazu gehören die Absicht des Agents (was will er erreichen?), die Tool-Nutzung (welche Befehle führt er aus?) und die Ausführungsspuren (wie ist er vorgegangen?). Diese Daten werden über ein einheitliches Schema normalisiert, sodass sie für die Analyse weiterverwendet werden können.
Die Abdeckung ist breit: ADR unterstützt mehr als sieben KI-Codierungswerkzeuge auf macOS, Linux und Windows – darunter Cursor, Claude Code und Codex. Aber auch interne Automatisierungen und kundenorientierte Support-Agenten werden erfasst. Das ist wichtig, denn in einem Unternehmen laufen nicht nur sichtbare KI-Agenten, sondern auch unsichtbare im Hintergrund. Der Sensor ist weniger invasiv als ein klassisches EDR (Endpoint Detection and Response), weil er sich auf die Agentenschicht konzentriert und nicht das gesamte System überwacht. Er liefert die Rohdaten für die Detection- und Prevention-Komponente.
Warum ist diese Beobachtung so entscheidend? Sie macht die Intention sichtbar. Ein Agent, der plötzlich eine Datenbank lesen will, obwohl seine Aufgabe darin besteht, eine E-Mail zu formulieren, fällt sofort auf. Ohne Observability bliebe das im Dunkeln. ADR setzt hier auf eine Art Blackbox-Flugschreiber für KI-Agenten – nur eben nicht für Flugzeuge, sondern für die digitalen Assistenten von morgen.
ADR-Bench: Angriffsszenarien unter realistischen Bedingungen testen
Beobachten allein reicht nicht. Man muss auch wissen, ob erkannte Anomalien wirklich gefährlich sind. Dafür hat ADR einen eigenen Benchmark entwickelt: ADR-Bench. Er besteht aus mehr als 300 Aufgaben, die über 133 MCP-Server (Model Context Protocol) laufen. MCP ist ein offenes Protokoll, das KI-Agenten mit externen Tools und Datenquellen verbindet – genau die Schnittstellen, die in der Praxis angegriffen werden. Der Benchmark deckt alle 17 Agent-Angriffstechniken ab, die heute bekannt sind. Dazu gehören klassische Prompt-Injections, aber auch Data-Exfiltration-Versuche, Manipulation von Tool-Ausgaben und mehr.
Was ADR-Bench besonders macht, ist sein Fokus auf Realitätsnähe. Statt einfacher synthetischer Beispiele nutzen die Entwickler Szenarien, die typische Unternehmensabläufe abbilden. Jede Aufgabe simuliert einen konkreten Arbeitsprozess – etwa das Zusammenfassen von E-Mails, das Bearbeiten von Code oder die Interaktion mit einer Datenbank – und hat zusätzlich eine Sicherheitsbedrohung eingebaut. In der Bewertung wird gemessen, ob ein Detektor die Bedrohung erkennt und das richtige Verhalten des Agents erzwingt. Es geht also nicht nur um die Frage „Wurde angegriffen?“, sondern auch um „Konnte der Angriff verhindert werden?“. Das misst praktische Wirksamkeit, nicht nur Klassifikation.
Für die Forschung ist der Benchmark ebenfalls nützlich: Er liefert eine reproduzierbare Umgebung, um verschiedene Detektoren zu vergleichen. ADR selbst wird mit anderen Methoden als Baseline getestet – zum Beispiel mit LLM-basierten Firewalls. Die Ergebnisse zeigen, wo die Stärken und Schwächen unterschiedlicher Ansätze liegen. Unternehmen, die ihr eigenes Agent-Security-Tooling evaluieren, finden in ADR-Bench einen Maßstab – einen Prüfstand für die Sicherheit ihrer KI-Werkzeuge.
ADR Detection und Prevention: Schnelle Erkennung, gezielte Abwehr
Observability und Benchmark sind das Fundament. Die eigentliche Verteidigung übernimmt die Detection-Komponente, die in ADR zweistufig aufgebaut ist. Stufe eins ist eine schnelle, hoch-recall Triage: Sie filtert alle beobachteten Aktivitäten nach auffälligen Mustern, ähnlich wie ein Feueralarm, der bei Rauchentwicklung sofort anschlägt. Diese erste Stufe ist bewusst schnell gehalten, damit keine kritischen Ereignisse übersehen werden. Allerdings produziert sie Fehlalarme. Deshalb folgt Stufe zwei: eine tiefere Analyse mit agentischem Reasoning. Hier wird jeder verdächtige Fall genauer unter die Lupe genommen – der Detektor selbst nutzt KI, um zu verstehen, ob eine Aktion wirklich schädlich ist oder ob es sich um eine harmlose Fehlinterpretation handelt.
Diese Architektur hat einen Vorteil: Sie skaliert. Nicht jede Aktion muss sofort mit der teuren, langsameren Reasoning-Engine geprüft werden, sondern nur die, die in der ersten Stufe auffallen. Dadurch bleibt die Latenz niedrig, und die Fehlalarmrate sinkt deutlich. In Benchmarks schneidet ADR in vielen Fällen besser ab als einfache LLM-Firewalls, weil es nicht nur auf Oberflächenmerkmale schaut, sondern den Kontext versteht.
Die vierte Komponente – Prevention – ist in der aktuellen Open-Source-Version nicht enthalten. Sie ist als proaktiver Schutz geplant: nicht nur erkennen, sondern unsichere Aktionen im Vorfeld verhindern. Dafür bräuchte es Mechanismen, die direkt in den Agentenfluss eingreifen, also etwa Tool-Aufrufe blockieren oder eine Freigabe durch einen Menschen erfordern. ADR Prevention ist der logische nächste Schritt, und vermutlich veröffentlicht Uber diese Komponente erst nach weiterer Erprobung. Wer ein vollständiges System sucht, das Angriffe aktiv unterbindet, muss sich noch gedulden.
ADR in der Praxis: Open Source, Reproduzierbarkeit, Grenzen
ADR ist kein theoretisches Konstrukt – es ist bei Uber in Produktion. Das gibt dem Projekt Glaubwürdigkeit. Uber arbeitet mit riesigen Datenmengen und hochsensitiven Systemen. Dass der Betreiber eines globalen Mobilitätsdienstes sein eigenes Sicherheitswerkzeug für KI-Agenten entwickelt und bereitstellt, zeigt, wie ernst das Problem genommen wird. ADR ist Open Source unter Apache 2.0. Jede Organisation kann den Code herunterladen, anpassen und in die eigene Infrastruktur integrieren. Die Reproduzierbarkeit wird durch eine detaillierte Anleitung im docs/REPRODUCIBILITY.md unterstützt – ein Schritt-für-Schritt-Plan, um die Benchmark-Ergebnisse zu reproduzieren.
Die Einschränkungen sind offen benannt. Die Permission-Komponente ist nicht enthalten, und auch der offline arbeitende ADR Explorer – ein Tool für Red Teaming vor der Auslieferung – fehlt im Open-Source-Repository. Das ist sinnvoll, denn vollständige Sicherheitstools können missbraucht werden, wenn sie in falsche Hände geraten. Was ADR liefert, ist ein solides Fundament: Sensor für Observability, Benchmark für Tests, Detektor für die Erkennung. Für den produktiven Einsatz sind weitere Integrationsarbeiten nötig, insbesondere beim Anschluss an bestehende Security-Operation-Center. Aber die Grundlage ist da.
Für Unternehmen heißt das: Sie müssen nicht mehr im Blindflug arbeiten, wenn sie KI-Agenten einführen. ADR gibt ihnen die Werkzeuge, um zu sehen, was Agenten tun, Schwachstellen zu erkennen und Angriffe abzuwehren. Es ist kein Allheilmittel – kein Sicherheitssystem ist das. Aber es ist ein wichtiger Schritt in eine Zukunft, in der KI-Agenten nicht mehr als black box behandelt werden, sondern als aktive Teilnehmer mit klaren Sicherheitsprotokollen. Dass ein Unternehmen wie Uber diesen Code teilt, ist ein gutes Zeichen für die Branche.
Am Ende bleibt eine nüchterne Erkenntnis: KI-Agenten werden kommen – sie sind schon da. Die Frage ist nicht, ob wir sie einsetzen, sondern wie wir sie sicher einsetzen. ADR zeigt, dass das möglich ist, wenn man Sicherheit von Anfang an mitdenkt. Observability schafft Transparenz. Benchmarks testen die Verteidigung. Detection erkennt Angriffe. Die Prevention muss folgen – hoffentlich bald. Bis dahin dürfen wir gespannt sein, was Uber als Nächstes veröffentlicht.
Quelle: github.com
