Zscaler bei GHY 2026, KI-Sicherheit aus der Zero-Trust-Perspektive: AI Red Teaming bis AI Broker

Was ist AI Red Teaming und wie testet Zscaler KI-Systeme?
AI Red Teaming bezeichnet das gezielte Testen und Stresstesten von KI-Systemen, von Chatbots und Voicebots bis zu Multi-LLM-Systemen und Agenten. Das automatische Zscaler-Framework führt über 5.000 Tests in unter einer Stunde aus (Output Injection, Bias, Safety Checks, Off-Topic, Business Alignment, Custom Checks) und lässt sich als Plugin in die CI/CD-Pipeline einbinden. Mythos aus dem Glasswing-Projekt hält die False-Positive-Rate unter 0,1 %.

Wie sichert Zscaler die Agent-to-Agent-Kommunikation ab?
Über den AI Broker, der als Reverse Proxy zwischen die Kommunikation der Agenten geschaltet wird und automatisierte Policies durchsetzt. Er beobachtet, wie sich Surface und Datenzugriffe verändern und welche Daten gepullt werden, und pusht Policies in die Kommunikation. Der AI Broker ist bereits live und erreicht in zwei Monaten die vollständige GA; Kunden nutzen dafür die bestehende Zscaler-Technologie wie ZIA, ohne zusätzlichen Agenten zu deployen.

Warum ist ein MCP Server riskant und was leistet ein MCP Gateway?
Ein MCP Server funktioniert wie ein USB-Port mit absolutem Zugriff, sobald ein Developer ihm Datenzugriff gewährt, und wird dann sehr schnell unsichtbar. Das MCP Gateway erlaubt MCP-Zugriffe, filtert aber Service und Content, bevor Daten das System verlassen. Ergänzend prüft Zscaler MCP-Server per MCP Testing, das über den Prompt bis zum Server vordringt.

Welche sechs Pillar umfasst die Zscaler-Plattform AI Protect?
AI Protect bündelt Discovery (Public/Private AI Discovery, Asset Management), Assess (Risiko-Verifizierung, Data Classification & Mapping), Endpoint (Visibility und Response für Cloud Code, Cloud Cowork, Cursor), Guardrails (Public und Private AI, API- und Dask-Mode), Testing (Red-Teaming-Framework) sowie Governance & Compliance. Über CIA (Cloud Proxy) und CPA (Endpoint) deckt die Plattform rund 350 Apps ab.

Wie geht Zscaler auf Souveränitätsanforderungen deutscher Kunden ein?
Zscaler setzt für Souveränität auf hybride und On-Prem-Ansätze sowie lokale Data-Center: Für das Guardrail-Produkt kommt in den nächsten Monaten ein Hybrid-Modell, bei dem sensible Daten und Prompts beim Kunden bleiben und nur ein Control Plane bei Zscaler liegt. In Deutschland arbeitet Zscaler u. a. mit Stackit und betreibt ein Projekt mit der Bundesagentur für Arbeit; lokale Data-Center gibt es bereits in Japan und weiteren Ländern.

1. Von AI Red Teaming zur Enterprise AI Security

Die Session beginnt mit der Vorstellung von Christian Kammer und seiner Erfahrung im Bereich AI Red Teaming. Der Vortrag beschreibt die Entwicklung von frühen ChatGPT-ähnlichen Anwendungen hin zu komplexen Multi-LLM-Systemen, multimodalen KI-Lösungen und agentischen Architekturen.

Bereits heute nutzen große Unternehmen automatisierte KI-Tests, Red-Teaming-Ansätze und Security-Frameworks, um neu entwickelte KI-Systeme vor dem Rollout zu überprüfen. Die Einführung von KI verlagert sich zunehmend von Pilotprojekten hin zu produktiven Geschäftsanwendungen.

2. KI als nächste technologische Megawelle

Der Vortrag ordnet KI als nächste große Technologiewelle nach Internet und Cloud Computing ein. Im Vergleich zu früheren Technologietrends erfolgt die Verbreitung deutlich schneller. Unternehmen stehen vor der Herausforderung, Innovationen zu nutzen und gleichzeitig Risiken kontrollierbar zu halten.

KI verändert bereits heute die Entwicklung von Software, die Nutzung digitaler Dienste und die Automatisierung von Geschäftsprozessen. Dadurch entstehen gleichzeitig neue Anforderungen an Governance und Security.

3. Warum viele KI-Projekte nicht produktiv gehen

Trotz zahlreicher Pilotprojekte, Proof of Concepts und Entwicklungsinitiativen erreichen viele Organisationen bislang nur begrenzte Produktivnutzung. Ein wesentlicher Grund sind ungeklärte Sicherheits-, Governance- und Compliance-Fragen.

Besonders komplex wird es bei Multi-Agenten-Systemen, Agenten mit Datenbankzugriff, Unternehmensassistenten und KI-gestützten Geschäftsprozessen. Die Produktion erfordert deutlich höhere Sicherheitsstandards als Testumgebungen.

4. Die wachsende Angriffsfläche agentischer Systeme

Mit der Einführung von KI-Agenten wächst die Angriffsfläche erheblich. Moderne Systeme bestehen oft aus mehreren Sprachmodellen, unterschiedlichen Datenquellen, Workflows und Integrationen zu Drittanwendungen.

Jede zusätzliche Verbindung erzeugt neue Risiken hinsichtlich Datenzugriffen, Berechtigungen und möglicher Fehlkonfigurationen. Sicherheit muss deshalb entlang des gesamten Workflows betrachtet werden.

5. Data Leakage und privilegierte Agenten

Ein häufiger Risikofaktor entsteht, wenn Agenten direkten Zugriff auf Server, Dateisysteme oder Unternehmensanwendungen erhalten. Werden Berechtigungen zu weit vergeben, können Daten ungewollt offengelegt oder weitergeleitet werden.

Der Vortrag beschreibt zahlreiche Szenarien, in denen Agenten sensible Informationen auslesen, verarbeiten oder an Drittdienste übermitteln können. Daraus entstehen neue Anforderungen an Zugriffskontrollen und Governance.

6. Prompt Injection bleibt ein zentrales Risiko

Prompt Injections werden als eine der wichtigsten Angriffstechniken für KI-Systeme beschrieben. Die Session betont ausdrücklich, dass dieses Risiko nicht verschwindet, sondern sich mit neuen Modellen weiterentwickelt.

Neben klassischen Text-Prompts entstehen inzwischen Varianten über Bilder, Audio, versteckte Befehle und multimodale Angriffsformen. Dadurch wird die Absicherung von LLM-basierten Anwendungen zunehmend anspruchsvoll.

7. RAG, Context Poisoning und versteckte Eingaben

Ein weiterer Schwerpunkt liegt auf Retrieval-Augmented Generation (RAG) und Context Poisoning. Dabei werden manipulierte Inhalte in Wissensdatenbanken oder Dokumente eingebracht, die später von KI-Systemen verarbeitet werden.

Durch diese Technik können Antworten beeinflusst oder Sicherheitsmaßnahmen umgangen werden. Besonders gefährlich sind versteckte Prompt-Injections innerhalb von Dokumenten oder eingebetteten Inhalten.

8. Shadow AI in Unternehmen

Die Session bestätigt die zunehmende Verbreitung von Shadow AI. Mitarbeitende verwenden unterschiedliche KI-Werkzeuge, Plattformen und Agenten oft außerhalb definierter Unternehmensrichtlinien.

Dadurch entsteht ein Mangel an Transparenz über Datenflüsse, Modellnutzung und Sicherheitskontrollen. Unternehmen benötigen Sichtbarkeit über die KI-Systeme, die tatsächlich verwendet werden.

9. Agentic AI und automatisierte Workflows

Agentische Systeme unterscheiden sich grundlegend von klassischen Chatbots. Sie führen eigenständig Aktionen aus, greifen auf Werkzeuge zu und können Prozesse automatisieren.

Dadurch steigt die Anzahl möglicher Interaktionen zwischen Modellen, Datenquellen und Anwendungen deutlich an. Sicherheitskontrollen müssen deshalb über einzelne LLMs hinausgehen und ganze Workflows berücksichtigen.

10. MCP und die Sicherheit von Agenten

Model Context Protocol (MCP) wird als wichtiger Standard für die Interaktion zwischen Agenten und externen Systemen beschrieben. Gleichzeitig entsteht dadurch eine neue Angriffsebene für Unternehmen.

MCP-Server besitzen teilweise weitreichende Zugriffe auf Datenquellen und Anwendungen. Ohne geeignete Kontrollen kann dies zu unerwünschtem Datenzugriff oder Datenabfluss führen.

11. Identität als neues Sicherheitszentrum

Ein zentraler Gedanke der Session lautet: „Identity is the new silver bullet“. Agenten erhalten eigene Identitäten und müssen ähnlich wie menschliche Benutzer verwaltet werden.

Organisationen benötigen deshalb Registrierungsprozesse, Authentifizierung, kontinuierliche Verifikation und Monitoring für nichtmenschliche Identitäten. Die Zahl dieser Identitäten wird mit zunehmender Agentennutzung stark wachsen.

12. Visibility als Grundlage von AI Security

Zscaler stellt Discovery und Visibility in den Mittelpunkt seiner Sicherheitsstrategie. Unternehmen können nur die Systeme absichern, die sie auch kennen und überwachen können.

Die Plattform identifiziert KI-Dienste, Agenten, Cloud-Modelle, Entwicklerwerkzeuge und interne Anwendungen, um Transparenz über die gesamte KI-Landschaft zu schaffen.

13. Guardrails und Sicherheitskontrollen

Ein weiterer Baustein der Plattform sind Guardrails. Diese Sicherheitsmechanismen überwachen Prompts, Inhalte, Antworten und Datenbewegungen innerhalb öffentlicher und privater KI-Systeme.

Dadurch sollen Prompt Injections, Jailbreaks, Datenabfluss und andere Sicherheitsprobleme frühzeitig erkannt und kontrolliert werden.

14. AI Red Teaming und automatisierte Tests

Die Session beschreibt automatisierte AI-Testing-Verfahren mit umfangreichen Testbibliotheken. KI-Anwendungen werden damit hinsichtlich Prompt Injections, Halluzinationen, Sicherheitsgrenzen und Business-Regeln überprüft.

Diese Tests können auch in Entwicklungs- und CI/CD-Prozesse integriert werden, um Risiken bereits vor der Produktivsetzung zu identifizieren.

15. Governance und Compliance für KI

Neben technischen Schutzmaßnahmen spielen Governance und Compliance eine zentrale Rolle. Unternehmen müssen nachvollziehen können, welche KI-Systeme eingesetzt werden und welche Vorgaben für deren Nutzung gelten.

Die Session verweist auf Frameworks, Richtlinien und Compliance-Anforderungen, die künftig stärker auf KI-Anwendungen ausgeweitet werden dürften.

16. AI Broker und sichere Agent-Kommunikation

Zum Abschluss stellt die Session den AI Broker vor. Dieser fungiert als Kontrollinstanz zwischen Agenten, Anwendungen und Datenquellen. Ziel ist es, Agent-to-Agent-Kommunikation, MCP-Zugriffe und automatisierte Prozesse durch Richtlinien und Überwachungsmechanismen abzusichern.

Zscaler verfolgt dabei einen Plattformansatz, der Visibility, Guardrails, Governance, Identitätsmanagement und Security Controls in einer integrierten Lösung zusammenführt.