Auf den Punkt: Bei gleichem KI-Modell variiert die Kompromittierungsrate allein durch die Wahl des Orchestrierungs-Frameworks zwischen 11,9 und 31,1 Prozent.
Ein systematischer Test von LangChain, CrewAI, AutoGen und SmolAgents zeigt: Bei identischem KI-Modell schwankt die Kompromittierungsrate je nach Orchestrierungs-Framework um den Faktor 2,6. Die Wahl des Frameworks ist damit nicht nur eine Engineering-Entscheidung, sondern eine Sicherheitsentscheidung.
Ein Autor der CSO Online hat ein Test-Framework entwickelt, das dieselben adversarialen Angriffsmuster – darunter Tool-Call-Hijacking, Cross-Tool-Injection, Memory Poisoning und Missbrauch delegierter Berechtigungen – gegen KI-Agenten ausführt. Um den Einfluss des Orchestrierungs-Frameworks isoliert zu messen, wurde das zugrunde liegende Modell konstant gehalten; variiert wurde ausschließlich das Framework, das Tool-Aufrufe, Speicher und mehrstufiges Reasoning steuert: CrewAI, LangChain, AutoGen und SmolAgents. Methodik und Datensatz sind auf GitHub offengelegt.
Über mehrere tausend adversariale Testläufe hinweg lag die Kompromittierungsrate zwischen 11,9 Prozent beim widerstandsfähigsten und 31,1 Prozent beim anfälligsten Framework – eine Spanne, die allein aus der Wahl des Frameworks resultiert, da weder Modell noch Angriffsmuster verändert wurden. Der Autor bezeichnet diesen Unterschied als Grenze zwischen einer für ein Team akzeptablen Sicherheitslage und einer, die vor dem produktiven Einsatz eine ernsthafte Prüfung erfordern sollte.
Ein Orchestrierungs-Framework definiert dabei die Software-Schicht zwischen dem KI-Modell und der Außenwelt: Es legt fest, wie ein Agent seine Schritte plant, wann er Tools oder APIs aufruft, wie er Informationen über eine Aufgabe hinweg im Gedächtnis behält und wie viel Autonomie er besitzt, bevor er Rückmeldung einholen muss. Das Modell übernimmt das Reasoning, das Framework entscheidet, was mit diesem Reasoning geschehen darf. Frameworks unterscheiden sich konkret darin, wie streng Tool-Aufrufe validiert werden, wie viel Kontext zwischen Reasoning-Schritten geteilt wird, wie Speicher über eine Aufgabe hinweg persistiert und wie viel Autonomie der Agent besitzt, um Aktionen ohne Rückfrage zu verketten.
Als Beispiel nennt der Autor die Anforderung, dass jeder Tool-Aufruf vor der Ausführung eine explizite Schema-Prüfung durchlaufen muss – ein Design, das Angreifern deutlich weniger Spielraum lässt, um schädliche Parameter einzuschleusen, als ein Framework, das dem Modell erlaubt, Tools direkt aus generiertem Text heraus aufzurufen. Solche Architekturentscheidungen werden von den Autoren des jeweiligen Frameworks getroffen, lange bevor ein Entwicklungsteam damit arbeitet, und können ohne jede eigene Codeänderung einen Unterschied von Faktor 2,6 in der Kompromittierungsrate bewirken.
Für Engineering-Teams, die Multi-Agent-Systeme produktiv einsetzen, folgt daraus, dass die Auswahl von LangChain, CrewAI, AutoGen oder vergleichbaren Frameworks nicht allein anhand von Developer Experience oder Ökosystemreife erfolgen sollte. Sicherheitsrelevante Architekturmerkmale wie strikte Tool-Call-Validierung und konservative Speichersegmentierung verdienen bei der Framework-Wahl denselben Stellenwert wie funktionale Kriterien.
Quelle: www.csoonline.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.