KI-Systeme werden nun in operativen Umgebungen eingesetzt, wo Ausfälle reale Konsequenzen haben können. In solch kritischen Kontexten nutzen Verteidigungsinstitutionen, die für strenge Zugangskontrollen und null Toleranz gegenüber Kompromissen bekannt sind, KI nun in Produktionssystemen, die echte operative Entscheidungen unterstützen.

Gleichzeitig stecken die meisten kommerziellen Unternehmen in einer anderen Phase des KI-Lebenszyklus fest. Interne Ausschüsse diskutieren Governance-Modelle, Pilotprogramme häufen sich an, ohne die Produktionsreife zu erreichen, und Ingenieurteams kämpfen damit, experimentelle Modelle in zuverlässige Infrastruktur zu verwandeln. Branchenschätzungen zufolge erreichen fast 95 % der KI-Pilotprojekte nie in die Produktion gelangen. Dies geschieht oft aufgrund fehlender Datenpipelines, unklarer Verantwortlichkeiten und unzureichender operativer Kontrollen.

Daher stellt die jüngste Welle von KI-Verträgen im Verteidigungsbereich mehr als nur Beschaffungsnachrichten dar. Diese Vereinbarungen offenbaren die architektonischen Standards, die erforderlich sind, bevor KI in missionskritischen Umgebungen eingesetzt werden kann. 

Für Unternehmensführer bieten sie einen seltenen Einblick, wie produktionsreife KI-Sicherheit tatsächlich aussieht in Umgebungen, in denen Systemzuverlässigkeit zwingend erforderlich ist.

Das Signal hinter den Schlagzeilen

Um den aktuellen Stand produktionsreifer KI zu verstehen, müssen Organisationen die spezifische Infrastruktur analysieren, die Verteidigungsunternehmen kaufen, anstatt die Modelle selbst. Zunehmend konzentrieren sich diese Vereinbarungen weniger darauf, welches Modell isoliert am besten funktioniert, und mehr auf die Bedingungen, unter denen KI-Systeme betrieben werden dürfen.

Die jüngste Vereinbarung zwischen OpenAI und dem US-Verteidigungsministerium veranschaulicht diese Verschiebung. Die Bereitstellungsarchitektur hält die Modelle von OpenAI in kontrollierten Cloud-Umgebungen, die mit klassifizierten Systemen verbunden sind, anstatt sie an taktische Edge-Bereitstellungen zu übermitteln. 

Diese Struktur ermöglicht es dem Anbieter, eine kontinuierliche Überwachung seiner Sicherheitsmechanismen aufrechtzuerhalten, einschließlich Klassifikatoren und Überwachungssystemen, die unabhängig von der Infrastruktur des Kunden aktualisiert werden können. Die Vereinbarung spiegelt einen breiteren architektonischen Kompromiss wider: den operativen Einsatz von KI zu ermöglichen, während durchsetzbare Sicherheitskontrollen und klar definierte Beschränkungen für sensible Anwendungen gewahrt bleiben.

Gleichzeitig, OpenAI prüft Berichten zufolge den Einsatz seiner Systeme in den nicht klassifizierten Netzwerken der NATO. Obwohl dies noch diskutiert wird, signalisiert die potenzielle Vereinbarung, dass KI-Systeme über isolierte Pilotprojekte hinausgehen hin zu einer institutionellen Infrastruktur, die von verbündeten Verteidigungsorganisationen gemeinsam genutzt wird.

Zusammengenommen deuten diese Entwicklungen auf eine Verschiebung hin, wie fortschrittliche KI in kritische Umgebungen integriert wird. Nun hat sich der Fokus von der Modellfähigkeit auf die operativen Schutzmaßnahmen verschoben, die erforderlich sind, bevor KI in sensiblen Systemen laufen kann.

Was Verteidigungs-Implementierungen tatsächlich durchsetzen

KI-Implementierungen im Verteidigungsbereich offenbaren eine wichtige Verschiebung: KI wird nicht als Feature behandelt, sondern als eine semi-autonome Laufzeitumgebung, die strengen operativen Kontrollen unterliegt.

In aktuellen Verteidigungssystemen treten durchgängig vier technische Muster auf.

Muster 1: Strenge Datendomänen und isolierte Umgebungen

Produktions-KI im Verteidigungsbereich ist fast immer durch streng partitionierte Datendomänen gekennzeichnet. Anstatt Modellen den Zugriff auf uneingeschränkte Unternehmensdaten zu erlauben, erzwingen Verteidigungsbereitstellungen eine strikte Trennung zwischen Umgebungen, basierend auf Klassifizierung und Risiko.

Plattformen wie die GenAI.mil des US-Verteidigungsministeriums bieten Zugang zu KI-Funktionen nur in Umgebungen, die für Controlled Unclassified Information (CUI) und Impact Level 5 (IL5) zertifiziert sind. Die Beschaffung von NATO-Infrastruktur betont ebenfalls souveräne und isolierte Bereitstellungen, einschließlich Air-Gapped-Konfigurationen, die vom öffentlichen Internet getrennt sind.

Für Unternehmensorganisationen kann Produktions-KI nicht als lose verwaltete Sandbox betrieben werden. Datenzugriff, Rechenumgebungen und administrative Berechtigungen müssen mit expliziten Datenklassifizierungsrichtlinien übereinstimmen.

Muster 2: Die KI-Kontrollebene und identitätsbasierte Ausführung

Die Modellgenauigkeit allein reicht für zuverlässige KI-Systeme nicht aus. Organisationen müssen in der Lage sein, Entscheidungen nachzuvollziehen, Systemaktionen einzuschränken und sicher in ein KI-System einzugreifen, wenn das Risiko steigt.

Um diese Kontrollen durchzusetzen, führen fortgeschrittene Bereitstellungen eine KI-Kontrollebene ein, die regelt, wie Modelle mit Tools und APIs interagieren.

Innerhalb dieser Architektur läuft jede Aktion über einen Richtliniendurchsetzungspunkt (PEP) der überprüft, ob eine Anfrage zulässig ist, und als obligatorisches Tor fungiert, bevor ein Schritt mit hoher Auswirkung erfolgt. 

In agentenbasierten und Orchestrierungssystemen muss es eine dedizierte, bereichsbezogene Identität geben, da gemeinsam genutzte API-Schlüssel unzureichend sind, wenn Agenten den Zustand ändern können. Stattdessen muss jeder Tool-Aufruf als privilegierter Dienstaufruf behandelt werden.

Diese Architektur stellt sicher, dass jeder Tool-Aufruf zu einer kontrollierten Dienstanfrage wird, bei der das System überprüft:

• Welcher Agent agiert
• In wessen Namen
• In welcher Umgebung
• Für welche Aufgabe

Diese Einschränkungen begrenzen die potenziellen Auswirkungen von kompromittierten Prompts oder manipulierten Modellausgaben.

Muster 3: Steuerung agentischer Workflows und die „tödliche Dreifaltigkeit“

Wenn KI-Systeme die Fähigkeit erlangen, Tools aufzurufen, Befehle auszuführen oder mit externen Systemen zu interagieren, vergrößert sich die Angriffsfläche erheblich.

Ein häufiger Fehler tritt auf, wenn drei Bedingungen gleichzeitig erfüllt sind:

1. Nicht vertrauenswürdige Daten: Angreifergesteuerte Daten gelangen über Dokumente, E-Mails oder Websites in das Modell.
2. Zugriff: Der KI-Agent hat Zugriff auf sensible interne Systeme oder Daten.
3. Fähigkeit zum Senden/Ausführen: Der KI-Agent kann Befehle initiieren oder Daten an die Außenwelt senden.

Sicherheitsforscher bezeichnen diese Kombination manchmal als die „tödliche Dreifaltigkeit“.

Verteidigungsarchitekturen mindern dieses Risiko, indem sie Modelle als beratende Systeme und nicht als autonome Ausführende behandeln. Ein gängiges Muster ist die zweiphasige Ausführung:

• In der ersten Phase schlägt das Modell einen Plan oder eine empfohlene Aktion vor.
• In der zweiten Phase bewertet eine Kontrollschicht den Vorschlag und führt ihn erst nach Richtlinienprüfungen und, falls erforderlich, menschlicher Genehmigung aus.

Autonome Ausführung vs. Kontrollierte Agentenarchitektur

Muster 4: Resilienz der Lieferkette und MLSecOps

Produktions-KI-Systeme müssen auch Risiken in der Lieferkette des maschinellen Lernens berücksichtigen. Wenn Trainingsdaten, Modellgewichte oder Abhängigkeiten kompromittiert werden, kann sich das Verhalten des Systems ändern.

Um dieses Risiko zu managen, erweitern Verteidigungsprogramme traditionelle DevSecOps-Praktiken auf Machine Learning Security Operations (MLSecOps). Dazu gehört die Pflege einer KI-Stückliste (AIBOM) die Datensätze, Modellkomponenten und externe Abhängigkeiten erfasst.

Organisationen implementieren auch eine kryptografische Verifizierung von Modellartefakten, um sicherzustellen, dass in der Produktion eingesetzte Modelle den getesteten und genehmigten Versionen entsprechen. Dies schafft eine überprüfbare Vertrauenskette über den gesamten KI-Lebenszyklus hinweg.

Abbildung von Verteidigungspraktiken auf etablierte Sicherheits-Frameworks

Die Sicherheitsmuster, die in KI-Implementierungen im Verteidigungsbereich zu beobachten sind, stimmen eng mit mehreren weithin anerkannten KI-Sicherheits-Frameworks überein. Was als spezialisierte militärische Infrastruktur erscheint, spiegelt oft die praktische Umsetzung von Prinzipien wider, die bereits in Frameworks wie dem NIST AI Risk Management Framework, Googles Secure AI Framework (SAIF) und den OWASP Top 10 für LLM- und agentische Anwendungen dargelegt sind. 

Die Untersuchung dieser Implementierungen bietet einen konkreten Einblick, wie hochrangige Governance- und Sicherheitsempfehlungen in durchsetzbare operative Kontrollen übersetzt werden.

1. NIST AI Risk Management Framework (AI RMF 1.0)

Das NIST AI Risk Management Framework stellt Governance in den Mittelpunkt der KI-Sicherheit. Es verlangt von Organisationen zu definieren, wer die mit einem KI-System verbundenen Risiken trägt, wie diese Risiken überwacht werden und wie Entscheidungen während des gesamten Lebenszyklus des Systems überprüft werden.

In Verteidigungsumgebungen übersetzen sich diese Governance-Prinzipien in konkrete operative Regeln. Die Verantwortung für KI-Ergebnisse wird explizit zugewiesen, und Einsatzbedingungen werden definiert, bevor ein System in eine Produktionsumgebung eingeführt wird. Teams dokumentieren beabsichtigte Anwendungsfälle, identifizieren die Grenzen des Modellwissens und schränken ein, wie das System mit sensiblen Daten interagiert.

Die Lebenszyklusfunktionen des Frameworks – Abbilden, Messen, und Verwalten — spiegeln sich darin wider, wie Organisationen KI-Umgebungen strukturieren. 

Systeme arbeiten innerhalb klar definierter Datendomänen, wie zum Beispiel der Impact Level 5 (IL5) Umgebungen, die für kontrollierte Informationen innerhalb der GenAI.mil-Plattform des US-Verteidigungsministeriums verwendet werden. Nach der Bereitstellung werden diese Systeme kontinuierlich auf Leistungsabweichungen oder feindliche Signale überwacht, die ein Eingreifen erfordern könnten.

Die wichtigste Erkenntnis ist, dass die sichere Bereitstellung von KI mit Governance und klar definierter Verantwortlichkeit beginnt. Technische Schutzmaßnahmen sind nur dann wirksam, wenn sie innerhalb eines strukturierten Risikomanagementprozesses funktionieren.

2. Googles Secure AI Framework (SAIF)

Googles Secure AI Framework (SAIF) bietet Leitlinien für den Aufbau von KI-Systemen, die während ihres gesamten Lebenszyklus sicher bleiben, von der Modellentwicklung über die Bereitstellung bis zum laufenden Betrieb. Das Framework betont den Schutz der KI-Infrastruktur, die Kontrolle der Interaktion von Modellen mit externen Systemen und die Sicherung der ML-Lieferkette.

Viele Organisationen nutzen SAIF als Referenz für die Gestaltung der technischen Sicherheitsarchitektur rund um KI-Systeme. Dazu gehört die Einrichtung dedizierter Kontrollschichten, die regeln, wie Modelle auf Daten zugreifen und mit internen Diensten interagieren. 

In der Praxis behandeln Organisationen KI-Systeme als Infrastruktur, die durch strenge Sicherheitsgrenzen geregelt ist. Es erweitert auch traditionelle Sicherheitspraktiken in den ML-Lebenszyklus durch die Einführung von Maßnahmen wie der Überprüfung der Modellherkunft, der Abhängigkeitsverfolgung und dem Schutz der Lieferkette.

Mehrere jüngste Verteidigungsinitiativen spiegeln diese architektonischen Prinzipien wider. Zum Beispiel, die Beschaffung von Google Distributed Cloud durch die NATO Infrastruktur unterstreicht die Bedeutung von Umgebungsisolation und souveränen Bereitstellungsmodellen. Diese Systeme sind darauf ausgelegt, innerhalb streng kontrollierter Netzwerke zu funktionieren, einschließlich luftgesperrter Konfigurationen, die sensible Arbeitslasten vom öffentlichen Internet trennen. 

Verteidigungsorganisationen fordern auch zunehmend maschinenlesbare KI-Stücklisten (AIBOMs), um Modellkomponenten und Drittanbieter-Artefakte zu verfolgen, die ein Lieferkettenrisiko darstellen könnten.

3. OWASP Top 10 für LLM und Agentic Applications

Das OWASP Top 10 für LLM und Agenten-Anwendungen identifiziert die häufigsten Sicherheitsrisiken, die durch generative KI-Systeme entstehen. Das Framework konzentriert sich auf Risiken, die hauptsächlich daraus resultieren, wie Modelle Anweisungen interpretieren, mit externen Tools interagieren und nicht vertrauenswürdige Daten verarbeiten. Das OWASP Top 10 hebt Probleme wie Prompt Injection, unsichere Ausgabebehandlung, übermäßige Autonomie und unbeabsichtigte Datenexposition hervor.

Organisationen nutzen die OWASP-Richtlinien, um zu bewerten, wie KI-Systeme mit interner Infrastruktur und externen Eingaben interagieren. Sicherheitsteams wenden sie oft während des Anwendungsdesigns und der Tests an, um Situationen zu identifizieren, in denen ein Modell durch manipulierte Prompts manipuliert oder unbeabsichtigte Aktionen über verbundene Tools und APIs ausgelöst werden könnten.

Viele Unternehmen mindern diese Risiken, indem sie architektonische Kontrollen für KI-Agenten einführen. Systeme setzen oft das Prinzip der geringsten Modellrechtedurch, indem sie die Aktionen begrenzen, die ein Modell ausführen kann, und seine Ausgaben als Empfehlungen behandeln, anstatt als ausführbare Befehle. 

Zusätzliche Schutzmaßnahmen umfassen Tool-Gateways, die vom Modell initiierte Anfragen validieren, Ausgabefilterschichten und menschliche Überprüfung für risikoreiche Operationen.

Generative KI birgt Sicherheitsrisiken, die daraus entstehen, wie Modelle Anweisungen interpretieren und mit externen Systemen interagieren. Die Bewältigung dieser Risiken erfordert architektonische Kontrollen für das Agentenverhalten, nicht nur traditionelle Anwendungssicherheitsmaßnahmen.

Synthese: Abbildung der Framework-Ausrichtung

Die folgende Tabelle veranschaulicht, wie Muster nach Verteidigungsstandard effektiv die produktive Durchsetzung dieser Frameworks darstellen:

Die Checkliste für die KI-Produktion im Unternehmen

Um von experimentellen Pilotprojekten zu einer produktionsreifen Infrastruktur überzugehen, müssen technische Führungskräfte über die Modellevaluierung hinausgehen und sich auf die Überlebensfähigkeit auf Systemebene konzentrieren. Sicherheit auf Verteidigungsniveau zeigt, dass, wenn ein KI-System nicht beantworten kann, wie es versagt hat oder wie es eingedämmt wurde, es ein Prototyp mit unkontrolliertem Risiko bleibt. Die folgende Checkliste bietet einen technischen und operativen Entwurf für die Einrichtung einer produktionsreifen KI-Umgebung.

1. Kontrolle und Identität: Festlegung des Workload-Perimeters

Im Produktionsbetrieb müssen KI-Agenten als privilegierte Dienstkonten behandelt werden, anstatt als einfache Chat-Schnittstellen. Herkömmliches Credential-Management ist unzureichend, wenn ein Agent die Autonomie besitzt, Systemzustände zu verändern.

• Dedizierte Workload-Identitäten: Jedem Agenten und Orchestrator muss eine eindeutige, bereichsbezogene Workload-Identität zugewiesen werden. Gemeinsame API-Schlüssel oder langlebige Geheimnisse sind für die Produktionsausführung inakzeptabel, da sie im Falle einer Prompt Injection oder eines Credential-Diebstahls unbegrenzte Schadensradien erzeugen.
• Zweiphasiges Ausführungsmuster: Die Architektur sollte den Denkprozess explizit von der Ausführung entkoppeln. 
  
  • Phase eins beinhaltet, dass das Modell einen Plan oder eine Zusammenfassung des Probelaufs vorschlägt
  • Phase zwei erfordert, dass die Steuerungsebene diesen Plan anhand von Richtliniendurchsetzungspunkten (PEP) prüft, bevor eine zustandsändernde Aktion ausgelöst wird.
• Vorgangsbezogene Berechtigungen: Berechtigungen müssen auf spezifische Aufgaben zugeschnitten sein (z. B. „Ticket erstellen“) und nicht auf einen breiten Tool-Zugriff (z. B. „voller Jira-Zugriff“). Dies stellt sicher, dass selbst wenn ein Agent manipuliert wird, seine funktionale Fähigkeit auf das absolute Minimum beschränkt ist, das für die Transaktion erforderlich ist.

2. Infrastruktur-Isolation: Härtung der Laufzeitumgebung

KI-Workloads, insbesondere solche, die generierten Code ausführen können, erfordern eine stärkere Isolation als Standard-Container auf Prozessebene.

• Erweitertes Sandboxing: Stellen Sie nicht vertrauenswürdige, KI-generierte Workloads in gehärteten Sandbox-Umgebungen bereit, die die Ausführung vom Hostsystem isolieren und den Systemzugriff einschränken. Für Multi-Tenant-Umgebungen oder solche, die GPU-Passthrough erfordern, [SEGSEGMENT 8] Kata Containers bieten Micro-VM-Isolation mit einer Hardware-Virtualisierungsgrenze, wodurch Ausbrüche grundlegend schwieriger werden.
   
• : Produktions-KI muss sich in privaten Subnetzen befinden (Private Google Access), um sicherzustellen, dass Rechenressourcen die erforderlichen APIs über private Netzwerke erreichen und das öffentliche Internet vollständig umgangen wird.3. Datenherkunft und RAG-Governance: Die „Wahrheit“ sichern

Retrieval-Augmented Generation (RAG) ist nicht nur ein Qualitätsmerkmal; es ist eine kritische Sicherheitsgrenze, an der die Wahrheit in das System gelangt. Wenn die Retrieval-Schicht veraltet oder manipuliert ist, wird das Modell einen Plan getreu auf der Grundlage falscher Prämissen ausführen.

Herkunftskennzeichnung

• : Jeder abgerufene Datenblock muss mit seiner Quelle, seinem Eigentümer, seiner Klassifizierungsstufe und seinem Zeitstempel gekennzeichnet werden.Aktualitätsbudgets
• : Organisationen sollten einVeraltungsbudget für abgerufene Informationen. Ist ein Runbook oder eine Datenquelle älter als ein definierter Schwellenwert, muss das System den Benutzer entweder benachrichtigen oder in einen schreibgeschützten Modus wechseln, um die Abhängigkeit von veralteter Logik zu verhindern.
• Zitieranforderungen: Bei Aktionen mit hoher Auswirkung muss die Systemarchitektur verlangen, dass der Agent auf die spezifischen, validierten Quellen verweist, die die Entscheidung rechtfertigen, bevor die Aktion ausgeführt werden darf.

4. Laufzeitsicherheit und -überwachung: Über die Verfügbarkeit hinaus

Standard-Observability (Verfügbarkeit und Latenz) ist für KI unzureichend, da Systeme gesund erscheinen können, obwohl sie sich sicher irren. Produktionsreife Sicherheit erfordert Verhaltens-Telemetrie und zentralisierte Kontrollmechanismen.

• Tool-Gateways: Jede Agenteninteraktion mit externen Systemen (Jira, Zahlungen, Datenbanken) muss ein Tool-Gateway durchlaufen, das als Firewall fungiert, Eingaben validiert, Aufrufe ratenbegrenzt und Datenbeschränkungen in Echtzeit durchsetzt.
• KI-gesteuerte SIEM-Integration: Gehen Sie über dateibasierte Signaturen hinaus hin zu Verhaltensanalysen. Die Telemetrie sollte „Warum“-Signale verfolgen – wie Klassifikatorausgaben, Modelldrift und Aufrufmuster von Agenten-Tools –, um anomale Sitzungen zu identifizieren, die von etablierten Baselines abweichen.
• Der globale Notschalter: Pflegen Sie einen zentralisierten, sofort wirksamen Mechanismus, um die Ausführung von Tools über die gesamte Agentenflotte hinweg zu deaktivieren. Während eines aktiven Vorfalls ist es das Ziel, das System zu stoppen, ohne eine vollständige Code-Neubereitstellung zu erfordern.

Durch die Durchsetzung dieser „Engineering-First“-Säulen können Technologieführer die Lücke zwischen Pilot-Neuheit und operativer Realität schließen und sicherstellen, dass KI als widerstandsfähige Komponente des intelligenten Unternehmens dient und nicht als unkontrollierte Belastung.

Fazit

Künstliche Intelligenz dringt in Umgebungen vor, in denen Zuverlässigkeit, Sicherheit und Verantwortlichkeit zwingend erforderlich sind. Jüngste Vereinbarungen mit dem Pentagon und das wachsende Interesse der NATO verdeutlichen, wie ernst diese Institutionen die KI-Bereitstellung nehmen. In diesen Umgebungen werden Modelle erst eingeführt, nachdem strenge Betriebskontrollen, Governance-Mechanismen und Sicherheitsarchitekturen vorhanden sind.

Die größte Herausforderung in der Produktions-KI ist nicht länger die Modellfähigkeit. Es ist die Fähigkeit, KI-Systeme sicher innerhalb komplexer organisatorischer Infrastrukturen zu betreiben. Aus diesem Grund müssen Systeme mit klaren Begrenzungen, nachvollziehbaren Entscheidungspfaden und der Fähigkeit entworfen werden, einzugreifen, wenn unerwartetes Verhalten auftritt.

Organisationen, die diesen Wandel frühzeitig erkennen, werden KI als kritische Infrastruktur behandeln. Organisationen, die heute Governance- und Überwachungsfunktionen aufbauen, werden KI sicherer und effizienter skalieren. Andere könnten feststellen, dass die anfängliche Begeisterung für die KI-Bereitstellung betrieblichen Risiken und kostspieligen Neugestaltungen weicht.