Netskope AI Report 2026 KI-Systeme geben Daten an Unbefugte zurück, MCP-Verkehr explodiert

Anbieter zum Thema

QUNIS GmbH

Fivetran Germany GmbH

Sicherheitsteams haben jahrelang kontrolliert, welche Daten ein Unternehmen in Richtung KI verlassen. Nach dem neuen Netskope AI Report 2026 reicht das nicht mehr: Verstöße, bei denen ein KI-System sensible Daten zurückliefert, auf die der Anfragende keinen Zugriff haben dürfte, haben sich binnen eines Jahres mehr als verdoppelt. Treiber ist die rasante Verbreitung des Model Context Protocol.

Der Sicherheitsanbieter Netskope hat mit dem Netskope AI Report 2026 seine globale Auswertung zur KI-Nutzung in Unternehmen vorgelegt. Die Auswertung schreibt den Threat Labs Report Europe 2026 fort, verschiebt den Fokus aber von der Entdeckung privater Schatten-KI hin zur Kontrolle autonomer Agenten. Die Kernaussage: Das Risiko fließt nicht mehr nur vom Unternehmen zur KI, sondern auch zurück.

Datenrückfluss wird zur zweitgrößten Risikokategorie

Klassische Upstream-Verstöße, bei denen Nutzer oder Agenten sensible Daten an einen KI-Dienst senden, bleiben nach Angaben von Netskope zwar der häufigste Fehlerfall. Deutlich stärker wachsen jedoch die sogenannten Downstream-Verstöße, bei denen ein KI-Dienst Daten zurückgibt, auf die der anfragende Nutzer oder Agent laut Richtlinie keinen Zugriff haben dürfte. Dem Report zufolge stieg deren Zahl im Median von 12 auf 31 pro Woche und Unternehmen, bei den am stärksten betroffenen 25 Prozent der Organisationen von 72 auf 206.

Wie ein solcher Datenrückfluss konkret aussieht, zeigte zuletzt die von Noma Security dokumentierte GitLost-Schwachstelle: Über ein präpariertes Issue ließ sich ein Copilot-basierter Agent dazu bringen, Inhalte aus einem privaten Repository abzurufen und öffentlich auszugeben. Gemessen an der Häufigkeit rangieren Downstream-Verstöße nach Herstellerangaben auf Platz zwei der KI-Risikokategorien, hinter den Upstream-Verstößen und noch vor Content-Filtering-Verstößen sowie Prompt-Injection- und Jailbreak-Versuchen. Die seltenste, zugleich kritischste Kategorie bildet Schadcode, den ein KI-System in seiner Antwort zurückgibt. Ein autonomer Coding-Agent kann ihn direkt ausführen oder in eine größere Codebasis übernehmen.

Treiber ist die Vernetzung über MCP

Als maßgeblichen Grund nennt der Report die explosionsartige Verbreitung des Model Context Protocol, über das sich KI-Modelle und Agenten mit externen Datenquellen und Werkzeugen verbinden. Nach Angaben von Netskope stiegen die MCP-Transaktionen innerhalb von zehn Wochen um 375 Prozent, die Nutzerzahlen um 250 Prozent. Zu den wichtigsten MCP-Clients zählen die Coding-Agenten Claude Code und Codex. Die dazugehörigen Absicherungsfunktionen hatte Netskope Ende 2025 in seine Plattform integriert. Das grundlegende Problem reicht über MCP hinaus: Je mehr Agenten tiefe Zugriffe auf Daten und Systeme erhalten, desto größer wird die Angriffsfläche, während die Schutzmechanismen mit dem Berechtigungshunger nicht Schritt halten.

Agentisches Coding wird zum Standard

Der zweite große Befund betrifft die Softwareentwicklung. Claude Code ist nach Angaben von Netskope inzwischen die meistgenutzte Code-Plattform, eingesetzt von 75 Prozent der Unternehmen, gefolgt von Codex mit 58 Prozent. Beide lagen ein Jahr zuvor noch unter einem Prozent. Der Anteil der Unternehmen mit KI-Coding-Anwendungen kletterte den Angaben zufolge von 42 auf 84 Prozent. Während IDE-basierte Assistenten wie GitHub Copilot und Cursor stagnierten, verlagere sich der Markt hin zu Werkzeugen, die Code eigenständig erzeugen und ausführen. Genau darin sieht der Report ein wachsendes Einfallstor für Prompt Injection, Jailbreaks und Schadcode. Welches Schadenspotenzial autonom handelnde Agenten entfalten können, führte im Juli ein Vorfall bei Hugging Face vor Augen, bei dem ein KI-Agentensystem selbsttätig Zugangsdaten auslas und sich über mehrere interne Cluster bewegte.

Der Coding-Boom schlägt bis auf die Ebene der KI-Plattformen durch: Nach Angaben von Netskope hat die Anthropic Claude Platform, über die Nutzer eigene Anwendungen und Agenten entwickeln, Anfang 2026 die zuvor führende OpenAI-Plattform überholt. In einigem Abstand folgt Amazon Bedrock, das der Report unter anderem mit seinem Ansatz zur Datensouveränität in Verbindung bringt.

Schatten-KI bleibt dauerhaft

Entgegen einer verbreiteten Erwartung konsolidiert sich die KI-Nutzung nicht vollständig auf freigegebene Plattformen. Der Rückgang privater Anwendungen endete laut Netskope im März 2026 und kehrte sich seither leicht um. Aktuell nutzen den Angaben zufolge 56 Prozent der Anwender ausschließlich verwaltete Anwendungen, 30 Prozent ausschließlich private Apps und 14 Prozent beides. Statt jeden Anwendungsfall auf verwaltete Plattformen zu zwingen, setzten Unternehmen zunehmend auf Leitplanken. Parallel betreiben nach Angaben von Netskope 41 Prozent der Unternehmen KI-Modelle lokal über das Open-Source-Framework Ollama, um die Kontrolle über den Verarbeitungsort zu behalten und Cloud-Kosten zu senken.

„Die Bedrohungslage 2026 hat die Phase der reinen Schatten-KI-Erkennung hinter sich gelassen und ist in ein Stadium bidirektionaler, agentischer Risiken eingetreten“, erläutert Ray Canzanese, Director of Netskope Threat Labs. „Wir überwachen längst nicht mehr nur die Prompts, die Mitarbeiter an externe Modelle senden. Inzwischen steuern wir die Integrität der KI-Lieferkette“. Jede agentische Interaktion müsse als potenziellen Ausführungsvektor begreifen, nicht bloß als Datenabfrage.

Der Report beruht nach Angaben des Unternehmens auf aggregierten Nutzungsdaten der hauseigenen Netskope-One-Plattform für eine Teilmenge der Netskope-Kunden im Zeitraum Juni 2025 bis Juli 2026. Grundlage ist damit kein repräsentatives Marktsample, sondern Telemetrie aus dem Kundenstamm eines Cloud-Security-Anbieters. Die genannten Werte gelten für diese Klientel und lassen sich nicht ungeprüft auf den Gesamtmarkt übertragen.

(ID:50912419)