Künstliche Intelligenz ist in vielen Unternehmen bereits ein fester Bestandteil von produktiven Cloud-Infrastrukturen. Der „2026 State of AI Security Report“ von Orca Security untersucht auf Grundlage anonymisierter Telemetriedaten aus dem zweiten Quartal des Jahres mehr als 1.200 Organisationen mit produktiven Umgebungen.
Die Ergebnisse zeigen, dass die Einführung von KI in vielen Fällen schneller voranschreitet als die Umsetzung entsprechender Sicherheitsmaßnahmen. Der Report identifiziert mehrere Risikobereiche wie verwundbare Softwarekomponenten, unsicher gespeicherte Zugangsdaten, fehlende zusätzliche Verschlüsselungsmaßnahmen sowie die zunehmende Komplexität durch den parallelen Einsatz verschiedener KI-Dienste.
Verwundbare KI-Komponenten bleiben ungepatcht
Laut Orca Security weisen 81 Prozent der Organisationen beim Einsatz von KI-Paketen mindestens eine bekannte Schwachstelle auf. Das Common Vulnerability Scoring System (CVSS) gibt mit einer Werteskala von null bis zehn an, wie gefährlich eine Sicherheitslücke in der IT ist. Der durchschnittliche CVSS-Wert der betroffenen Komponenten liegt bei 8,79. Für etwa die Hälfte der festgestellten Schwachstellen existiert bereits ein öffentlich verfügbarer Exploit, mit dem diese Lücke explizit ausgenutzt werden kann. Gleichzeitig bleiben etwa 99 Prozent der Warnmeldungen, für die eine Fehlerbehebung verfügbar ist, ungepatcht.
Bekannte Sicherheitslücken können folglich trotz vorhandener Gegenmaßnahmen in großem Umfang fortbestehen. Dadurch wird deutlich, dass nicht nur die Risikoidentifizierung, sondern auch die konsequente Umsetzung von verfügbaren Schutzmaßnahmen bedeutsam ist.
Zugangsdaten, Verschlüsselung und ungeschützte Agenten
Weitere Risiken betreffen den Umgang mit Zugangsdaten sowie die Sicherheitskonfiguration von KI-Systemen. Zwischen 25 und 40 Prozent der Nutzer von Anthropic, OpenAI und Hugging Face sollen mindestens einen API-Schlüssel an einem unsicheren Ort gespeichert haben.
Auch bei der Verschlüsselung stellt Orca Security erhebliche Defizite fest. Nach dem Bericht haben 87 Prozent der Organisationen mit KI-Diensten keine kundenseitig verwalteten Verschlüsselungsschlüssel, also Customer-Managed Encryption Keys, eingerichtet. Trainingsdaten, Modelle und Inferenz-Pipelines seien damit häufig lediglich durch standardmäßig vom jeweiligen Cloud-Anbieter verwaltete Verschlüsselungen geschützt.
„AI Sprawl“ erschwert Governance
Hinzu kommt, dass Unternehmen zunehmend unterschiedliche KI-Dienste parallel nutzen. 55 Prozent der Anwender von Cloud-KI-Diensten nutzen mindestens vier verschiedene Kategorien von KI-Services. 19 Prozent der Unternehmen setzen sogar sieben oder mehr Dienste gleichzeitig ein. Diese Entwicklung bezeichnet Orca Security als „AI Sprawl“ und sieht sie als Herausforderung für transparente, konsistente Sicherheitsrichtlinien und eine wirksame Governance.
Fazit
Der 2026 State of AI Security Report von Orca Security zeigt, dass der produktive Einsatz von KI in vielen Organisationen weiterhin mit Defiziten bei grundlegenden Sicherheitsmaßnahmen einhergeht. Die zunehmende Nutzung von KI geht damit nicht gleichermaßen mit einer entsprechenden Weiterentwicklung der Sicherheitsmaßnahmen einher Der Bericht verdeutlicht vielmehr, dass zwischen der technischen Einführung und Implementierung von KI und ihrer Absicherung weiterhin Lücken bestehen.
Für Unternehmen ist daher relevant, ob KI-Komponenten, Zugangsdaten, Verschlüsselungskonzepte sowie Agenten und Cloud-Dienste vollständig erfasst und wirksam organisatorisch kontrolliert werden.
KI-Compliance aus einer Hand
Künstliche Intelligenz rechtssicher nutzen & entwickeln
- KINAST KI-Beratung
- KINAST externer KI-Beauftragter
- KINAST KI-Kompetenz-Schulungen
