Netskope KI-Bericht: 2026

Zu einem Abschnitt springen

Zusammenfassung & Hauptergebnisse

Einführung

Kategorisierung von KI-Risiken KI-Einführung: Anhaltendes Wachstum Schatten-KI: Ein Plateau Agentische KI: Ein Coding-Boom

KI-Plattformen und Datensouveränität

MCP: Schnell zunehmende Vernetzung Verstöße gegen Datenrichtlinien: wachsendes Auftreten KI-nahe Bedrohungen Sichtbarkeit, Verwaltung und Schutz Über diesen Bericht

20 Minuten Lesezeit

Zusammenfassung & Hauptergebnisse

Im Jahr 2026 hat sich die Unternehmens-KI-Sicherheitsstrategie von der reaktiven Entdeckung von Schatten-KI hin zur aktiven, transaktionalen Governance autonomer KI-Agenten verlagert. Die rasante Verbreitung agentischer KI, verbunden mit der weitverbreiteten Einführung des Model Context Protocol (MCP), um interne Datenspeicher mit externen Modellen zu verbinden, hat die Risikofläche des Unternehmens über einfache promptbasierte Datenexfiltration hinaus erweitert. Dieser Bericht analysiert die daraus resultierende KI-Sicherheitslandschaft, charakterisiert operative Risiken von nachgelagerten Datenrichtlinienverstößen bis hin zur autonomen Ausführung von bösartigem Code und legt das technische Mandat für KI-Verkehrskontrollen und eine Zero-Trust-KI-Architektur fest. Zu den wichtigsten Erkenntnissen dieses Berichts gehören:

Datensicherheitsrisiken: Ein Anstieg von nachgelagerten Richtlinienverstößen
Verstöße gegen nachgelagerte Datenrichtlinien, bei denen ein KI-Dienst sensible Daten zurückgibt, auf die ein Nutzer oder Agent keinen Zugriff haben darf, steigen stark an, was durch einen vervierfachten Anstieg des MCP-Verkehrs angetrieben wird, da Organisationen weiterhin KI-Systeme mit sensiblen Datenspeichern verbinden.
Agentische Risiken: Der operative Wandel hin zur autonomen Codierung
Ein Anstieg der Nutzung von Coding-Agenten führt zu einem Anstieg des KI-Verkehrsaufkommens, einer stärkeren MCP-Vernetzung und einem erhöhten Risiko für die Ausführung bösartigen Codes, wobei heute 75 % der Organisationen Claude Code und 58 % Codex nutzen – ein dramatischer Anstieg gegenüber der kaum vorhandenen Akzeptanz vor einem Jahr.
Gegnerische Risiken: Bösartiger Code, Links und Lockmittel
Mit der zunehmenden KI-Akzeptanz nutzen Gegner weiterhin KI-Lockmittel, um Opfer dazu zu bringen, Malware herunterzuladen oder bösartige Webseiten zu besuchen. Gleichzeitig werden Gegner immer geschickter darin, KI-Apps dazu zu bringen, ihren Opfern bösartigen Code zu zeigen, was das Risiko erhöht, dass autonome Codierer solchen Code ausführen oder in breitere Codebasen integrieren.

Einführung

Da die Einführung generativer KI im Unternehmen reift, hat sich die Sicherheitsführung von der anfänglichen Herausforderung der Schatten-KI-Entdeckung hin zur komplexeren Anforderung granularer, transaktionaler Governance entwickelt. Effektive Governance verlangt nun, dass Sicherheitsteams über Richtlinien hinausgehen, die sich hauptsächlich auf die Begrenzung des Datenflusses auf KI-Plattformen von Drittanbietern konzentrieren, und stattdessen einen strukturierten Risikobewertungsrahmen einführen, der KI-Interaktionen über vier kritische Dimensionen hinweg bewertet: Volumen, Richtung, Schwere und Absicht.

Die Bedrohungslandschaft von Unternehmen hat sich grundlegend verändert, da dieselben Werkzeuge, die Produktivität freischalten (KI-Chatbots, KI-Assistenten, autonome KI-Agenten, MCP-Server usw.), gleichzeitig die Angriffsfläche erweitern. Während Upstream-Datenrichtlinienverstöße (bei denen Nutzer und Agenten sensible Daten an Dritte unter Verstoß gegen organisatorische Richtlinien weiterleiten) weiterhin der häufigste Schwachpunkt sind, nehmen kritische adversarisive Risiken zu, darunter prompte Injektion, Jailbreaking und die nachgelagerte Ausführung von bösartigem Code, ebenso wie Compliance-Verstöße gegen nachgelagerte Datenrichtlinien infolge der zunehmenden Vernetzung von KI-Systemen. Dieser Bericht bietet einen detaillierten Überblick über die Risikolandschaft der Unternehmens-KI und die technischen Grundlagen für die Umsetzung der Transparenz, Governance und des Schutzes, die erforderlich sind, um Unternehmens-KI-Implementierungen richtig zu sichern.

Kategorisierung von KI-Risiken

KI-Sichtbarkeit, Governance und Schutz beginnen mit dem Verständnis der aktuellen Risikolandschaft. Das untenstehende Diagramm listet die häufigsten Risiken nach der Häufigkeit der innerhalb von Organisationen beobachteten Verstöße auf. Ganz oben auf dieser Liste stehen Upstream-Datenrichtlinien, die früher fast 100 % der Warnungen ausmachten, aber durch andere Arten von Verstößen unter 90 % gefallen sind. Am anderen Ende des Spektrums stehen Verstöße gegen bösartigen Code (bei denen ein KI-System bösartigen Code zurückgibt), die zwar am wenigsten, aber auch am schwerwiegendsten sind.

Diagramm mit der Aufschlüsselung von KI-Verstößen per 10k-Warnung

In der folgenden Liste untersuchen wir jedes dieser Risiken ausführlicher, einschließlich Richtung, Absicht und Schwere der Risiken.

Verstöße gegen Upstream-Datenrichtlinien
Regie: Flussaufwärts
Absichtsprofil: Insider/Produktivität/Fahrlässigkeit
Schweregrad: Kumulativ
Was ist ein Verstoß gegen die Upstream-Datenrichtlinie?
Das häufigste KI-Risiko besteht darin, dass ein Nutzer oder Agent versucht, Daten an ein KI-System zu senden, was gegen die Datennutzungsrichtlinien der Organisation verstößt, einschließlich der Übermittlung vertraulicher Informationen oder Quellcodes an nicht genehmigte Dienste. Organisationen nutzen solche Richtlinien typischerweise, um ihre Nutzer von Schatten-KI abzulenken und zu zugelassenen KI-Diensten zu führen sowie Anwendungsfälle zu den passenden Diensten zu führen. Beispielsweise sind einige KI-Dienste nur für Codierungs- und Entwicklungsaufgaben autorisiert, während andere ausschließlich zur Verarbeitung sensibler Daten in Dokumenten und Tabellenkalkulationen zugelassen sind. Verstöße gegen Datenrichtlinien stammen hauptsächlich von vertrauenswürdigen Insidern, die ihre Produktivität steigern wollen, dies aber fahrlässig tun (ohne Kenntnis der organisatorischen Richtlinien). Das Risiko ist hier kumulativ, da eine konstante Exponierung sensibler Daten gegenüber Dritten zu einer Compliance- oder regulatorischen Haftung führen kann.

Verstoß gegen nachgelagerte Datenrichtlinien
Regie: Flussabwärts
Absichtsprofil: Insider/Produktivität/Fahrlässigkeit
Schweregrad: Niedrig/mäßig
Was ist ein Verstoß gegen die nachgelagerte Datenrichtlinie?
Verstöße gegen nachgelagerte Datenrichtlinien treten auf, wenn ein KI-Dienst Daten zurückgibt, auf die organisatorische Richtlinien dem Nutzer oder Agenten den Zugriff verbieten. Solche Verstöße treten auf, wenn eine Organisation MCP, retrieval-augmented generation (RAG) oder angepasste Modelle verwendet, die auf proprietären Daten trainiert wurden. In diesen Fällen kann eine KI-App sensible Daten von einem angeschlossenen System zurückgeben, auf die der Nutzer oder Agent keinen Zugriff hat. Ein weiteres weniger häufiges Beispiel für einen Verletzung der Downstream-Datenrichtlinien tritt auf, wenn eine Organisation eine App autorisiert, aber deren Nutzung auf einen bestimmten Anwendungsfall beschränkt. Zum Beispiel dürfen Nutzer und Agenten die App als allgemeinen Chatbot nutzen, aber keinen Quellcode generieren. Jeder von der App zurückgegebene Quellcode würde als nachgelagerter Verstoß eingestuft werden. Wie bei Upstream-Verstößen ist das primäre Absichtsprofil für Downstream-Verstöße ein vertrauenswürdiger Insider, der durch Produktivitätsgewinn motiviert ist, und die Schwere des Risikos hängt von der Art der Daten und der Breite des Zugangs ab.

Inhaltsfilterung
Regie: Bidirektional
Absichtsprofil: Insider/Verhalten
Schweregrad: Niedrig
Was ist Inhaltsfilterung im Kontext von KI-Risiken?
Verstöße gegen die Inhaltsfilterung sind bidirektional und treten auf, wenn ein Nutzer oder Agent einen Prompt an ein KI-System schickt oder eine Antwort von ihm erhält, das Inhalte enthält, die nach organisatorischen Richtlinien als unangemessen angesehen werden. Diese Arten von Verstößen ähneln URL-Filterverstößen von einem Secure Web Gateway (SWG): So wie Organisationen sexuelle oder gewalttätige Inhalte im Web blockieren, blockieren sie diese Inhalte typischerweise auch von KI-Apps zurückzusenden. Verstöße gegen Inhaltsfilterung sind gering schwerwiegend, da sie eine minimale Bedrohung für das Netzwerk oder die Datenressourcen der Organisation darstellen. Stattdessen geht es in erster Linie um HR, rechtliche Compliance oder kulturelle Abstimmungsfragen.

Prompt Injection und Jailbreak
Regie: Bidirektional
Absichtsprofil: Adversarial/Ausweichen
Schweregrad: Critical
Was ist eine prompte Injektion? Was ist Jailbreaking?
Prompt Injection- und Jailbreaking-Verstöße treten auf, wenn ein Nutzer oder Agent versucht, Leitplanken zu umgehen, zugrundeliegende Systemanweisungen zu umgehen oder ein KI-System zu einer eingeschränkten Aktion zu zwingen. Solche Verstöße resultieren aus absichtlichen, gegnerischen oder ausweichenden Handlungen eines Insiders oder eines externen Gegners. In vielen Fällen handelt es sich dabei um indirekte Prompt-Injection-Angriffe, bei denen ein Angreifer bösartige Anweisungen in externe Datenquellen einbettet, auf die ein KI-System zugegriffen wird. Die Schwere ist entscheidend, da eine erfolgreiche Ausnutzung die Modellkontrollebene unterwandert und potenziell kaskadierende Ausführungspfade über verbundene Backend-Dienste auslöst.

Anfragen nach sensiblen Daten
Regie: Flussaufwärts
Absichtsprofil: Gegnerisch/Aufklärung/Ernte
Schweregrad: High
Was sind Anfragen nach sensiblen Daten im Kontext von KI-Risiken?
Anfragen nach sensiblen Daten sind Upstream-Verstöße, die auftreten, wenn ein Nutzer oder Agent Anzeichen zeigt, absichtlich zu versuchen, Kontrollen zu umgehen, um darauf zuzugreifen. Die Schwere einer solchen Verletzung ist in der Regel höher als die eines nachgelagerten Datenrichtlinienverstoßes aufgrund eines anderen Absichtsprofils. Ein nachgelagerter Datenverstoß kann ohne absichtliche Aufforderung auftreten, einfach weil das System Zugriff auf Daten hat, auf die der Nutzer keinen Zugriff hat. Im Gegensatz dazu deuten Anfragen nach sensiblen Daten darauf hin, dass der Anforderer beabsichtigt, auf diese Daten zuzugreifen. Anfragen nach sensiblen Daten, kombiniert mit nachgelagerten Datenverletzungen, deuten auf ein kritisches Risiko hin, da sie darauf hindeuten, dass der Anforderer mit seinen Bemühungen Erfolg hat.

Piraterie und Urheberrecht
Regie: Flussabwärts
Absichtsprofil: Compliance/Unfall
Schweregrad: Niedrig
Welche urheberrechtlichen Risiken sind mit KI verbunden?
Eine Piraterie- und Urheberrechtsverletzung ist eine nachgelagerte Verletzung, die eintritt, wenn eine KI-Anwendung geschütztes, urheberrechtlich geschütztes oder markenrechtlich geschütztes Material ohne gültige Lizenzierung Dritter oder eine Genehmigung zurückgibt. Solches Material stellt ein rechtliches und finanzielles Risiko für die Organisation dar, wenn es unsachgemäß verwendet wird. Dennoch stellt es eine minimale Bedrohung für das Netzwerk oder die Datenressourcen der Organisation dar und gilt daher als geringes Risiko.

Bösartiger Code
Regie: Flussabwärts
Absichtsprofil: Adversarial/Waffennutzung
Schweregrad: Critical
Was ist bösartiger Code im KI-Kontext?
Ein Verstoß gegen bösartigen Code tritt auf, wenn eine KI-Anwendung in ihrer Antwort bösartigen Code zurücksendet. Der bösartige Code kann Shell-Befehle sein, die der Nutzer oder Agent direkt ausführen könnte, oder ein Schnipsel von bösartigem Code, der in eine breitere Codebasis integriert wird. Autonome Coding-Agenten, die schnell an Beliebtheit gewinnen, verstärken dieses Risiko, da sie Code viel schneller als Menschen generieren und autonom KI-generierten Code und Befehle ausführen. Eine KI-App könnte durch eine indirekte Prompt-Injektion, trojanisierte KI-Tools oder -Modelle oder sogar organisch bösartigen Code zurücksenden. Organischer bösartiger Code könnte als Ergebnis von Schulungen auf verwundbaren Daten zurückgegeben werden, Emergente Fehlausrichtung, oder Halluzinationen. Die Schwere ist entscheidend, da eine erfolgreiche Ausführung von bösartigem Code zu weit verbreiteten Systemkompromittierungen führen kann. Verstöße gegen bösartigen Code in Verbindung mit Prompt Injection- und Jailbreak-Verstößen zeigen Absicht und deuten auf möglichen Erfolg hin.

KI-Einführung: Anhaltendes Wachstum

Im vergangenen Jahr ist der Anteil der Unternehmensnutzer, die KI-Apps wöchentlich nutzen, von 34 % auf 59 % im Medianbereich gestiegen, wobei im oberen Quartil der Organisationen mindestens 77 % ihrer Nutzerbasis jede Woche mit KI-Apps interagieren. Unterdessen haben die Top 1 % der Organisationen mit den meisten KI-Nutzern (nicht abgebildet) bereits fast 100 % erreicht. Der Rückgang im Plot Ende 2025 und Anfang 2026 ist ein Artefakt, das sich durch diesen Bericht zieht und auf eine geringere Gesamtaktivität rund um die Feiertage zurückzuführen ist. Die KI-Einführung beschleunigte sich Ende 2025 leicht, und dieses beschleunigte Wachstum setzte sich bis Anfang 2026 fort, hat sich aber inzwischen verlangsamt. Wir erwarten, dass dieses Wachstum in der zweiten Hälfte des Jahres 2026 stagniert, da Unternehmen strategischer bei ihren KI-Investitionen umgehen.

Diagramm zeigt KI-Nutzer pro Woche im Medianprozentsatz mit schattiertem Bereich für das 1. und 3. Quartil

Gleichzeitig hat sich das Volumen der KI-Nutzung verdreifacht, von durchschnittlich 1.498 auf 4.731 Prompts pro Woche. Die obersten 25 % der Organisationen haben ein deutlich höheres wöchentliches Volumen von mindestens 19.292 Prompts verzeichnet, und die obersten 1 % (nicht abgebildet) haben Hunderttausende von Prompts pro Woche gesehen. Dieser Anstieg des Volumens wird hauptsächlich durch die zunehmende Nutzung von agentischer KI verursacht, die wir im nächsten Abschnitt ausführlicher behandeln. Wir erwarten außerdem, dass die Anzahl der Prompts pro Organisation in der zweiten Hälfte des Jahres 2026 stagnieren wird, da die Agentic-KI-Akzeptanz an Sättigung steigt.

Schatten-KI: Ein Plateau

Seit Beginn des KI-Booms haben wir eine allmähliche Abkehr von persönlichen, unverwalteten Schatten-KI-Apps hin zu organisationsverwalteten Apps erlebt. Zurück im Jahr 2023, fast alle von dem KI-Verkehr, den wir im Unternehmen sahen, war Schatten-KI, einzelne Nutzer spielten mit ihren ChatGPT-Abonnements, um ihre eigene Produktivität zu steigern. Im Laufe der Zeit begannen Organisationen, genehmigte und verwaltete Apps einzuführen, und der Anteil der Nutzer, die auf persönliche KI-Apps zugreifen, sank dadurch. Dieser Trend stoppte etwa im März 2026, stagnierte und hat sich leicht wieder in die entgegengesetzte Richtung entwickelt. Derzeit nutzen 56 % der KI-Nutzer nur organisationsverwaltete KI-Anwendungen, 14 % Nutzung Beide Organisationsverwaltete und persönliche Apps sowie 30 % Nutzung nur Persönliche Apps. Diese Trendumkehr zeigt, dass Schatten-KI gekommen ist, um zu bleiben, und anstatt weiterhin jeden KI-Nutzer und Anwendungsfall auf verwaltete Plattformen zu verlagern, haben sich Organisationen entschieden, stattdessen Schutzmechanismen für die Nutzung persönlicher und nicht genehmigter Apps zu errichten. Gleichzeitig haben sich die Prioritäten der Schatten-KI-Entdeckung von der Sichtbarkeit und Einführung von Kontrollen für die Nutzung persönlicher KI-Apps auf KI-Agenten, MCP-Server und lokale KI-Infrastruktur ausgeweitet (alles Bereiche, in denen wir derzeit ein schnelles Wachstum erleben).

Diagramm, das die Aufschlüsselung der KI-Nutzung Personal vs. Organisationskonto zeigt

Agentische KI: Ein Coding-Boom

Im vergangenen Jahr hat die Einführung von KI-Apps für konversationelle Chatbots eine Sättigung erreicht, wobei mehr als 95 % der Organisationen weltweit mindestens einmal pro Woche einen Chatbot nutzen. ChatGPT, der langjährige globale Marktführer, bleibt auf dem ersten Platz, wird jedoch von Anthropic Claude, Microsoft 365 Copilot und Google Gemini herausgefordert. Zu Beginn des Jahres lag Google Gemini auf dem zweiten Platz und stand kurz davor, ChatGPT zu überholen, doch seine Verbreitung stagnierte. Microsoft 365 Copilot hat im Mai Google Gemini überholt, hat aber ebenfalls ein Plateau erreicht. Dann, im Juni, überholte Anthropic Claude beide und wächst weiterhin an Popularität. Seine Beliebtheit steht in engem Zusammenhang mit der Einführung von Claude Code, dem Codierungsagent von Anthropic, den wir später in diesem Abschnitt näher betrachten. Auf seiner aktuellen Entwicklung steht Claude kurz davor, ChatGPT in der zweiten Hälfte des Jahres 2026 zu überholen.

Diagramm mit den beliebtesten Konversations-Apps

Andere Kategorien von KI-Apps verzeichnen insgesamt niedrigere Nutzungsraten, die seit Jahresbeginn relativ konstant geblieben sind, mit zwei bemerkenswerten Ausnahmen:

KI-Code-Apps bieten Werkzeuge zur Unterstützung der Softwareentwicklung, einschließlich Schreiben, Testen, Debugging und Optimierung von Code. Agentische Code-Entwicklungs-Apps haben die Beliebtheit von 42 % auf 84 % gesteigert. Darüber hinaus hat sich die Verbreitung zwar gegenüber dem schnellen Tempo zu Beginn des Jahres verlangsamt, doch sie wird in der zweiten Jahreshälfte voraussichtlich weiter zunehmen.
KI-Plattformen optimieren den KI-Entwicklungsprozess, indem sie zentrale Komponenten wie KI-Modelle hosten, sodass Entwickler sich auf die Kernlogik der Anwendungen konzentrieren können, ohne die Infrastruktur verwalten zu müssen. Die Akzeptanz von KI-Plattformen ist im vergangenen Jahr von 51 % auf 92 % der Organisationen rapide gestiegen, hat sich aber in letzter Zeit stagniert, wobei die Nutzung voraussichtlich auch in der zweiten Jahreshälfte auf diesem Niveau bleibt.

Diagramm mit der Einführung von KI-App-Kategorien nach Organisation

Im Bereich der KI-Code-Apps waren GitHub Copilot und Cursor vor einem Jahr die dominierenden Akteure. Beide Apps sind KI-gestützte Code-Editoren, die eine traditionelle IDE und eine Schicht in KI-Funktionalität verwenden, um den Softwareentwicklungsprozess zu unterstützen. Während die Popularität dieses Ansatzes offenbar stagniert ist, gewinnen die agentischen Coding-Apps Claude Code und Codex rasant an Beliebtheit. Claude Code ist heute die beliebteste Code-Entwicklungsplattform, die von 75 % der Organisationen genutzt wird, während Codex mit 58 % den zweiten Platz belegt. Beide Apps hatten vor einem Jahr weniger als 1 % Verbreitung. Der anhaltende Anstieg der Beliebtheit dieser beiden Apps unterstreicht den Wandel hin zur Entwicklung agentischer Software in branchenübergreifenden Branchen, was bestimmte Risiken erhöht, die in diesem Bericht hervorgehoben werden, insbesondere die Risiken von prompter Injektion und Jailbreaks, bösartigem Code und falscher Verarbeitung sensibler Daten.

Diagramm, das die beliebtesten Code-Apps zeigt

KI-Plattformen und Datensouveränität

KI-Plattformen erleben ebenfalls zunehmende Beliebtheit, angeführt von Anthropics Claude Platform. Wie in diesem Bericht hervorgehoben, haben Anthropics Claude-Chatbot und Claude-Code seit Jahresbeginn schnell an Popularität gewonnen. Die Claude Platform, die es Nutzern ermöglicht, individuelle Apps und Agenten mit ihren Modellen zu entwickeln, hat ein ähnliches Wachstum an Popularität erlebt und hat die Plattform von OpenAI, die einst dominierende in diesem Bereich war, überholt.

Gleichzeitig haben mehrere andere Plattformen im Laufe des Jahres ein bemerkenswertes Wachstum erlebt. Zum Beispiel steht Amazon Bedrock auf einem weit entfernten dritten Platz (aber stetig wachsender Beliebtheit). Zu den Gründen, warum Bedrock weiterhin an Popularität gewinnt, gehören die große Modellvielfalt und der Ansatz zur Datensouveränität, der sicherstellt, dass Organisationsdaten isoliert, verschlüsselt, nur in den bevorzugten Regionen verarbeitet und niemals mit Dritten geteilt oder zum Training von Foundation-Modellen verwendet werden. Allerdings haben bestimmte Modelle modellspezifische Begriffe, daher sollten Organisationen die Nutzung von Plattformen, einschließlich Amazon Bedrock, modellweise prüfen. Dennoch erwarten wir, dass sich weiterhin Plattformen wie Bedrock bewegen, da Organisationen Datensouveränität priorisieren.

Diagramm mit den beliebtesten Plattform-Apps

Das lokale Ausführen von Modellen wird immer beliebter, da Organisationen zunehmend die Datensouveränität priorisieren und Cloud-Kosten senken wollen. 41 % der Organisationen (mehr als nutzen Bedrock, aber weniger als die OpenAI- und Claude-Plattformen) nutzen Ollama. Dieses beliebte Open-Source-Framework ermöglicht es Organisationen, Modelle lokal herunterzuladen und auszuführen. Nachfolgend eine Aufschlüsselung der Modellpopularität, die zeigt, dass Googles Gemma4 mit großem Abstand am beliebtesten ist, gefolgt von verschiedenen Versionen von Alibabas Qwen und Metas Llama. Wir erwarten in der zweiten Jahreshälfte eine deutliche Umstrukturierung in dieser Bestenliste, da die GLM-Modelle von Z.ai derzeit in den Benchmarks herausragen und an Beliebtheit gewinnen.

Tabelle mit den wichtigsten KI-Modellen in Ollama nach Prozentsatz der Organisationen

MCP: Schnell zunehmende Vernetzung

MCP, der Open-Source-Standard zur Verbindung von KI-Modellen mit externen Datenquellen und Werkzeugen, hat einen Anstieg der Nutzung erlebt, wobei die Nutzer um 250 % und die Transaktionen um 375 % zusteigen Die letzten 10 Wochen auche. Dieser Anstieg ist bedeutsam, weil er eine bedeutende Veränderung im Umfang und in Richtung von Verstößen gegen Datenrichtlinien vorantreibt, die wir im folgenden Abschnitt untersuchen. Darüber hinaus repräsentieren diese Statistiken nur die entfernte MCP-Nutzung, das heißt, der Agent verbindet sich mit einem MCP-Server, der im Internet gehostet wird, und nicht auf der lokalen Maschine oder im Netzwerk seiner Organisation. Zu den wichtigsten Clients, die zur Verbindung mit diesen MCP-Servern verwendet werden, gehören die zuvor in diesem Bericht erwähnten KI-Coding-Agenten (Claude Code und Codex).

Diagramm, das einen Anstieg der MCP-Akzeptanz im Laufe der Zeit zeigt

Verstöße gegen Datenrichtlinien: wachsendes Auftreten

Im vergangenen Jahr ist die Zahl der Upstream-Datenrichtlinien moderat gestiegen, wobei die durchschnittliche Organisation 69 pro Woche verzeichnete, gegenüber 44 pro Woche vor einem Jahr. Gleichzeitig haben die obersten 25 % der Organisationen im Laufe des Jahres erhebliche Schwankungen verzeichnet, verzeichnen aber weiterhin etwa 300 bis 400 Verstöße pro Woche, ähnlich wie im Vorjahr.

Diagramm zeigt durchschnittliche Upstream-Übertragungen sensibler Daten an KI-Apps, Median mit schattiertem Bereich für das 1. und 3. Quartile

Eine Aufschlüsselung der Arten von Verstößen zeigt, dass geistiges Eigentum, regulierte Daten und Quellcode für die überwiegende Mehrheit der Verstöße gegen Datenrichtlinien verantwortlich sind, wobei ein kleinerer Anteil Passwörter und Schlüssel betrifft (typischerweise eingebettet in Quellcode oder Konfigurationsdateien, die an KI-Apps gesendet werden).

Diagramm, das die Art der Verstöße gegen die Upstream-Datenrichtlinien von Apps zeigt

Der Trend bei Verstößen gegen Downstream-Datenrichtlinien im vergangenen Jahr unterscheidet sich deutlich von dem bei Upstream-Verstößen. Downstream-Verstöße treten zwar seltener auf als Upstream-Datenrichtlinien, haben sich aber im vergangenen Jahr von 12 auf 31 pro Woche mehr als verdoppelt. Unter den obersten 25 % der Organisationen ist diese Rate von 72 auf 206 pro Woche gestiegen. Der Anstieg erfolgt, während agentische KI und MCP zunehmend akzeptabel werden und KI-Apps zunehmend mit Datenquellen und Tools verknüpft werden, die sensible Daten offenlegen. Da die Einführung von MCP weiter wächst, erwarten wir, dass der Anteil der nachgelagerten Datenverletzungen im zweiten Halbjahr 2026 insgesamt steigen wird.

Diagramm zeigt durchschnittliche nachgelagerte sensible Datenübertragungen von KI-Apps, Median mit schattiertem Bereich für das 1. und 3. Quartile

KI-nahe Bedrohungen

Obwohl sich ein Großteil dieses Berichts auf die New KI-native Bedrohungen konzentriert, die am ehesten New Kontrollen erfordern, ist es dennoch wichtig zu betonen, dass die zunehmende Nutzung von KI Risiken durch traditionelle, KI-nahe Bedrohungen birgt. In diesem Abschnitt heben wir zwei solcher Bedrohungen hervor: KI-Köder und KI-Links.

Bösartige KI lockt an

Eine bösartige KI versucht, Opfer dazu zu bringen, Malware herunterzuladen oder eine bösartige Website mit gefälschtem Branding zu besuchen. Im vergangenen Jahr haben wir eine sechsmonatige Pause bei der Anzahl der KI-Köder erlebt, bevor sie im März stark anstiegen und bis Juli auf ähnlichem Niveau blieben. Jüngste Kampagnen, die KI-Lockmittel nutzen, umfassen unter anderem Gefälschte Installateure von KI-Apps und Trojanisierte Entwicklertools. Angesichts der anhaltenden Beliebtheit von KI und des organisatorischen Drucks, KI zur Produktivitätssteigerung zu nutzen, erwarten wir, dass Gegner weiterhin ausgeklügelte KI-Köder wie diese gefälschten Installateure entwickeln und weiterhin New Wege finden, KI-Softwareentwicklungspipelines zu kompromittieren, einschließlich weiterer Im Shai-Hulud-Stil Angriffe und das Erstellen bösartiger Pakete, um auf die Namen zu setzen, die KI-Modelle oft halluzinieren.

Diagramm, das Nutzer zeigt, die KI-Lockbedrohungen zeigen

Bösartige KI-Links
Ein bösartiger KI-Link ist ein bösartiger Link, der von einer KI-App zurückgegeben wird, den ein Nutzer anklickt oder der ein Agent besucht. Betrachten Sie dies als ähnlich wie einen bösartigen Link, auf den Nutzer klicken, wenn sie eine beliebte Suchmaschine wie Bing oder Google verwenden. Diese Links erscheinen entweder in den Suchergebnissen, weil der Angreifer SEO-Techniken anwendete, um seine bösartige Seite hoch zu ranken, bezahlt wurde, damit eine bösartige Anzeige in den Suchergebnissen verlinkt wurde, oder anderweitig eine harmlose Infrastruktur kompromittierte. In der KI-Welt hat sich die Technologie verändert, aber die Techniken bleiben bestehen. AIEO entsteht, da Techniken bekannt werden, um Ihre Inhalte von KI-Modellen positiv behandeln zu lassen, und Werbung findet ihren Weg in KI-Apps ein. Das Volumen dieser Bedrohungen schwankte im Laufe des Jahres erheblich, von weniger als 10 bis zu mehr als 90 pro Woche, und wir erwarten, dass die durchschnittliche Zahl in der zweiten Hälfte des Jahres 2026 trotz der aktuellen Flaute steigen wird.

Diagramm, das Nutzer zeigt, die bösartige KI-Empfehlungen zeigen

Sichtbarkeit, Verwaltung und Schutz

Um KI-Risiken zu managen, sollten Organisationen ihre Sicherheitsstrategien an weit verbreitete Frameworks wie MITRE ATLAS und die OWASP Top 10 für LLMs ausrichten. Diese Frameworks liefern einen kritischen Kontext: MITRE ATLAS ermöglicht es CISOs, die spezifischen Angriffe, die erkannt und blockiert werden, zu kontextualisieren, während das OWASP LLM Top 10 die Risiken auf Anwendungsebene klärt. Durch die Integration dieser Frameworks mit Echtzeitüberwachung können Sicherheitsteams die Durchsetzung von Richtlinien effektiv verfolgen, neue Bedrohungen erkennen und einen detaillierten Überblick über ihre KI-Risikolage erhalten, einschließlich Aufschlüsselungen nach Risikokategorie und Nutzeraktivitäten.

Aufbauend auf dieser strategischen Grundlage runden wir den Bericht ab, indem wir die Prinzipien dieser Rahmenwerke in eine taktische Roadmap abbilden, die auf jedes in dieser Arbeit definierte Risiko basiert. Während Sie diese risikospezifische Leitlinien lesen, werden Sie einige beständige Themen erkennen:

Sichtbarkeit: Die Bereitstellung eines zentralisierten KI-Gateways oder Proxys ist für alle KI-Interaktionen unerlässlich, einschließlich Schatten-KI, lokaler Infrastruktur und MCP-Verkehr.
Governance: Richtlinien müssen risikoorientiert und detailliert sein und die matrixbasierte Zulassung für Apps und Anwendungsfälle, Supply Chain Security Governance sowie die Einhaltung regionaler/rechtlicher Compliance-Anforderungen einbeziehen.
Schutz: Die Sicherheitslage muss geschichtet sein, mit Echtzeit-Datenverlustprävention (DLP), nicht-deterministischen semantischen Leitplanken, heuristischer Ausgabevalidierung und kontinuierlicher Verhaltensanalyse zur Erkennung von Signalen nach Kompromittierungen (z. B. Aufklärung, C2).

Im Folgenden haben wir spezifische Anforderungen an Transparenz, Governance und Schutz für jedes Risiko dargestellt und einen operativen Plan zur Minderung dieser Risiken in Ihrer Umgebung bereitgestellt.

Datenrichtlinienverletzung (vorgelagert)
Sichtbarkeit: Nutze ein KI-Gateway oder einen Proxy für alle KI-Interaktionen (insbesondere Schatten-KI).
Governance: Definieren Sie eine Matrix für Apps und genehmigte Anwendungsfälle mit Schwerpunkt auf Quellcode, regulierten Daten und geistigem Eigentum.
Schutz: Konfigurieren Sie Echtzeit-Datenschutzrichtlinien, die auf genehmigte Upstream-Anwendungsfälle abgestimmt sind.

Datenrichtlinienverletzung (nachgelagert)
Sichtbarkeit: Nutze ein KI-Gateway oder einen Proxy für alle KI-Interaktionen (insbesondere MCP).
Governance: Definieren Sie eine Matrix von Benutzergruppen und erforderlichen Zugriffsstufen zu sensiblen Daten.
Schutz: Konfigurieren Sie Echtzeit-Datenschutzrichtlinien, die mit genehmigten nachgelagerten Datenzugriffen abgestimmt sind.

Inhaltsfilterung
Sichtbarkeit: Nutze ein KI-Gateway oder einen Proxy für alle KI-Interaktionen (insbesondere Schatten-KI).
Governance: Richten Sie die Echtzeit-Textanalyse an Unternehmensrichtlinien im Personalwesen, rechtlichen Konformitätskriterien und regionalen Nutzungsrichtlinien (AUP) an.
Schutz: Nutzen Sie KI-Leitplanken mit Kontextbewusstsein und Keyword-Filterung.

Prompt Injection und Jailbreak
Sichtbarkeit: Verwenden Sie ein KI-Gateway oder einen Proxy für alle KI-Interaktionen (einschließlich lokaler Infrastruktur).
Governance: Vorschreiben, dass alle KI-Infrastrukturen vor der Einführung auf optimale Isolierung überprüft werden und Leitplanken einschließen.
Schutz: Setzen Sie nicht-deterministische semantische Leitplanken ein, gekoppelt mit Verhaltensanalysen, um selbst die subtilsten Versuche von prompter Injektion und Jailbreaks zu erkennen, und schichten Sie diese Kontrollen mit Datenschutzrichtlinien und der Überprüfung bösartigen Codes.

Anfragen nach sensiblen Daten
Sichtbarkeit: Nutze für alle KI-Interaktionen ein KI-Gateway oder einen Proxy (mit Audit-Logging aller Prompts).
Governance: Etablieren Sie Eigentums- und Isolationsrahmen, um miteinander verbundene Ressourcen zu begrenzen.
Schutz: Setzen Sie nicht-deterministische semantische Leitplanken ein, kombiniert mit Datenschutzrichtlinien und Verhaltensanalysen, um gegnerische Versuche zu erkennen, auf sensible Daten zuzugreifen.

Piraterie und Urheberrecht
Sichtbarkeit: Nutze ein KI-Gateway oder einen Proxy für alle KI-Interaktionen (der alle nachgelagerten Inhalte inspiziert).
Governance: Entwerfen Sie formelle Richtlinien zur Einhaltung geistigen Eigentums, die festlegen, welche KI-Modelle und Apps zur Generierung von Code, Text-Assets und anderen sensiblen Inhalten verwendet werden dürfen.
Schutz: Integrieren Sie heuristische Output-Validierungsprüfungen, die generierten Quellcode oder Prosa mit bekannten Open-Source-Signaturen und Markenindizes für KI-Antworten absuchen. Stellen Sie Richtlinien ein, um nicht genehmigte Anwendungsfälle zu begrenzen (wie zum Beispiel das Blockieren bestimmter Modelle zur Generierung von Quellcode).

Bösartiger Code
Sichtbarkeit: Nutze ein KI-Gateway oder einen Proxy für alle KI-Interaktionen (der alle nachgelagerten Inhalte inspiziert).
Governance: Setzen Sie eine Zero-Trust-Validierungsarchitektur für alle internen CI/CD-Pipelines vor, mit robuster Supply Chain Risk Governance.
Schutz: Neben dem Schutz vor Prompt Injection sollten Sie sicherstellen, dass alle Reaktionen von KI-Apps auf bösartigen Code überprüft werden, Threat Scanning in Ihre CI/CD-Pipelines integrieren und Verhaltensanalysen zur Erkennung von Post-Compromise-Signalen wie Aufklärung, C2 und Datenexfiltration einsetzen.

Über diesen Bericht

Die in diesem Bericht präsentierten Informationen basieren auf aggregierten Nutzungsdaten, die von der Netskope One -Plattform für eine Teilmenge Netskope Kunden von Juni 2025 bis Juli 2026 erhoben wurden.

Netskope AI Bericht: 2026

Zu einem Abschnitt springen

Zusammenfassung & Hauptergebnisse

Einführung

Kategorisierung von KI-Risiken

KI-Einführung: Anhaltendes Wachstum

Schatten-KI: Ein Plateau

Agentische KI: Ein Coding-Boom

KI-Plattformen und Datensouveränität

MCP: Schnell zunehmende Vernetzung

Verstöße gegen Datenrichtlinien: wachsendes Auftreten

KI-nahe Bedrohungen

Sichtbarkeit, Verwaltung und Schutz

Über diesen Bericht