Beyond Zero: Enterprise security for the AI era

Kernpunkte

1. Datum / Quelle. 20. Juli 2026, ACM Queue Bd. 24 Nr. 3, CC BY 4.0, verfasst von Joseph Valente (Alphabet Security) und Michal Zalewski. Eine einzige bibliografische Referenz: das BeyondCorp-Whitepaper von 2014.
2. Zentrale Einordnung. Die Anwendungsgrenze erreicht das Ende ihrer Lebensdauer. Klassisches Zero Trust verlagerte das Vertrauen vom Netzwerk auf Identität und Gerät, behielt aber die Anwendung als Einheit der Autorisierung bei — eine zu grobe Einheit, sobald der Zugreifende in Sekunden über einen gesamten Korpus räsonieren kann. Die neu vorgeschlagene Einheit ist die einzelne Aktion an der einzelnen Ressource, unabhängig vom Zugriffspfad (Frontend, API, MCP). ### Die drei BeyondCorp-Annahmen, die der Artikel aufgibt 1. Zugreifende sind Menschen. 2. Aktionen erfolgen in menschlichem Tempo. 3. Die Anwendung ist die richtige Vertrauensgrenze. Jede fällt aus einem anderen Grund: Das ist kein Patch, das ist ein Modellwechsel. ### Die vier Komponenten, in der Reihenfolge der Schleife | # | Komponente | Inhalt | |---|-----------|---------| | 1 | Autonome Governance | nutzt KI, um ein lebendiges Unternehmensweltmodell aufzubauen — Wer (Funktion, Rolle, Dienstalter, kontrollierender Mensch bei einem Agenten), Was (semantisches Verständnis der Datensensibilität), Wie (Zuweisungen, Nutzungs- und Freigabemuster). Gespeist aus HR- und Projektmanagement-Data-Warehouses. Explizite Analogie zum Weltmodell eines selbstfahrenden Autos | | 2 | Event Intake | Serversignale (Proxys, APIs, Produktivitäts-Apps), Clientsignale (Browserzustand, lokaler Dateizugriff, Prozessaktivität, DLP) und Agentenaktivität (Prompts, Ausführungspläne, Tool-Aufrufe). Hot Cache für die Bewertung zum Zugriffszeitpunkt, Langzeitspeicher für langsame Inferenz | | 3 | Reasoning Engine | hierarchische KI, verteilt über Server/Endpunkte. Schnell: granulares ABAC, blockiert zum Zugriffszeitpunkt. Langsam: komplexe Anomalien (ein Nutzer greift auf 500 % mehr Dateien zu als seine Vergleichsgruppe). Urteil allow / deny / challenge, wobei die Entscheidungen selbst zu Attributen werden, die nachgelagert wiederverwendet werden | | 4 | Challenge-Infrastruktur | reversible Challenges (Begründung, Tippen auf den Sicherheitsschlüssel, Genehmigung durch die Führungskraft, Selfie) gegenüber dauerhaften Containments, die mitunter erst nach der Befragung des Mitarbeitenden und dessen Vorgesetzten aufgehoben werden | ### Der Gestaltungsgriff: Boden / Decke Statische Richtlinien = der Boden (Sicherheits- und Compliance-Grundlinie, statisch verifizierbar); dynamische reasoning engine = die Decke. Explizite Begründung: Dies ermöglicht dynamisches Verhalten, „ohne zu einem vollständig dynamischen, statisch kaum verifizierbaren Modell überzugehen." Die gesamte Sicherheitsentscheidung wird nicht dem Modell überlassen. Dieselbe architektonische Figur wie der Constraint Ring in [[sfeir-code-review-anneau-contraintes-2026-07-30]]. ### Der benannte Angriffsvektor „Die Ausnutzung von Ambient Authority, bei der einem Agenten die vollen, oft überprovisionierten Berechtigungen seines menschlichen Nutzers gewährt werden." Das ist der Mechanismus, durch den eine Prompt Injection zu einer Exfiltration wird: Der Agent muss keine Rechte eskalieren, er hat bereits zu viele. Die vorgeschlagene Gegenmaßnahme ist kein Filter auf dem Prompt, sondern eine Prüfung der Absichtskonsistenz — „User Intent + Agent Intent können interpretiert und geprüft werden, um die Übereinstimmung sicherzustellen," und „Der menschliche Akteur muss bestätigen, dass der vom Agenten versuchte Zugriff vom Menschen beabsichtigt ist." ### Das SalesGenie-Beispiel, direkt verwendbar Ein interner Agent, der zum Lesen von Verkaufsberichten autorisiert ist, fragt ein strategisches Planungsdokument ab. | Modell | Urteil | Grund | |---|---|---| | BeyondCorp | ALLOW | gültiges Zertifikat, autorisierte Maschine, beide Identitäten dürfen Verkaufsberichte lesen | | Beyond Zero | CHALLENGE, dann CONTAIN | der Mensch, der den Prompt ausgelöst hat, arbeitet nur an Konten der Region Nordost, die Daten sind Top-Tier (Insiderhandelsrisiko), die Richtlinie verlangt eine gültige Arbeitszuweisung | Dreistufige Intervention: Bestätigung der Absicht durch den Menschen, Genehmigungsanfrage an das zuständige Team, Containment. „In der überwiegenden Mehrheit der Fälle wird die Entscheidung zum Containment autonom getroffen." ### Die eigentliche Wette der Architektur „Inferenzaufgaben müssen vorgelagert werden": Latenzbudgets zum Zugriffszeitpunkt schließen Ad-hoc-Reasoning aus, sodass fast alles vorab berechnet werden muss. Die Qualität der Zugriffskontrolle wird dann exakt gleich der Qualität der HR- und Projektmanagementdaten. Das Attribut „Arbeitszuweisung", das im SalesGenie-Beispiel über den Zugriff entscheidet, setzt ein Niveau an Datenhygiene voraus, das nur wenige Organisationen erreichen. Der erste Punkt, der in jedem Transpositions-Workshop anzusprechen ist. ### Vorbehalte
3. Visionspapier, keine Kriegsgeschichte. keine Produktionsmetriken, keine Falsch-Positiv-Rate, keine Bereitstellungsgröße, keine Latenzangaben — während [[uber-engineering-agent-identity-crisis-zero-trust-spire-2026-05-21]] zwei Monate zuvor eine P99 < 40 ms und Tausende von Agenten im Produktionseinsatz veröffentlicht hatte.
4. Interne Inkonsistenz um Größenordnungen. Die Problemstellung spricht von „Dutzenden Millionen gleichzeitiger maschinengesteuerter Aktionen pro Sekunde," während Abstract und Fazit von „Tausenden Entscheidungen pro Sekunde" sprechen — eine Lücke von vier Größenordnungen. Beide Zahlen nicht ohne diesen Hinweis gemeinsam zitieren.
5. Unbelegte Zahlen. „KI-Agenten greifen mit der zehnfachen Geschwindigkeit von Menschen auf Daten zu," eine zentrale Behauptung, ohne Beleg.
6. Kosten von Falsch-Positiven nicht quantifiziert. Der Artikel behauptet, dass nur ein „winziger Prozentsatz" der Containments zu einer menschlichen Überprüfung eskaliert würde, ohne Daten dafür vorzulegen. Das Containment eines unschuldigen Mitarbeitenden kostet jedoch ein Sicherheitsgespräch mit dessen Vorgesetztem; in der Fläche entscheidet genau diese Quote darüber, ob das Modell einsetzbar ist.
7. Die Zirkularität wird nicht untersucht. Das System, das gegen KI-getriebene Angriffe verteidigt, ist selbst eine KI-reasoning engine. Keine Erwähnung von Angriffen gegen die reasoning engine — Vergiftung der HR-Daten, die das Weltmodell speisen, Injektion in semantisch analysierte Dokumente, langsame Manipulation der eigenen Verhaltensbaseline. ### Der blinde Fleck bei europäischen Belangen Das beschriebene System ist auch ein Überwachungsapparat für Mitarbeitende: ein Selfie als Nachweis, am eigenen Rechner zu sitzen, clientseitige Signale, Verhaltens-Baselining gegenüber der Vergleichsgruppe, und die Ableitung aus HR-Daten dessen, was der Mitarbeitende eigentlich tun sollte. Kein Wort zur DSGVO, zur Verhältnismäßigkeit, zur Information von Arbeitnehmervertretungen oder zu der Tatsache, dass ein Containment, das erst nach Befragung des Mitarbeitenden und dessen Vorgesetzten aufgehoben wird, arbeitsrechtliche Implikationen hat. Das ist das erste Transpositionshindernis, und es fehlt im Text. ### Der Aufruf an die Branche, nützlich als Lesegitter für kommende Angebote 1. Offene Architekturen — standardisierte APIs für Agenten-Introspektion, ein standardisiertes Mittel, um Chain-of-Thought und Tool-Nutzung in Echtzeit zu analysieren. 2. Standards für agentische Identität — Annotationen, die jede Aktion einem Agenten + einem kontrollierenden Nutzer + einer Aufgabe zurechenbar machen. 3. Externalisierte Entscheidungs-Frameworks — einen von der Kundenorganisation betriebenen Punkt zur Richtlinienauswertung zu einem First-Class Citizen jedes SaaS-Produkts zu machen. Die politisch schwerste Forderung: Sie verlangt von Anbietern zu akzeptieren, dass ein Dritter über den Zugriff innerhalb ihres eigenen Produkts entscheidet. NIST hat eine Initiative zur Agentensicherheit gestartet. ### Einordnung BeyondCorp (2014) war kein Produkt, sondern eine Publikation, die eine Kategorie schuf — ZTNA/SASE, die innerhalb eines Jahrzehnts zu einem Markt wurde. Beyond Zero wiederholt denselben Zug: früh veröffentlichen, unter CC BY, in einer Fachzeitschrift für Praktiker, mit einem Aufruf zur Standardisierung. Es ist ebenso als marktstrukturierendes Dokument wie als Architektur zu lesen. Veröffentlicht einen Tag vor Anthropics Aufsatz zu dessen sicherem SDLC — [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]: Anthropic sichert die Codeproduktion durch Agenten ab, Google sichert den Zugriff von Agenten auf Daten. Abgrenzung: Das Unternehmensweltmodell dieses Artikels (eine lebendige Repräsentation der Organisation, die der Autorisierung dient) steht in keinem Zusammenhang mit den generativen world models von Google DeepMind, auch wenn beide von Google stammen. Derselbe Ausdruck, unterschiedliche Objekte — im Graphen nicht zusammenführen.