Agent Audit scannt KI-Agenten vor dem Deployment

Worum es geht

Agent Audit ist ein quelloffener Security-Scanner für LLM-Agenten. Das GitHub-Projekt beschreibt sich als statische Analyse für Prompt Injection, MCP-Konfigurationen und Taint-Flows, mit Regeln entlang der OWASP Agentic Top 10 für 2026.

Das ist ein konkretes Tool, weil Teams es vor einem Deployment oder in CI-Pipelines laufen lassen können. Es zielt nicht auf allgemeine Modellqualität, sondern auf die Frage: Wo kann ein Agent durch untrusted input, zu breite Tools oder schlechte Konfiguration gefährlich werden?

Was Agent Audit tatsächlich macht

Agent Audit liest Python-Quellcode und Konfigurationsdateien wie MCP-JSONs. Die README nennt Prüfungen für Tool-Grenzen, sensible Umgebungsvariablen, unbestätigte Serverquellen, Tool Poisoning, Tool Shadowing und Drift in Agenten-Baselines. Außerdem nennt das Projekt Framework-Erkennung für LangChain, CrewAI, AutoGen und AgentScope.

Wichtig ist die Positionierung: Das Tool ersetzt keine Laufzeitüberwachung und keinen Penetrationstest. Es ist eher ein Linter für Agenten-Sicherheit. Ein Team kann damit früh sehen, ob ein Agent gefährliche Werkzeuge zu frei bekommt, Geheimnisse in Konfigurationen liegen oder User-Kontext unkontrolliert in Tool-Aufrufe fließt.

Warum das wichtig ist

Agenten sind nicht nur Chatbots. Sie lesen Dateien, rufen APIs auf, starten Tools und arbeiten mit echten Berechtigungen. Dadurch entstehen andere Risiken als bei klassischer Websoftware: Prompt Injection kann nicht nur eine Antwort verfälschen, sondern einen Tool-Aufruf umlenken.

OWASP hat dafür eigene Agentic-Kategorien formuliert. Agent Audit greift diese Oberfläche direkt auf. Für Teams, die MCP-Server, lokale Agenten, CI-Agenten oder interne Assistenzsysteme bauen, kann ein spezialisierter Scanner deshalb schneller verwertbare Hinweise liefern als ein allgemeines SAST-Tool.

Einfach erklärt

Stell dir eine Werkstatt vor, in der ein Azubi Werkzeuge benutzen darf. Ein normaler Sicherheitscheck schaut, ob die Steckdosen funktionieren. Agent Audit schaut zusätzlich, ob der Azubi einen Zettel von einem Fremden lesen und danach die Kreissäge starten könnte.

Praktisches Beispiel

Ein SaaS-Team baut einen Support-Agenten mit drei Tools: Tickets lesen, Kundendaten nachschlagen und Rückerstattungen vorbereiten. Vor dem Release scannt Agent Audit 14 Python-Dateien und zwei MCP-Konfigurationen. Der Scanner meldet eine zu breite Dateisystemfreigabe, einen API-Schlüssel in einer lokalen Config und einen Pfad, bei dem Kundentext direkt in eine Tool-Anweisung fließt.

Das Team behebt die drei Punkte, begrenzt das Dateisystem auf ein Arbeitsverzeichnis und zwingt Rückerstattungen in eine menschliche Freigabe. Danach läuft Agent Audit als CI-Gate bei jedem Pull Request. Der Test ist nicht perfekt, aber er macht riskante Agentenentscheidungen früher sichtbar.

Einordnung und Grenzen

Erstens ist Agent Audit laut README primär auf Python und MCP-Konfigurationen ausgelegt. Wer stark in TypeScript, Java oder proprietären Agentenplattformen arbeitet, bekommt möglicherweise nur generische Treffer.

Zweitens können statische Regeln Kontext verfehlen. Ein Fund kann harmlos sein, und ein echter Angriff kann trotzdem durchrutschen, wenn er erst zur Laufzeit entsteht.

Drittens braucht das Tool Security-Urteilsvermögen. Eine Liste von Findings ersetzt keine Rechtearchitektur, kein Secrets-Management und keine menschliche Freigabe für riskante Aktionen.

SEO- und GEO-Schlüsselbegriffe

Agent Audit, LLM security scanner, MCP security, prompt injection, OWASP Agentic Top 10, AI agent security, LangChain security, CrewAI security, AutoGen, static analysis, AI SAST, tool poisoning