Stoppen und kappen: CrowdStrike stellt KI-Killswitch vor

CrowdStrike stellt einen KI-Killswitch auf seiner Hausmesse Fal.Con Europe vor: Wenn ein Agent von seinem vorgesehenen Verhalten abweicht, sollen Verteidiger ihn direkt dort beenden können, wo er läuft. Gleichzeitig soll ein Neustart des Agenten verhindert und ihm der Zugang zum Unternehmensnetz entzogen werden. Ab sofort verfügbar ist in der Falcon-Guardian-Plattform zunächst die Sperre über KI-Gateways.

Funktionsweise

Dass es gar nicht so leicht ist, KI-Agenten einfach abzuschalten, führte Dr. Eldar Sultanow erst kürzlich in einem Artikel im iX-Magazin aus. Das Problem: Agenten sind keine Prozesse, sondern ein bewegliches Ziel, was es schwierig macht, sie per Signal anzusteuern. Ein Not-Aus-Schalter ist daher in erster Linie eine architektonische Herausforderung.

CrowdStrike setzt das wie folgt um: Wenn ein berechtigter Administrator den Killswitch ausgelöst hat, weist Falcon Guardian die angebundenen KI-Gateways an, den Zugriff auf die Modelle zu sperren, mit denen die Agenten entscheiden und handeln. Das kann das inzwischen allgemein verfügbare Falcon AI Gateway sein oder ein Gateway eines Drittanbieters, das schon im Einsatz ist. Das hauseigene Gateway ist ohne Aufpreis im Falcon Guardian enthalten. Das sperrt zwar den Zugriff, Prozesse des Agenten können aber noch auf dem Endgerät weiterlaufen. Laut Pressemitteilung soll ein Stopp am Endgerät auch noch kommen, einen Termin dafür gibt es noch nicht.

Händisches Auslösen

Der von CrowdStrike vorgestellte Killswitch ist allerdings kein Not-Aus, das automatisch greift, wenn Agenten beispielsweise verdächtige Handlungen vornehmen. Es braucht immer noch Sicherheitsverantwortliche, die den Killswitch betätigen. Dafür gibt CrowdStrike ihnen seinen Agent Graph an die Hand, der KI-Absichten aufschlüsselt: welchen Auftrag ein Agent erhalten hat, was er tatsächlich getan hat und welche Systeme oder Ressourcen davon betroffen sind.

Dazu gehört auch das Falcon Guardian Agent Inventory, das die ganze KI-Agenten-Flotte zeigt. Für „supported agents“, also Agenten, die über offizielle Hooks verfügen und sich bei Falcon Guardian melden, gibt es dann eine entsprechende Bestandsaufnahme aus Nutzern, Installationen, Sessions, Modellen, Tools, Skills und den verbundenen MCP-Servern. Das sind unter anderem Claude Code, Codex, Cursor oder GitHub Copilot.

Diese Hooks sind aber auch nicht völlig wasserdicht. OpenAI schreibt beispielsweise in der Dokumentation zu Codex selbst, dass Hooks eine nützliche Leitplanke, aber keine harte Sicherheitsgrenze seien. In dem Kontext ging es darum, dass gehostete Tools wie WebSearch den lokalen Hook-Pfad nicht benutzen. Falcon Guardian schaut sich deshalb auch die Endpunkte an und verlässt sich nicht nur auf die „KI-Telemetrie“.

Charlotte AI als Automatisierung?

Künftig will CrowdStrike den Killswitch auch automatisch auslösen lassen. Das soll über Charlotte Agentic SOAR laufen. Das Werkzeug selbst ist nicht neu, CrowdStrike hatte das Modul der Falcon-Plattform im November 2025 vorgestellt, als Schicht auf dem älteren Falcon Fusion SOAR, einer Workflow-Engine, mit der Sicherheitsteams Reaktionen auf Vorfälle automatisieren können.

Im Gegensatz zu Falcon Fusion SOAR verfügt Charlotte Agentic SOAR aber auch über eine KI-Schicht – Charlotte AI –, die mehrere aufgabenbezogene Agenten koordiniert. Fusion SOAR ist für Kunden ohne Aufpreis verfügbar, Charlotte Agentic SOAR hat dagegen kostenpflichtige Pakete mit Credits. Das regelkonforme Verhalten von KI-Agenten würde damit also unter anderem wiederum mit KI-Agenten überprüft.

Für das vierte Quartal seines Geschäftsjahres, also bis Ende Januar 2027, plant CrowdStrike die Agent Insider Threat Detection, die das normale Verhalten jedes KI-Agenten und seines Verantwortlichen lernen und Abweichungen melden soll, auch wenn keine Richtlinie verletzt wird. Ebenfalls für das vierte Quartal angekündigt sind Erkennungen für den Missbrauch von LLM-Schnittstellen, gestohlene API-Schlüssel und kompromittierte Coding-Assistenten, MCP-Server und Agenten-Frameworks.