MAS-KI-Risikomanagementrichtlinien: Warum Finanzinstitute Eindämmung benötigen

Ein Freund in Singapur erzählte mir, dass er etwa 30 Minuten vor seinem Flug am Flughafen Changi ankommt. Er geht direkt zu seinem Tor, passiert dort die Sicherheitskontrolle und steigt ein. Ich stieß ein hörbares Keuchen aus.

Ich hatte gerade Urlaub in Singapur verbracht, daher kann ich den Hype bestätigen. Changi ist der coolste Flughafen, den ich je besucht habe. Der Indoor-Wasserfall ist der offensichtliche Höhepunkt, also lassen Sie uns das klären. Darüber hinaus können Reisende zwischen Terminals umherwandern, in einer Bar abhängen oder ihren Kindern etwas Energie abbauen lassen.

Was mir jedoch im Gedächtnis geblieben ist, ist, wo die eigentliche Sicherheitskontrolle stattfindet. In den Terminals 1–3 befindet es sich am Gate selbst.

Viele Flughäfen kontrollieren alle einmal am Eingang und vertrauen dann der gesamten Halle. Changi setzt den Kontrollpunkt am Ziel. Das ist die Logik hinter Mikrosegmentierung, und Changi wendet sie seit Jahren an, ohne es so zu nennen.

Jetzt tauschen Sie die Passagiere gegen KI-Agenten. Sie sind bereits im Gebäude, bewegen sich zwischen den Systemen, haben Zugriff auf Daten und handeln eigenständig.

Die Finanzaufsichtsbehörde Singapurs hat dies bemerkt. In ihren neuen Leitlinien zum Risikomanagement künstlicher Intelligenz für Finanzinstitute warnt die Monetary Authority of Singapore (MAS), dass kompromittierte KI-Agenten mit Zugang zu internen Systemen "sensible Daten exfiltrieren oder bösartige Befehle in großem Maßstab ausführen" könnten.

Die Richtlinien erwarten, dass Unternehmen wissen, wo sich jedes KI-System befindet und wem es gehört. Dann zeigen sie auf das Gatter: Netzwerk-Segmentierung, Umgebungstrennung und Zugang mit minimalem Privileg.

Das ist die eigentliche Botschaft für Banken, Versicherer und Zahlungsfirmen. Leitplanken prägen, wie sich ein KI-Agent verhält. Die Eindämmung entscheidet, wie weit sie kommt, wenn eine Leitplanke versagt. MAS erwartet beides, und die Uhr läuft bereits.

Die MAS veröffentlichte die Richtlinien am 7. Oktober 2026. Sie treten in zwei Phasen in Kraft:

• 7. Oktober 2027: Aufsicht, KI-Identifikation, ein KI-Inventar und eine Risikobewertung für jeden Anwendungsfall
• 7. Oktober 2028: Lebenszykluskontrollen, einschließlich Technologie und Cybersicherheit

Es handelt sich um Erwartungen an die Aufsicht, die an die Größe jedes Unternehmens und die Nutzung von KI angepasst sind. Diese Flexibilität senkt die Messlatte nicht.

MAS-KI-Richtlinien lesen sich wie eine Sicherheitscheckliste

Die Technologie- und Cybersicherheitskontrollen werden jedem Sicherheitsteam vertraut vorkommen. Finanzinstitute sollten Folgendes in Betracht ziehen:

• Segmentierung des Netzwerks , in dem KI eingesetzt wird (Absatz 5.16(a))
• Trennung von Umgebungen und Anwendung von Least-Privileg-Zugriff auf das KI-System, einschließlich seiner APIs, Plugins und Drittanbieterdienste (Absatz 5.22(a))
• Steuerung von Plugins und APIs , damit sie keine Daten leaken können (Para 5.16(c))
• Sperren und Protokollieren des Zugriffs auf KI-Systeme, Modelle, Trainingsdaten und Pipelines (Absatz 5.23(d))
• Einen Kill-Switch für risikoreiche KI beibehalten (Absatz 5.23(b))

Die Richtlinien beschreiben, was zu beachten ist, und überlassen das Wie jedem Unternehmen. Dort beginnen die schwierigen Entscheidungen.

Leitplanken sind die Regeln. Das Tor ist die Durchsetzung.

MAS nimmt Leitplanken ernst. Absatz 5.15 besagt, dass Tests für generative KI und KI-Agenten "die Wirksamkeit der zugehörigen Leitplanken" abdecken sollten. Die Richtlinien nennen außerdem prompte Injektion und Datenvergiftung als Sicherheitsrisiken (Absatz 1.10).

Aber eine Leitplanke befindet sich in dem System, das sie überwachen soll. Leitplanken fangen das meiste schlechte Verhalten auf, aber einige kommen durch. Und die Eingabe eines Angreifers erreicht oft die Leitplanke genau in dem Moment, in dem sie das Modell erreicht.

Stellen Sie also die schwierigere Frage: Wenn ein Angreifer morgen die vollständige Kontrolle über diesen Agenten übernehmen würde, was könnte er erreichen? Diese Antwort ist deine tatsächliche Exposition.

Die Steuerungen, die Bestand haben, sind die, die ein Agent nicht überwinden kann. Ein Gate verlangt von einem Fahrgast nicht, sich zu benehmen. Sie öffnet sich einfach nicht für die falsche Bordkarte. Für einen KI-Agenten bedeutet das Durchsetzung außerhalb des Modells: Netzwerkpolitik und begrenzter Zugriff, die unabhängig davon gelten, wozu der Agent überzeugt wurde.

Ein Gate für jede Workloads: Mikrosegmentierung für KI-Agenten

Wie sieht ein Gate für einen KI-Agenten aus?

MAS nennt Netzwerksegmentierung und Zugang mit minimalen Privilegien. Mikrosegmentierung ist die Art und Weise, wie man beides durchsetzt, Workload für Workload. Jeder Teil eines KI-Systems erhält sein eigenes Gate, einschließlich der Anwendung, der gelesenen Daten, der aufgerufenen APIs und Plugins sowie der Systeme, die ein Agent erreichen kann. Kompromittiert man einen, entscheidet die Politik, wie weit er kommt. Idealerweise nicht weit.

Es gibt auch ein Sichtbarkeitsstück. Für KI-Agenten schlägt MAS vor, das Inventar "die Werkzeuge und Systeme, auf die der Agent zugreifen kann" aufzuzeichnen (Fußnote 25). Du kannst das nicht aufschreiben, geschweige denn durchsetzen, wenn du nicht siehst, wie deine Workloads miteinander kommunizieren. Sehen Sie zuerst, dann schreiben Sie die Police.

Die Illumio-Plattform übernimmt beide Hälften. Illumio Insights bietet Sicherheitsteams Echtzeit-, KI-gestützte Einblicke darin, wie Workloads über Rechenzentren, Clouds und endpoints hinweg kommunizieren. Illumio Segmentation verwandelt diese Sichtbarkeit in eine Politik, die Lateral Movement stoppt. Für KI-Workloads orientiert sich die Plattform an vier Stellen an den MAS-Richtlinien:

• Schau, womit deine KI spricht. Illumio Insights kartiert die realen Verbindungen zwischen KI-Anwendungen, Modellen, Datenspeichern und Drittanbieterdiensten, einschließlich derjenigen, die niemand dokumentiert hat. Das gibt dir einen faktischen Ausgangspunkt für das Inventar 2027. Es hilft auch, Shadow KI aufzudecken, wenn ein unbekannter Workload ein externes Modell oder eine API aufruft.
• Begrenze, was es erreichen kann. Illumio Segmentation wendet die Least-Privileg-Politik rund um jede KI-Komponente an. Ein Modell kann auf seine Trainingsdaten zugreifen, ein Agent kann die von ihm genehmigten Plugins aufrufen, und alles andere wird standardmäßig blockiert. Dazu gehört die Segmentierung des Netzwerks, in dem KI läuft, die Trennung von Umgebungen und das Verhindern von Plugins und APIs, die als leiser Ausgang für sensible Daten dienen.
• Verkleinere den Explosionsradius. Wenn eine Leitplanke versagt, beschränkt die Richtlinie ein Versagen auf einen Vorfall. Wenn ein hochriskantes KI-System schnell offline gehen muss, können Sie es isolieren, während die Untersuchung läuft. Das gibt den Kill-Switch, den MAS empfiehlt, einen Backstop auf Netzwerkebene.
• Zeig deine Arbeit. Die Vorgesetzten wollen Beweise. Verkehrsflussaufzeichnungen zeigen, welche Workloads mit Ihren KI-Systemen, Modellen und Daten verbunden waren und wann. Sie zeigen auch Red Teams, was eine kompromittierte Komponente erreichen könnte. Du kannst die Eindämmung genauso sorgfältig testen wie Leitplanken und die Ergebnisse speichern.

Vor dem Boarding-Aufruf: 5 Schritte zur Vorbereitung auf die MAS-KI-Richtlinien

Die Grundarbeiten sind für 2027 geplant. Die technischen Kontrollen folgen 2028. Keiner von beiden ist weit entfernt.

1. Kartieren Sie, womit Ihre KI verbunden ist. Ihre Bestands- und Risikobewertungen für 2027 benötigen Datensensitivität, Systemabhängigkeiten und für Agenten, worauf sie Zugriff haben.
2. Jage nach Schatten-KI. Fußnote 22 verweist auf Netzwerküberwachung und Datenverlustprävention zur Erkennung unbefugter Nutzung.
3. Testen Sie die Eindämmung entlang der Leitplanken. Absatz 5.22(b) fordert Penetrationstests und Red-Teaming über KI-Systeme hinweg. Frag, was eine kompromittierte Komponente erreichen könnte.
4. Fang dort an, wo das Risiko am höchsten ist. MAS skaliert seine Erwartungen an das Risiko an, also setzt Segmentierung und Least-Privilege-Zugriff zuerst auf Ihre risikoreichsten Anwendungsfälle.
5. Überprüfe die KI und Plugins von Drittanbietern. Absatz 5.16(c) ruft Steuerungen auf, die die Datenfreisetzung durch Plugins und APIs einschränken.

Die MAS-KI-Richtlinien laufen auf das Tor hinaus

Es ist verlockend, "Richtlinien" und eine Deadline für 2028 als Problem für später zu lesen. Doch die Arbeit für 2027 erreicht bereits Schatten-KI und KI, die in Anbieterdienstleistungen eingebettet ist. Und wenn die KI von einem Anbieter kommt, bleibt die Verantwortlichkeit bei der Institution.

Die Aufsichtsräte werden Unternehmen an diesen Erwartungen messen, und das Financial Stability Board hat weltweit ähnliche Praktiken konsultiert. In der Zwischenzeit warten Angreifer nicht auf ein Compliance-Datum, um die bereits in Ihrem Netzwerk vorhandenen Agenten zu verfolgen.

Changi hat das lange vor dem Auftauchen von KI-Agenten herausgefunden: Wissen, wer auf dem Manifest steht, und den Kontrollpunkt am Tor platzieren. Finanzinstitute können dieselbe Logik auf die bereits bestehenden Agenten anwenden.

Erfahren Sie mehr Illumio unterstützt Finanzinstitute Verhindern Sie Verletzungen, bevor sie sich ausbreiten.