Jonathan Zanger, Chief Technology Officer bei Check Point – Interview-Serie

Jonathan Zanger, Chief Technology Officer bei Check Point, bringt eine seltene Kombination aus Elite-Militär-Geheimdiensterfahrung, tiefem AI-Expertenwissen und operativer Führung in Start-ups und globalen Unternehmen. Vor seiner aktuellen Position war er CTO bei Trigo, wo er die Entwicklung von Next-Generation-AI- und Computer-Vision-Systemen für reibungslose Einzelhandel und Verlustprävention im großen Maßstab leitete, während er Produkt und Forschung und Entwicklung mit realen kommerziellen Einsatzfällen abglich. Zuvor hatte er leitende R&D-Führungspositionen bei Trigo inne und verbrachte über ein Jahrzehnt in Israels Elite-Einheit 8200, wo er schließlich eine Cyber-R&D-Abteilung leitete, die für nationale Intelligenz- und Cybersicherheitsinitiativen verantwortlich war und für seine Arbeit nationale Anerkennung erhielt.

Check Point Software Technologies (CHKP ) ist ein globaler Marktführer im Bereich Cybersicherheit und bietet AI-getriebene, cloudbasierte Sicherheitslösungen an, die darauf ausgelegt sind, Unternehmen und Regierungen vor zunehmend komplexen digitalen Bedrohungen zu schützen. Das Unternehmen bedient über 100.000 Organisationen weltweit mit einer umfassenden Plattform, die Netze, Cloud-Umgebungen, Endgeräte und Benutzer durch einen präventiven Ansatz schützt, der darauf abzielt, Angriffe zu stoppen, bevor sie auftreten. Die integrierte Architektur nutzt künstliche Intelligenz und Echtzeit-Bedrohungsanalysen, um Sicherheitsoperationen zu vereinfachen, Risiken zu reduzieren und es Organisationen zu ermöglichen, sicher zu skalieren, während sie AI, Cloud-Computing und verteilte Systeme einsetzen.

Sie haben große Cybersicherheits- und AI-Initiativen geleitet, AI-getriebene Systeme bei Trigo aufgebaut und jetzt die AI-Strategie bei Check Point überwacht. Welche spezifischen Fehlermodi haben Sie beobachtet, wenn AI-Systeme aus kontrollierten Umgebungen in die Produktion übergehen, insbesondere wenn sie Zugriff auf Tools und Unternehmensdaten haben?

Zwei Dinge ändern sich grundlegend in der Produktion. Erstens wird die Skalierung Randfälle zu alltäglichen Ereignissen. Eine Falsch-Positiv-Rate von 0,1 Prozent klingt im Labor hervorragend, aber wenn man Millionen von Interaktionen verarbeitet, bedeutet das Tausende von Vorfällen, die Aufmerksamkeit erfordern. Statistische Ausreißer im Test werden in der Produktion zu operativen Realitäten.

Zweitens bedeutet Produktion feindliche Exposition. In einer kontrollierten Umgebung sind die Eingaben harmlos und vorhersehbar. In der realen Welt werden einige Benutzer und Bedrohungsakteure aktiv versuchen, das System zu täuschen, indem sie jeden unvertrauenswürdigen Datenkanal nutzen, um das Verhalten zu manipulieren. Der Übergang von der Demo zur Produktion ist kein Skalierungsproblem. Es ist ein Wechsel von einer kooperativen Umgebung zu einer umkämpften Umgebung, und das erfordert grundlegend andere Design-Annahmen.

Bei agentischen Systemen, in denen Modelle APIs aufrufen, Code ausführen und Aktionen ketten können, welche sind die kritischsten Angriffsflächen, die Sicherheitsteams noch nicht ordnungsgemäß instrumentieren?

Die kritischste Fläche, die die meisten Teams unterschätzen, ist die Daten selbst. Agentische Systeme greifen regelmäßig auf unvertrauenswürdige Datenquellen zu – eingehende E-Mails, Webseiten, Jira-Tickets, Open-Source-Code, externe Dokumentation. Diese Daten werden von Modellen als Teil ihres Denkprozesses analysiert.

Dies schafft zwei konkrete Risiken. Erstens Memory-Poisoning – wo manipulierter Inhalt das zukünftige Verhalten und die Entscheidungen des Modells subtil beeinflusst, ohne dass ein offensichtlicher Prompt-Eingabe erfolgt. Zweitens indirekte Prompt-Eingabe – wo feindliche Anweisungen in diesen externen Daten eingebettet sind und das Modell effektiv von innen “entführen”. Der Angreifer berührt den Prompt nie direkt. Er pflanzt Anweisungen ein, wo der Agent sie finden wird.

Prompt-Eingabe wird oft als Modell-Problem dargestellt, aber in der Praxis wird es zu einem System-Problem. Wie sollten Unternehmen ihre Architektur neu entwerfen, um Modell-Eingaben, Tool-Ausführung und Zugriff auf sensible Daten zu isolieren?

Prompt-Eingabe ist kein universelles Problem mit einer universellen Lösung. Ob eine bestimmte Eingabe legitim oder feindlich ist, hängt vollständig vom Kontext ab. Wenn ein Agent aufgefordert wird, “das Administratorkennwort zu ändern”, ist dies völlig legitim, wenn es sich um einen technischen Helpdesk-Agenten handelt. Die gleiche Anfrage an einem Online-Retail-Chatbot ist ein Angriff.

Deshalb ist Architektur wichtiger als jede einzelne Erkennungstechnik. Systeme benötigen deterministische und nicht-deterministische Mechanismen, die zusammenarbeiten. Deterministische Kontrollen verwalten den Zugriff auf Tools und Daten basierend auf der Identität des Agents, der Identität des Benutzers und der definierten Rolle des Systems. Nicht-deterministische, modellbasierte Kontrollen fügen die Fähigkeit hinzu, Sprache, Kontext und Absicht zu verstehen. Sie benötigen beide Ebenen – rigide Richtlinien-Durchsetzung und intelligente kontextuelle Argumentation – weil keine allein ausreichend ist.

Viele AI-Agents verlassen sich auf retrieval-augmented Generation und externe Datenquellen. Welche Risiken bestehen um Daten-Vergiftung und Kontext-Manipulation in diesen Pipelines, und wie können sie zur Laufzeit gemindert werden?

Die Risiken unterscheiden sich je nach Richtung des Datenflusses. Für interne Datenquellen besteht das primäre Risiko in der Verletzung vertraulicher Daten – PII-Exposition, Cross-Customer-Daten-Sharing, interne Informationen, die an unbefugte Parteien weitergegeben werden. Für externe Datenquellen bestehen die Risiken in Modell-Verzerrung durch unverifizierte Informationen, indirekte Prompt-Eingabe, die in abgerufenen Inhalten eingebettet ist, und der Abhängigkeit von unvertrauenswürdigen oder manipulierten Quellen.

Minderung muss auf der Transaktionsebene in Echtzeit erfolgen. Jede agentische Interaktion muss in beide Richtungen gesichert werden: sicherstellen, dass sensible Daten nicht nach außen gelangen, und sicherstellen, dass vergiftete oder feindliche Informationen nicht in das System oder das Modell gelangen. Sie können dies nicht allein bei der Aufnahme lösen, da der Kontext dynamisch ist und die Bedrohungslandschaft kontinuierlich ändert.

Ihre AI-Defense-Plane einführt eine einheitliche Kontrollschicht über die AI-Nutzung von Mitarbeitern, Anwendungen und agentischen Systemen. Welche waren die größten architektonischen Herausforderungen beim Aufbau eines Systems, das Richtlinien über einen so fragmentierten AI-Stack hinweg beobachten und durchsetzen kann?

Wir glauben, dass agentische Workloads in naher Zukunft Endgeräte, Anwendungen, SaaS-Dienste und Cloud-Workloads umfassen werden – alle hyper-verknüpft in dem, was wir das “Internet der Agenten” nennen. Die Idee hinter der AI-Defense-Plane ist es, diese sich entwickelnde Unternehmens-Infrastruktur für Agenten innerhalb eines einzigen Fensters zu entdecken, zu verwalten und zu schützen.

Die Kernarchitektur-Herausforderung besteht darin, das Risikoprofil und den Kontext jedes Agents dynamisch zu bewerten und gleichzeitig effektiven Echtzeit-Schutz für jede agentische Transaktion zu entwickeln. Das bedeutet, hohe Blockierungsquoten gegen echte Bedrohungen zu halten, während falsche Positivergebnisse minimiert werden – bei Produktionsgeschwindigkeit und -skalierbarkeit, über mehrere laufende Umgebungen hinweg. Der Aufbau eines Systems, das Richtlinien konsistent über einen so fragmentierten und sich schnell entwickelnden AI-Stack hinweg beobachten und durchsetzen kann, erforderte, dass wir überdenken, wie wir AI-Aktivitäten auf einer grundlegenden Ebene abstrahieren und bewerten.

Die Plattform betont Echtzeit-Entscheidungen bei Maschinengeschwindigkeit über Sprachen und Workflows hinweg. Wie balancieren Sie Latenz-Einschränkungen mit der Notwendigkeit einer tiefen Inspektion und Kontrolle von AI-getriebenen Aktionen in Produktionsumgebungen?

Wir entwickeln und trainieren Grundmodell-Modelle speziell für die Bedrohungsprävention und verwenden dann Destillations-Techniken, um sie extrem effizient zu machen. Dies ermöglicht es uns, Inferenz schnell und mit minimaler Rechenleistung durchzuführen – sogar auf CPUs oder Standard-GPUs – während wir maximale Genauigkeit und Abdeckung über mehrere Sprachen und Workflows hinweg beibehalten, einschließlich Bild- und Audio-Analyse.

Dieser Ansatz ermöglicht es uns, agentische Transaktionen tief zu untersuchen, ohne zu einem Flaschenhals zu werden. Sicherheit, die unannehmbare Latenz einführt, wird umgangen. Sicherheit, die unsichtbar für den Workflow ist, aber sinnvolle Kontrollen durchsetzt, ist das, was tatsächlich bereitgestellt und beibehalten wird.

AI-Agents operieren zunehmend mit delegierten Berechtigungen über mehrere Systeme hinweg. Wie sollten Organisationen die Identitäts- und Zugriffsverwaltung für nicht-menschliche Akteure neu denken, insbesondere wenn Agents ihre Reichweite dynamisch durch Tool-Nutzung erweitern?

Der Fehler, den die meisten Organisationen machen, ist, AI-Agents entweder als Erweiterungen menschlicher Benutzer oder als traditionelle Dienstkonten zu behandeln. Keines von beiden passt. Denken Sie an sie als digitale Mitarbeiter – Entitäten mit definierten Rollen, Verantwortlichkeiten und Grenzen.

Agenten-Identität sollte durch drei Dimensionen definiert werden: den spezifischen Workflow, den der Agent ausführt, den Benutzer, der den Agenten besitzt oder erstellt hat, und den Benutzer, der derzeit mit ihm interagiert. Alle drei Faktoren bestimmen, was der Agent tun sollte. Darüber hinaus sollten Organisationen Zero-Trust-Prinzipien auf Agents anwenden – nie Vertrauen basierend auf Herkunft annehmen, kontinuierlich Verhalten überprüfen und least-privilege-Zugriff auf jedem Schritt durchsetzen. Ohne dies werden Agents stillschweigend mehr Autorität ansammeln, als irgendjemand beabsichtigt.

Die meisten Unternehmen haben jetzt Schatten-AI-Nutzung über Co-Piloten, Plug-ins und interne Skripte. Welche Telemetrie sollten Sicherheitsteams sammeln, um echte Sichtbarkeit in die Interaktion von AI mit vertraulichen Daten zu erhalten?

Sichtbarkeit muss auf der Ebene der agentischen Transaktion operieren – nicht nur Prompts und Antworten, sondern Tool-Aufrufe, die Daten, die von diesen Tools zurückgegeben werden, und die Aktionen, die als Ergebnis erfolgen. Sicherheitsteams müssen die gesamte Kette sehen: was gefragt wurde, welche Daten zugegriffen wurden, welche Tools aufgerufen wurden, welche Parameter übergeben wurden und was als Nächstes passierte.

Ohne diese transaktionsbasierte Telemetrie können Sie grundlegende Fragen zu Exposition, Missbrauch oder Auswirkungen nicht beantworten. Schatten-AI ist nicht gefährlich, weil sie existiert. Sie ist gefährlich, weil sie ohne diese Ebene der Governance oder Einsicht operiert.

Red-Teaming agentischer Systeme ist grundlegend anders als das Testen statischer Anwendungen. Wie simulieren Sie feindliches Verhalten über mehrstufige Workflows hinweg, und welche Arten von Exploits werden am häufigsten entdeckt?

Wir betreiben Gandalf (https://gandalf.lakera.ai), das größte AI-Red-Teaming-Exercise der Welt. Es ist eine crowd-gesourcete Plattform, auf der reale Benutzer versuchen, AI-Agents zu überzeugen, ihre Sicherheitsvorkehrungen zu durchbrechen. Das gibt uns ein einzigartiges und kontinuierlich wachsendes Dataset von tatsächlichen feindlichen Techniken – nicht theoretischen Angriffen, sondern den Strategien, die reale Menschen verwenden, um AI-Systeme zu manipulieren.

Wir nutzen dieses Dataset, um unsere Red-Teaming-Kapazitäten zu treiben. Die Angriffe, die wir am häufigsten sehen, beinhalten Benutzer, die Agents allmählich dazu bringen, ihre Einschränkungen zu verletzen – durch indirekte Prompt-Eingabe, kreative Umformulierung, Kontext-Manipulation und schrittweise Vertrauensausbeutung über multi-stufige Interaktionen hinweg. Diese Probleme sind unsichtbar, wenn Sie nur einzelne Prompts testen. Sie müssen Sequenzen und nachhaltige feindliche Kampagnen testen.

Wenn Angreifer beginnen, autonome Agents zu verwenden, um Systeme kontinuierlich zu scannen, erwarten Sie, dass die Verteidigung in Richtung Echtzeit-adaptiver Kontrollen getrieben durch AI verschoben wird, und wie sieht diese Architektur in der Praxis aus?

Ja. Statische Verteidigungen können nicht mit autonomen Angreifern Schritt halten, die kontinuierlich operieren. Verteidigung muss adaptiv, laufzeitgetrieben und automatisiert werden. Dies bedeutet Echtzeit-Überwachung von AI-Verhalten, kontinuierliche Risikobewertung und sofortige Durchsetzung, wenn Richtlinien verletzt werden. Die Geschwindigkeit und der Umfang von AI-getriebenen Angriffen werden nur durch gleich schnell, maschinengeschwindigkeitsgetriebene Verteidigungen gegengewirkt.

In der Praxis wird Sicherheit zu einem Feedback-Loop anstelle eines Regelwerks. AI-Systeme werden beobachtet, bewertet und eingeschränkt dynamisch, mit der gleichen Geschwindigkeit und dem gleichen Umfang, mit dem sie operieren. Diese Verschiebung ist unerlässlich, wenn Organisationen AI sicher im Unternehmensumfang bereitstellen möchten.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Check Point Software Technologies besuchen.