Vor nicht allzu langer Zeit haben viele Unternehmen damit begonnen, KI-Agenten aktiv in eine Vielzahl von Workflows zu implementieren. Und schneller als gedacht sind die dadurch verursachten Kosten zu einem hei\u00dfen Eisen geworden. Das Problem betrifft jedoch nicht nur die Finanzabteilung. Neben Budgetproblemen stellen sich auch Fragen der Zuverl\u00e4ssigkeit, Betriebsstabilit\u00e4t und Informationssicherheit. Warum? Die Kosten f\u00fcr die Automatisierung ein und desselben Vorgangs k\u00f6nnen von Fall zu Fall erheblich variieren, sind unvorhersehbar und unterliegen externen Einfl\u00fcssen.<\/p>\n
Zudem ist f\u00fcr b\u00f6swillige Akteure, die es auf Unternehmen abgesehen haben, jeder KI-automatisierte Prozess, der anf\u00e4llig f\u00fcr externe Einfl\u00fcsse ist, ein attraktives Ziel f\u00fcr eine \u201eneue Art von DDoS-Angriffen\u201c. Berichte \u00fcber Anwendungsfehler, Produktbewertungen oder Supportanfragen k\u00f6nnen (wie alle externen Daten, die ein Unternehmen mit KI verarbeitet) als Mittel f\u00fcr einen Angriff dienen, um den Verbrauch von Token (Wortfragmenten, die als Grundeinheit f\u00fcr LLM-Eingaben und -Ausgaben dienen) in die H\u00f6he zu schrauben.<\/p>\n
Im Jahr 2026 haben gro\u00dfe Unternehmen ihre Budgets f\u00fcr KI-Systeme erstmals deutlich \u00fcberzogen. Uber hatte schon im April sein gesamtes Jahresbudget ausgegeben<\/a>. Ein ungenanntes Unternehmen hatte es vers\u00e4umt, ein Limit f\u00fcr Claude festzulegen, und erhielt f\u00fcr einen einzigen Monat eine Rechnung \u00fcber 500 Millionen Dollar<\/a>. Obwohl KI-Anbieter regelm\u00e4\u00dfig niedrigere Preise und effizientere Modelle ank\u00fcndigen, erh\u00f6ht der Wechsel von Chatbots zu kontinuierlich aktiven und autonomen Agentensystemen den Tokenverbrauch um das Hundert- oder Tausendfache<\/a>.\u00a0 Gleichzeitig ist das Modell der \u201ePauschal-Abos f\u00fcr 20 oder 100 Dollar\u201c f\u00fcr Unternehmen nicht mehr aktuell. Alle gro\u00dfen Anbieter rechnen bei Gesch\u00e4ftskunden inzwischen nach Verbrauch ab.<\/p>\n Deshalb stehen Unternehmen vor einem Problem, das aus der Cloud-Hosting- und Mobilfunkbranche wohlbekannt ist. Da es keine spezialisierten Abrechnungs- und Verwaltungssysteme gibt, erf\u00e4hrt ein Unternehmen die Kosten erst, nachdem ein bestimmter Prozess oder ein Projekt abgeschlossen ist. In den Sektoren Telekommunikation und Cloud wurde dieses Problem durch die Einf\u00fchrung ausgekl\u00fcgelter Abrechnungssysteme gel\u00f6st. Die Kunden wissen jetzt sogar, was der Begriff FinOps<\/a> bedeutet. F\u00fcr KI steckt dieser Prozess noch in den Kinderschuhen. Zus\u00e4tzlich versch\u00e4rft wird das Problem durch den Zufallscharakter der generativen KI.<\/p>\n Warum steigen die Kosten so rasant? Und warum sind sie so schwer vorherzusagen und zu kontrollieren? Um das zu verstehen, schauen wir uns noch einmal an, wie ein Sprachmodell funktioniert und wodurch es zu einem KI-Agenten wird. Das Modell ist \u201ezustandslos\u201c. Mit anderen Worten: Es speichert keine Informationen zwischen den Interaktionen. Jedes Mal, wenn der Agent den n\u00e4chsten Schritt ausf\u00fchrt, muss der gesamte Verlauf f\u00fcr eine bestimmte Aufgabe (der Kontext) erneut an das Modell gesendet werden: der urspr\u00fcngliche Prompt, die vorherige Begr\u00fcndung, der Inhalt von zuvor gelesenen Dateien und die Antworten, die aus verschiedenen Tools stammen. Diese \u201eRekapitulation\u201c wird mit jedem Schritt l\u00e4nger, insbesondere, wenn die Aufgabe wiederholte Zyklen beinhaltet. Wenn ein Schritt fehlschl\u00e4gt, die Antwort unklar ist oder ein Tool einen Fehler meldet, versucht es der Agent einfach noch einmal, und der Kontext wird dadurch noch umfangreicher. Falls die Aufgabe von mehreren Agenten ausgef\u00fchrt wird, die die Arbeit untereinander aufteilen und ihre Ergebnisse austauschen, multipliziert sich dieses Volumen noch einmal mit der Anzahl der Agenten. Infolgedessen steigt der Token-Verbrauch nicht allm\u00e4hlich, sondern schubweise an. Den Verbrauch zu Beginn der Aufgabe vorherzusagen ist fast unm\u00f6glich.<\/p>\n Wenn zwei verschiedene Sitzungen in einem KI-Agenten ausgef\u00fchrt werden, um genau dieselbe Aufgabe zu l\u00f6sen (z.\u00a0B. zwei Tickets f\u00fcr den technischen Support oder zwei Analyseaufgaben), kann die Anzahl der daf\u00fcr verbrauchten Token bis zum 30-Fachen (!)<\/a> variieren. Dies h\u00e4ngt davon ab, wie viele Schritte, Fehler und Wiederholungsversuche erforderlich sind, um die Aufgabe zu l\u00f6sen. Der h\u00f6here Ressourcenaufwand h\u00e4ngt nicht unbedingt von der Komplexit\u00e4t der Aufgabe ab. Es gibt bekannte F\u00e4lle, in denen die KI in einer \u201eGedankenschleife\u201c h\u00e4ngen blieb und eine absurde Menge an Ressourcen f\u00fcr triviale Aufgaben verschwendete.<\/a><\/p>\n Drei Generationen von KI verbrauchen ihre Ressourcen in Unternehmenssystemen auf v\u00f6llig unterschiedliche Weise:<\/p>\n LLM-Aufrufe sind deutlich teurer als typische Softwareaufrufe. Darum ist die Automatisierung routinem\u00e4\u00dfiger gesch\u00e4ftlicher Aufgaben mit ungew\u00f6hnlich hohen Kosten verbunden. Nach einer Sch\u00e4tzung<\/a> \u00a0von Gartner kostet die LLM-Bearbeitung einer Kundensupportanfrage ungef\u00e4hr 3 US-Dollar<\/a>. Angreifer k\u00f6nnten ein Unternehmen mit Tausenden von langen, ausgekl\u00fcgelten Anfragen bombardieren, die von einem billigen LLM generiert werden, und dem Opfer hohen finanziellen Schaden zuf\u00fcgen. Bei automatisierten Vorg\u00e4ngen dieser Art werden Anomalien m\u00f6glicherweise nicht sofort erkannt.<\/p>\n Wenn ein Angreifer wei\u00df, welches Agentensystem und welches LLM in einem Gesch\u00e4ftsprozess im Einsatz ist, kann er einen pr\u00e4zisen Angriff ausf\u00fchren und erheblich h\u00f6heren Schaden anrichten. Interessante Zahlen aus der GitInject<\/a>-Studie: Ein Angreifer, der es schafft, innerhalb eines Unternehmens, das KI-Agenten zur Fehleranalyse verwendet, GitHub-Probleme zu erstellen, kann mit einem einzigen Angriff (bevor die GitHub-Abwehrmechanismen ausgel\u00f6st werden) bis zu 111\u00a0\u20ac Schaden anrichten und 400\u00a0Minuten GitHub-Aktionen<\/a> aus dem Konto des Opfers \u201everbrennen\u201c. So ein Angriff kann nat\u00fcrlich mehrmals wiederholt werden, ohne dass es den Angreifer etwas kostet.<\/p>\n Das gr\u00f6\u00dfte Risiko ist finanziell nur schwer zu quantifizieren und geht von Angriffen aus, die LLMs zu \u00fcberfl\u00fcssigem Nachdenken anregen. In der Studie OverThink<\/a> demonstrierten die Autoren, dass eine harmlos klingende Aufgabe, die in ein Sprachmodell eingegeben wird, zwar ein korrektes Ergebnis liefert, dabei aber 46 (!) Mal mehr Token verbraucht, als sie sollte. Bei diesen Tests flutschten alle Aufgaben ungehindert durch die vorhandenen Sicherheitsfilter.<\/p>\nUnvorhersehbarer Verbrauch von Token<\/h2>\n
\n
Tokenomics bei Angriffen: Denial-of-Wallet als neues DDoS<\/h2>\n