Künstliche Intelligenz wird gerade vom Chatbot zum digitalen Mitarbeiter. KI-Agenten können inzwischen Code schreiben und ausführen, Dateien öffnen, Programme und Tools verwenden, auf Zugangsdaten zugreifen oder selbstständig Aufgaben erledigen. Hier bietet Bitdefender AI Guardian einen neuen Lösungsansatz an.
Das neue Sicherheitsprodukt soll nicht den Menschen oder den eigentlichen KI-Chatbot schützen, sondern kontrollieren, was ein autonomer KI-Agent tatsächlich auf dem Computer tun darf. Das Konzept ist interessant, denn klassische Virenschutzprogramme sind nicht speziell dafür entwickelt worden, Entscheidungen eines KI-Agenten während seiner Arbeit zu überwachen.
Allerdings gibt es einen wichtigen Haken, zumindest für Windows und Linux-Anwender, denn AI Guardian ist derzeit nur für macOS als kostenlose Open Beta verfügbar. Eine Windows-Version ist aber geplant, nur aktuell noch nicht verfügbar.
Was ist Bitdefender AI Guardian?
AI Guardian ist eine zusätzliche Sicherheitsebene zwischen einem unterstützten KI-Agenten und den Ressourcen, auf die dieser zugreifen möchte.
Bitdefender will damit eine Lücke adressieren, die durch sogenannte Agentic AI entsteht. Ein normaler Chatbot beantwortet hauptsächlich Fragen. Ein KI-Agent kann dagegen eigenständig Aktionen durchführen.
Ein Agent kann beispielsweise:
- Dateien lesen oder verändern
- Shell- oder andere Befehle ausführen
- externe Dienste und Tools verwenden
- über MCP mit weiteren Anwendungen kommunizieren
- Skills installieren und ausführen
- auf API-Schlüssel oder andere Zugangsdaten zugreifen
Das macht solche Agenten wesentlich leistungsfähiger als einen klassischen Chatbot. Gleichzeitig entsteht aber auch ein mitunter erhebliches neues Sicherheitsproblem: Was passiert, wenn der Agent durch eine manipulierte Information zu einer Aktion gebracht wird, die der Benutzer eigentlich gar nicht wollte? Es gibt aktuell ja genug Meldungen über bedenkliche KI-Aktivitäten.
Warum ein normaler Virenscanner hier nicht unbedingt ausreicht
Das Problem lässt sich an einem einfachen Beispiel erklären: Du gibst einem KI-Agenten Zugriff auf dein Projektverzeichnis und erlaubst ihm, bestimmte Befehle auszuführen. Das ist zunächst völlig legitim. Der Agent soll schließlich selbstständig programmieren, Dateien verändern und beispielsweise Tests starten können.
Jetzt enthält aber eine Webseite, ein Dokument oder ein verwendetes Tool eine versteckte Anweisung. Diese sogenannte Prompt Injection könnte versuchen, den Agenten dazu zu bringen, zusätzlich eine vertrauliche Datei zu öffnen oder einen Zugangsschlüssel zu verwenden.
Der Computer muss dabei nicht unbedingt mit klassischer Malware infiziert sein. Das Problem ist vielmehr, dass ein grundsätzlich legitimer KI-Agent zu einer unerwünschten Handlung manipuliert wird und genau diese Ebene möchte Bitdefender mit AI Guardian überwachen, denn normale AV-Logik greift hier nicht ohne Weiteres.
AI Guardian kontrolliert die Aktionen des Agenten
Bitdefender beschreibt dafür ein relativ einfaches Prinzip. Der Benutzer legt zunächst fest, welche Tools, Dateien und Aktionen der Agent verwenden darf. Wenn der Agent anschließend eine Aktion durchführen möchte, überprüft AI Guardian diese gegen die festgelegten Regeln.
Das Ergebnis kann drei Zustände haben:
- Allowed: Die Aktion darf ausgeführt werden.
- Flagged: Die Aktion wird als auffällig gekennzeichnet und kann überprüft werden.
- Blocked: Die Aktion wird verhindert.
Damit entsteht eine Art Sicherheitskontrolle zwischen dem KI-Agenten und dem Betriebssystem beziehungsweise den von ihm verwendeten Ressourcen.
Prompt Injection, MCP und Skills im Visier
Bitdefender konzentriert sich dabei auf mehrere neue Angriffsmöglichkeiten.
Prompt Injection – bei einer Prompt Injection versucht eine manipulierte Anweisung, das Verhalten des KI-Modells beziehungsweise des Agenten zu verändern. Die Anweisung kann beispielsweise in einer Webseite, einem Dokument oder einer Tool-Beschreibung versteckt sein.
AI Guardian soll solche Manipulationsversuche erkennen und insbesondere die daraus resultierenden Aktionen kontrollieren.
MCP-Tools
Eine wichtige Rolle spielt das Model Context Protocol (MCP). Darüber können KI-Agenten standardisiert mit externen Tools und Diensten kommunizieren.
Das ist praktisch, erweitert aber gleichzeitig die Angriffsfläche. Ein manipuliertes oder kompromittiertes MCP-Tool könnte versuchen, einen Agenten zu einer unerwünschten Aktion zu bewegen.
AI Guardian überprüft deshalb auch MCP-Verbindungen und kann nicht vertrauenswürdige beziehungsweise problematische Server kennzeichnen.
Agent Skills
Auch sogenannte Skills werden berücksichtigt. Dabei handelt es sich vereinfacht gesagt um Erweiterungen, mit denen ein KI-Agent zusätzliche Fähigkeiten erhält.
Bitdefender kann solche Skills lokal untersuchen und beispielsweise nach versteckten Anweisungen, Zugriffen auf Geheimnisse oder potenziell gefährlichen Befehlen suchen.
Auch Zugangsdaten und sensible Dateien werden berücksichtigt
Besonders interessant finde ich den Umgang mit Zugangsdaten. Ein KI-Agent, der programmieren soll, kann durchaus Zugriff auf verschiedene Dateien benötigen. Gleichzeitig sollte er aber natürlich nicht automatisch an private SSH-Schlüssel, Cloud-Zugangsdaten oder API-Tokens gelangen.
AI Guardian kann bestimmte Speicherorte mit solchen Zugangsdaten von vornherein für den Agenten sperren. Bitdefender nennt unter anderem SSH-Schlüssel, Cloud-Credentials und Tokens als Beispiele.
Damit wird aus dem klassischen „Darf diese Anwendung laufen?“ ein wesentlich differenzierteres „Darf dieser KI-Agent genau diese Datei mit genau diesem Tool öffnen?“.
Alles wird lokal protokolliert
Die Aktionen werden in einem verschlüsselten lokalen Audit-Log aufgezeichnet. Dadurch lässt sich später nachvollziehen, welche Aktionen geprüft, erlaubt, markiert oder blockiert wurden.
Die aktuelle Beta-Dokumentation geht hier sogar recht weit: Über die Kommandozeile lässt sich der Audit-Verlauf durchsuchen. Auch gespeicherte Ausnahmeregeln und MCP-Server können dort verwaltet werden.
Für Entwickler ist das durchaus interessant. Man kann dadurch nicht nur sehen, dass eine Aktion blockiert wurde, sondern auch nachvollziehen, warum AI Guardian diese Entscheidung getroffen hat.
Datenschutz: Die Analyse erfolgt überwiegend lokal
Gerade bei einem Sicherheitsprodukt für KI-Agenten ist dieser Punkt wichtig.
Bitdefender gibt an, dass die Entscheidungen lokal auf dem Mac getroffen werden. Insbesondere die Analyse von Prompts soll lokal erfolgen. Der Inhalt eines Prompts soll deshalb nicht für diese Analyse an Bitdefender übertragen werden.
Einige Funktionen können allerdings Bitdefender-Cloud-Dienste verwenden. Dazu gehört beispielsweise die Bewertung der Reputation einer URL.
Während der Beta gibt es außerdem anonymes Reporting von Schutzentscheidungen. Laut der technischen Dokumentation geht es dabei beispielsweise darum, wie häufig Tool-Aufrufe blockiert oder Skills als problematisch erkannt wurden. Prompt-Inhalte, Dateiinhalte, Zugangsdaten oder die eigentlichen vom Agenten verarbeiteten Daten sollen dabei nicht übertragen werden.
AI Guardian gibt es derzeit nur für den Mac
Und hier kommt der für viele Leser entscheidende Punkt, zumindest noch, denn AI Guardian ist derzeit nicht für Windows erhältlich. Die kostenlose Open Beta läuft momentan ausschließlich unter macOS. Unterstützt werden aktuell Claude Code ab Version 2.1.121 und OpenClaw ab Version 2026.6.6.
Bitdefender kündigt weitere Plattformen an, nennt aber keinen konkreten Termin für Windows. Auch zusätzliche Agenten und Integrationen, beispielsweise direkt in Entwicklungsumgebungen, sollen später folgen. Für Windows-Nutzer heißt das derzeit schlicht: Abwarten.
Warum startet Bitdefender ausgerechnet mit macOS?
Einen konkreten Grund dafür nennt Bitdefender nicht. Deshalb würde ich hier auch nicht spekulieren.
Technisch ist allerdings nachvollziehbar, dass AI Guardian zunächst mit einer überschaubaren Zahl unterstützter Agenten und einer Plattform als Beta startet. AI Guardian benötigt schließlich eine Integration in den jeweiligen Agenten. Es handelt sich nicht um einen gewöhnlichen Virenscanner, den man einfach mal so installiert und der anschließend sämtliche Programme überwacht.
Die aktuelle Architektur besteht aus einem Hintergrunddienst und einer Integration innerhalb des jeweiligen KI-Agenten. Bei Claude Code und OpenClaw übernimmt diese Integration die Kommunikation mit dem lokalen AI-Guardian-Dienst.
Eine Windows-Version dürfte deshalb nicht einfach eine Portierung der macOS-Anwendung sein. Bitdefender muss die unterschiedlichen Agenten, Integrationen und Betriebssystemmechanismen entsprechend berücksichtigen.
AI Guardian ist kein Ersatz für Bitdefender Antivirus
Wichtig ist auch die Abgrenzung zu den normalen Bitdefender-Produkten.
AI Guardian ist kein Antivirusprogramm, keine Firewall und kein VPN. Es soll auch nicht die normale Endpoint-Security ersetzen.
Wenn du einen Windows-PC verwendest, bleiben klassische Schutzfunktionen weiterhin wichtig. Produkte wie Bitdefender Antivirus beziehungsweise umfassendere Pakete wie Bitdefender Premium Security adressieren weiterhin Malware, Phishing, Web-Bedrohungen und andere klassische Angriffsformen.
Wer zusätzlich Passwörter und Zugangsdaten schützen möchte, kann beispielsweise Bitdefender SecurePass einsetzen.
AI Guardian kommt dagegen auf einer anderen Ebene ins Spiel: Was darf ein KI-Agent mit den vorhandenen Möglichkeiten tatsächlich tun?
Bitdefender baut offenbar ein eigenes Sicherheitskonzept für KI-Agenten auf
AI Guardian ist dabei kein isoliertes Experiment. Bitdefender positioniert inzwischen mehrere Produkte rund um sogenannte Agentic AI.
Der Agent Skill Scanner soll Skills überprüfen, bevor man sie installiert oder ihnen vertraut. VPN for AI Agents soll den Netzwerkverkehr von KI-Agenten absichern. AI Guardian kümmert sich dagegen um die Aktionen, die ein Agent auf dem Rechner ausführt.
Das ergibt ein durchaus interessantes Modell:
- Skill Scanner: Was installiere ich?
- VPN for AI Agents: Wie kommuniziert der Agent?
- AI Guardian: Was darf der Agent tun?
Damit versucht Bitdefender eine Sicherheitslücke zu adressieren, die bei klassischen Antivirusprodukten tatsächlich bisher nur schwer abzubilden ist.
Wie groß ist das Problem wirklich?
Bitdefender verweist zur Begründung unter anderem auf eigene beziehungsweise beauftragte Untersuchungen zur Sicherheit von KI-Agenten.
Bei Tests mit 20 KI-Agenten und mehr als 1.300 sogenannten Tool-Poisoning-Versuchen wurde laut Bitdefender eine durchschnittliche Erfolgsquote der Angriffe von 36,5 Prozent festgestellt. Bei einem getesteten Modell lag der Wert sogar bei 72,8 Prozent. Außerdem berichtet Bitdefender von mehr als 1,2 Millionen offengelegten AI-Service-Secrets im Jahr 2025.
Diese Zahlen sollte man allerdings als Angaben von Bitdefender beziehungsweise der von Bitdefender angeführten Forschung betrachten. Sie sind kein Beleg dafür, dass jeder KI-Agent im Alltag mit einer entsprechenden Wahrscheinlichkeit kompromittiert wird.
Das grundsätzliche Problem ist aber nachvollziehbar: Je mehr Rechte ein KI-Agent erhält, desto größer wird der mögliche Schaden, wenn der Agent manipuliert wird oder eine Aktion anders interpretiert als vom Benutzer beabsichtigt.
Für wen ist AI Guardian interessant?
Die Zielgruppe ist momentan relativ klar definiert. Interessant ist AI Guardian vor allem für Entwickler, technisch versierte Anwender, KI-Bastler, Selbstständige und sogenannte Solopreneure, die KI-Agenten bereits ernsthaft einsetzen.
Wer lediglich ChatGPT oder einen anderen Chatbot für Texte, Recherche oder gelegentliche Fragen verwendet, benötigt diese zusätzliche Kontrollschicht vermutlich nicht.
Wer dagegen Claude Code oder einen anderen Agenten mit Zugriff auf lokale Dateien, Entwicklungsumgebungen, Shell-Befehle, MCP-Tools und Zugangsdaten arbeiten lässt, hat ein völlig anderes Risikoprofil.
Mein Fazit
Bitdefender AI Guardian ist konzeptionell deutlich interessanter als ein weiteres klassisches Antivirus-Feature. Bitdefender versucht damit, eine neue Sicherheitsfrage zu beantworten: Nicht nur „Ist mein Computer geschützt?“, sondern „Was darf meine KI eigentlich selbstständig tun?“.
Gerade bei autonomen KI-Agenten ist diese Unterscheidung wichtig. Ein Agent kann mit völlig legitimen Systemfunktionen eine Aktion ausführen, die der Benutzer nie beabsichtigt hat. Genau hier setzt AI Guardian mit Policies, Echtzeitkontrolle und einem lokalen Audit-Log an.
Für mich ist allerdings die aktuelle Plattformbeschränkung der größte Haken. Windows-Nutzer können AI Guardian momentan nicht ausprobieren. Bitdefender plant weitere Plattformen, nennt aber noch keinen Termin für Windows.
Die Entwicklung würde ich deshalb im Auge behalten. Denn wenn Bitdefender das Konzept tatsächlich auf Windows bringt und weitere Agenten wie Codex, Cursor oder andere Entwicklungsagenten integriert, könnte daraus eine interessante neue Kategorie von Sicherheitssoftware entstehen.
Bis dahin bleibt AI Guardian vor allem ein interessanter Blick darauf, wie sich IT-Sicherheit durch autonome KI verändern könnte.
Spannende Themen in einer sich unglaublich schnell verändernden Welt mit Themen die vor Kurzem noch wie Sci-Fi klangen. Mögen wir das alles? Vermutlich nicht, aber ändern kann man es auch nicht, daher sollte man sich damit beschäftigen.
Aktuelle Informationen und die technische Dokumentation: Bitdefender AI Guardian Dokumentation.
