KI-Agenten-Sicherheit: OpenAI kauft Promptfoo & startet Codex Security

Im März 2026 hat OpenAI seine Sicherheitsstrategie für KI-Agenten sichtbar geschärft. Die Übernahme des Security-Startups Promptfoo und die damals gestartete Research Preview von Codex Security zeigen, wohin die Plattformstrategie zielt: Produktive Agenten brauchen überprüfbare Schutzgrenzen rund um Prompts, Tools und Code.

Promptfoo: Automatisierte Sicherheitstests für LLMs

Das 2024 gegründete Startup Promptfoo entwickelt Werkzeuge, mit denen Unternehmen Sicherheitslücken in Large Language Models (LLMs) systematisch aufspüren können. Dazu gehören eine Open-Source-Schnittstelle und eine Bibliothek für automatisierte Sicherheitstests. Nach Angaben des Unternehmens nutzten bereits mehr als ein Viertel der Fortune-500-Unternehmen diese Werkzeuge.

Mit der Übernahme will OpenAI die Promptfoo-Technologie in seine Enterprise-Plattform für KI-Agenten integrieren. Im Zentrum stehen drei Funktionen:

• Automatisiertes Red-Teaming: Agenten-Workflows lassen sich gezielt auf Schwachstellen und missbrauchbare Muster prüfen.
• Security-Monitoring: Risiken und Compliance-Vorgaben sollen im Betrieb beobachtbar werden.
• Open-Source-Ausbau: Die frei verfügbaren Tools von Promptfoo sollen weiterentwickelt werden.

Finanzielle Details der Übernahme sind nicht offiziell bekannt. Laut PitchBook hatte Promptfoo bis dahin rund 23 Millionen US-Dollar Risikokapital eingesammelt und war im Juli 2025 zuletzt mit 86 Millionen US-Dollar bewertet worden. In regulierten Bereichen ist das besonders relevant: Agenten bereiten Entscheidungen vor, rufen Daten ab und lösen Aktionen aus. Klassische App-Sicherheit deckt diese Kette aus Prompt, Tool-Aufruf und Folgeaktion nicht automatisch ab.

Codex Security: Schwachstellenscans mit Sandbox-Validierung

Fast zeitgleich startete OpenAI Codex Security als Research Preview. Der KI-gestützte Application-Security-Agent sollte Code-Repositories auf komplexe Sicherheitslücken untersuchen, Ergebnisse in Sandbox-Umgebungen validieren und konkrete Patches vorschlagen. Der Preview-Status setzte dabei eine klare Grenze: Die angekündigten Fähigkeiten mussten sich erst in unterschiedlichen Enterprise-Umgebungen und Codebasen bewähren.

OpenAI adressierte damit ein Problem, das viele KI-Security-Scanner bislang nicht lösen: eine hohe Zahl an False Positives. Wenn Entwickler zu viele irrelevante Warnungen prüfen müssen, gehen echte Risiken leicht unter. Codex Security sollte deshalb strukturierter arbeiten:

1. Kontextaufbau: Das System analysiert die Codebasis und erstellt ein Bedrohungsmodell mit Vertrauensgrenzen und Angriffsflächen.
2. Zielgerichtete Suche: Auf dieser Basis sucht die KI nach Schwachstellen, die im jeweiligen Kontext tatsächlich relevant sind.
3. Sandbox-Validierung: Gefundene Lücken werden in isolierten Umgebungen getestet, um Fehlalarme zu reduzieren.
4. Repair-Vorschläge: Neben dem Nachweis der Schwachstelle liefert das System Korrekturvorschläge und Proof-of-Concept-Code zur Einordnung.

Laut OpenAI wurden in ersten Tests bereits 14 CVEs in relevanten Open-Source-Projekten identifiziert. Begleitend dazu bot das Programm „Codex for OSS“ ausgewählten Open-Source-Projekten kostenlosen Zugang zu erweiterten Analyse-Tools und Code-Reviews.

Warum diese Doppelankündigung wichtig ist

Die beiden Schritte ergänzen sich strategisch. Promptfoo zielt auf Tests vor dem Rollout: Red-Teaming, Prompt-Angriffe und abgesicherte Agenten-Workflows. Codex Security richtet den Blick stärker auf realen Code und konkrete Schwachstellen. Daraus entsteht ein Sicherheitsbild, das näher an Agentensystemen liegt als eine reine Modell-Evaluation.

Mit dem produktiven Einsatz autonomer Systeme wächst die Angriffsfläche. Agenten, die E-Mails verfassen, Transaktionen anstoßen oder Code generieren, schaffen neue Missbrauchspunkte: Prompt-Injection, Datenabfluss über Tool-Aufrufe und fehlerhafte Automatisierung mit Sicherheitsfolgen. Die relevante Frage lautet daher nicht mehr allein, welches Modell am stärksten ist. Entscheidend wird, ob ein Team sein Agentensystem unter realen Bedingungen prüfen, begrenzen und bei Auffälligkeiten stoppen kann.

Konsequenzen für Entwicklung und Betrieb

Für Entwicklungsteams auf der OpenAI-Plattform deutete sich damit an, dass Security-Checks näher an die eigentliche Entwicklungsumgebung rücken. Schwachstellenberichte, Red-Teaming und Code-Validierung könnten Teil des normalen Agenten-Workflows werden, statt erst nach einem Vorfall als Spezialprozess zu beginnen.

Im Betrieb bleibt die Grenze wichtig: Monitoring allein verhindert keinen Datenabfluss und ersetzt keine Berechtigungen, Freigaben oder nachvollziehbaren Logs. Wer Agenten mit E-Mail, Transaktionen oder produktiven Repositories verbindet, sollte vor dem Rollout festlegen, welche Tool-Aufrufe erlaubt sind, wer Warnungen bewertet und wie ein unsicherer Workflow gestoppt wird. Ich wäre besonders skeptisch bei Sicherheitsversprechen, die diese Zuständigkeiten offenlassen.

Fazit: Sicherheit wird zum Plattformmerkmal

Die Übernahme von Promptfoo und der Start von Codex Security markierten einen Wendepunkt in der Positionierung von KI-Agenten. OpenAI erweiterte sein Angebot um Bausteine, mit denen Unternehmen Risiken in Prompting, Tool-Nutzung und Code systematischer prüfen sollen.

Für produktive Agentensysteme folgt daraus eine einfache Mindestregel: Testing, Schutzgrenzen und Validierung gehören in die Architektur, bevor ein Workflow eigenständig auf Daten oder externe Systeme zugreift. Die Ankündigungen setzten dafür einen klaren Anspruch; ob die Werkzeuge ihn im Alltag einlösen, muss sich an reproduzierbaren Befunden und nicht an Produktversprechen messen lassen.