Zu Beginn Ihrer Schicht enthält die Alarm-Warteschlange bereits drei KI-bezogene Alarme, die jeweils mit einem KI-Triage-Score versehen sind. Ihre Aufgabe in dieser Phase ist es, für jeden Alarm eine schnelle, fundierte erste Einschätzung zu erarbeiten. Dazu gehören eine vorläufige Klassifizierung, die Identifizierung der wichtigsten Belege, die anhand der zugrundeliegenden Telemetriedaten überprüft werden müssen, sowie eine klare Aussage darüber, welche Aspekte noch unklar sind. In diesem Kurs betrachten wir die KI als Informationsquelle für Analysten, nicht als unfehlbare Instanz. Die Verantwortung für die endgültige Entscheidung (Disposition) verbleibt bei Ihnen.
Hilfreich für das Verständnis dieses Kurses ist die Vorstellung, dass Sie ein reproduzierbares mentales Modell für Vorfälle in KI-Systemen entwickeln. Das Modell beginnt mit einer spezifischen Risikokategorie, verknüpft diese mit der potenziell fehlerhaften Systemkomponente und endet bei den Belegen, die das Risiko bestätigen oder ausschließen können. Wir gehen dabei schrittweise vor, da der weitere Verlauf des Kurses darauf angewiesen ist, dass diese Struktur auch bei einem hohen Alarmaufkommen konsistent bleibt.
Wir beginnen damit, für jeden Alarm eine erste Triage-Einschätzung zu üben. Konzentrieren Sie sich darauf, was Sie zuerst überprüfen würden und welche Belege erforderlich sind, bevor Sie der von der KI vorgeschlagenen Richtung folgen. Anschließend ordnen wir diese Entscheidungen den Kategorien der „OWASP Top 10 for LLM Applications 2026“ zu, damit unsere Bezeichnungen im gesamten Team einheitlich verstanden werden. Lassen Sie uns gemeinsam die ersten Triage-Entscheidungen treffen.
Die OWASP Top 10 for LLM Applications 2026 ist eine von der Community erstellte Liste der zehn kritischsten Risikokategorien für Anwendungen, die Large Language Models (LLMs) nutzen. Sie ist bei der Reaktion auf Sicherheitsvorfälle (Incident Response) hilfreich, da sie feste Bezeichnungen für aufgetretene Probleme liefert – selbst wenn sich die Symptome unterschiedlich darstellen. Wenn in einem Ticket LLM02 oder LLM06 steht, sollten alle Beteiligten sofort dieselbe Art von Fehler und die entsprechenden zu suchenden Beweise vor Augen haben.
Hier sind die zehn Kategorien, die wir im gesamten Kurs verwenden werden, einschließlich ihrer genauen Nummerierung und Bezeichnung.
Dieser Kurs behandelt alle zehn Kategorien unter dem Aspekt der Reaktion auf Sicherheitsvorfälle. Sie lernen, wie Sie die wahrscheinliche Kategorie während der Triage identifizieren, welche Telemetriedaten üblicherweise die entscheidenden Fragen beantworten und wie Eindämmungs- und Behebungsmaßnahmen typischerweise aussehen, wenn das System ein LLM sowie unterstützende Komponenten wie Retrieval, Tools und Speicher (Memory) umfasst. Anschließend verknüpfen wir jede Kategorie mit den relevanten Phasen der Incident Response, in denen Beweise erbracht werden müssen. Nutzen Sie die Übersicht, um die jeweilige Kategorie mit dem entsprechenden Arbeitsablauf zu verbinden.