Dedizierte KI-Firewall oder integrierte WAAP: Was skaliert besser?

Ob sich eine KI-Firewall oder WAAP besser skalieren lässt, hängt nicht allein von der Anzahl der Anfragen ab. Die erforderliche Platzierung unterscheidet sich danach, ob Sie Web- und API-Angriffe zentral am Eingang behandeln oder Ein- und Ausgaben des Modells einzeln bewerten möchten.

Zeichnen Sie der Reihe nach Benutzereingaben, abgerufene RAG-Dokumente, Werkzeugantworten, Modellausgaben und Aktionen gegenüber externen Systemen auf. Markieren Sie anschließend, welche Stellen die einzelnen Produkte tatsächlich einsehen können. Ausgangspunkt ist, nicht davon auszugehen, dass auch Pfade geschützt sind, die den Eingang nicht passieren.

Cloudflare AI Security for Apps ist eine Option, um WAF-Erkennungsergebnisse in Regeln zu nutzen. Amazon Bedrock Guardrails stellt Schutzmechanismen bei der Modellnutzung bereit; dabei wird ausdrücklich angegeben, dass der Filter für Prompt-Angriffe keine Werkzeugergebnisse bewertet. Vergleichen Sie auf Basis entsprechend abgegrenzter Prüfpunkte: beim ersten Produkt am Eingang, beim zweiten während der Modellnutzung.

LLM Guard ist ein weiteres Beispiel für ein Werkzeug, das in den Code eingebunden wird. Das offizielle Repository wurde jedoch im Juli 2026 archiviert. Wenn Sie es für eine Einführung in Betracht ziehen, prüfen Sie neben den Funktionen auch den Aktualisierungsstand, die Abhängigkeiten und die Wartungsverantwortung in Ihrem Unternehmen. Die genannten Produkte sind nicht als funktional gleichwertig zu verstehen.

AWS WAF prüft bei ALB und AppSync die ersten 8 KB des Anfragekörpers, bei CloudFront, API Gateway und weiteren Diensten standardmäßig die ersten 16 KB. Bei Letzteren lässt sich die Grenze auf bis zu 64 KB einstellen. Wird beispielsweise ein Anfragekörper von 24 KB mit der Standardeinstellung von 16 KB geprüft, bleiben die letzten 8 KB ungeprüft. Wird die Weiterleitung erlaubt, erreicht die gesamte Anfrage einschließlich des ungeprüften Bereichs die Anwendung.

Ob Anfragen oberhalb der Grenze blockiert werden, hängt von der Regelkonfiguration ab. Diese Berechnung belegt keinen erfolgreichen Angriff, lässt sich aber für Abnahmetests beim Umgang mit langen Prompts oder angehängten Dokumenten verwenden. Auch führt das Aktivieren der Erkennung nicht zwangsläufig zu einer automatischen Blockierung. Prüfen Sie deshalb sowohl die Regeln als auch die Aktionen.

Wenn die vorhandene WAAP die erforderlichen Web-, API- und KI-Pfade abdeckt und auch die modellspezifischen Kontrollanforderungen erfüllt, liegt es nahe, zunächst die integrierte Plattform zu testen. Möchten Sie dagegen Ein- oder Ausgaben des Modells an einer anderen Stelle bewerten, kommt eine Kombination aus WAAP und spezialisierten Kontrollmechanismen infrage.

Vergleichen Sie anhand desselben freigegebenen Datenverkehrs die Latenz, Fehlblockierungen, falsch negative Ergebnisse, die Berechtigungen zur Einsicht in Protokolle, das Zulassen oder Blockieren bei Störungen sowie den Arbeitsaufwand für das Betriebspersonal. Beziehen Sie auch Pfade ein, die nicht über den Eingangspunkt führen, etwa RAG-Dokumente und Tool-Ausgaben, und passen Sie die Schwellenwerte anhand realer Daten an. Aus unserer Perspektive als Entwickler, die Codeanalyse in die Entwicklungsumgebung integrieren, liegen das Blockieren von Datenverkehr am Eingangspunkt und das Beheben der zugrunde liegenden Ursachen im Code, etwa bei Berechtigungsprüfungen, auf unterschiedlichen Ebenen. Legen Sie für jede Ebene die Zuständigkeiten fest.