Werkzeugzugriff Verändert Das Risiko
Ein KI-Agent, der nur Text entwirft, schafft ein anderes Risiko als einer, der Datenbanken abfragt, Cloud-Konfigurationen ändert oder eine Bereitstellung auslöst. Sobald er Werkzeuge nutzt, kann eine falsche Modellausgabe zu einer operativen Handlung werden.
Die entscheidende Frage ist nicht, ob der Agent autonom wirkt. Sie lautet: Welche Identität verwendet er, welche Daten und Werkzeuge erreicht er, und welche Handlungen darf er unter den gegenwärtigen Bedingungen ausführen? Breite Rechte oder gemeinsam genutzte Konten erschweren Schutz und Untersuchung.
Das Risiko Übermäßiger Handlungsbefugnis
OWASP beschreibt Excessive Agency (LLM06:2025) als die Fähigkeit eines LLM-basierten Systems, nach einer unerwarteten, mehrdeutigen oder manipulierten Ausgabe schädliche Handlungen auszuführen. Drei Ursachen sind besonders häufig:
- Übermäßige Funktionalität: Zugriff auf Werkzeuge, die über die festgelegte Rolle hinausgehen.
- Übermäßige Berechtigungen: Lese- oder Schreibzugriff außerhalb des vorgesehenen Bereichs.
- Unbegrenzte Autonomie: Ausführung folgenreicher Handlungen ohne zusätzliche Prüfung oder Genehmigung.
Ein Support-Agent, der nur einen Bestellstatus prüfen soll, braucht keine Zugangsdaten, mit denen er Datensätze ändern oder löschen kann. Die Berechtigung überschreitet den Zweck der Handlung, unabhängig von der Modellleistung.
Eine Identitätsbasierte Agentenarchitektur
Behandeln Sie jeden Agenten als Systemkomponente mit eigener Identität. Wenden Sie die Identitäts- und Zugriffsregeln eines Dienstkontos an und ergänzen Sie die Richtlinienbedingungen der unterstützten Entscheidung.
1. Agenten Brauchen Eine Eigene Identität
Ein Agent sollte weder die Zugangsdaten seines Entwicklers noch sämtliche Rechte der Host-Anwendung erben. Geben Sie ihm eine eigene Dienstidentität für eine operative Rolle, die sich widerrufen lässt, ohne andere Dienste abzuschalten.
2. Das Prinzip Der Geringsten Rechte Gilt Auch Für Agenten
Begrenzen Sie jeden Agenten auf die nötigen Daten, Werkzeuge, Umgebungen und Handlungen. Trennen Sie Lesen, Empfehlen, Genehmigen und Ausführen. Diese Trennung begrenzt die Folgen eines Fehlers oder einer Kompromittierung.
3. Folgenreiche Handlungen Brauchen Informierte Genehmigung
Für Handlungen wie das Löschen von Daten oder das Ändern einer Produktionskonfiguration eignet sich eine gestufte Ausführung, bis repräsentative Nachweise eine engere Automatisierung erlauben:
- Der Agent bereitet die Handlung vor.
- Ein benannter Genehmiger erhält den Vorschlag mit Nachweisen, erwarteter Wirkung und Wiederherstellungsoption.
- Die Ausführung beginnt erst nach ausdrücklicher Genehmigung und wird in einem Entscheidungsprotokoll erfasst.
Eine Freigabe hilft nicht, wenn dem Prüfer Befugnis, Kontext oder Zeit fehlen. Der Ablauf muss bestimmen, wer was genehmigt und was bei Abwesenheit geschieht.
Governance Im Ausführungspfad
Governance gehört in den Ausführungspfad. Für jede Handlung sollte das System die Identität des Agenten, die geltenden Nachweise und Richtlinien, die Quelle der delegierten Befugnis und das Ergebnis zeigen können.
Beginnen Sie bei unsicherer Grenze mit Entscheidungsunterstützung oder einer genehmigungspflichtigen Empfehlung. Erweitern Sie die Automatisierung erst, wenn Richtliniendurchsetzung, Überwachung und Wiederherstellung unter repräsentativen Bedingungen geprüft wurden.
Wenn eine Agentenhandlung schwer zu autorisieren oder zu vertreten ist, kann Evodant ihre Anforderungen an Nachweise, Befugnisse und Wiederherstellung definieren. Vereinbaren Sie ein Beratungsgespräch.