Stellen Sie sich einen KI-Agenten vor, der einen Produktionsvorfall untersuchen und ein kompromittiertes Konto zurücksetzen kann. Eine eigene Workload-Identität ermöglicht die Zuordnung; kurzlebige Zugangsdaten und begrenzter Zugriff schränken seine Reichweite ein. Keine dieser Kontrollen entscheidet, ob er dieses Konto jetzt zurücksetzen darf.
Eine zulässige Zurücksetzung kann einen aktiven Vorfall voraussetzen, der das Konto nennt, dazu richtlinienkonforme Nachweise und die Genehmigung des Einsatzleiters. Fehlen diese Bedingungen, kann selbst ein einwandfrei authentifizierter Agent um zwei Uhr morgens eine unbefugte Änderung vornehmen.
Die Identität stellt fest, wer handelt. Die Befugnis legt fest, was dieser Akteur unter den Bedingungen des Vorfalls empfehlen, genehmigen, ausführen, delegieren oder stoppen darf. Eine Produktionsprüfung braucht beides.
Das National Cybersecurity Center of Excellence des NIST schloss am 2. April 2026 die öffentliche Kommentierung eines Konzeptpapiers zur Identität und Autorisierung von Software- und KI-Agenten. Das Papier fragt, wie etablierte Identitätsverfahren auf Agenten anzuwenden sind, und behandelt Autorisierung, Prüfung, Nichtabstreitbarkeit und Prompt Injection als verbundene, aber eigenständige Themen.
Die Identität Bestimmt Den Akteur
Ein Produktionsagent sollte weder Zugangsdaten eines Entwicklers ausleihen noch ein Konto mit unabhängigen Automatisierungen teilen oder alle Rechte seiner Host-Anwendung erben. Geben Sie ihm eine eigene nicht menschliche Identität für genau eine operative Rolle. Damit kann die Organisation Zugangsdaten ausstellen und erneuern, Grundrechte zuweisen, Anfragen protokollieren und den Zugriff widerrufen.
Authentifizierung beweist nur, woher eine Anfrage stammt. Sie beweist weder, dass aktuelle Nachweise eine Kontorücksetzung stützen, noch dass das Konto im genehmigten Eindämmungsumfang liegt oder die nötige Freigabe vorliegt. Klassische Zugriffskontrolle fragt, ob ein Principal eine API aufrufen darf. Der Ablauf muss zusätzlich entscheiden, ob dieser Aufruf jetzt erlaubt ist.
Befugnis Liegt In Der Entscheidung
Eine Rolle wie security-assistant kann Grundzugriff gewähren. Der Ablauf muss Nachweise, Richtlinien, Genehmigungsbefugnis, Ausführung, Wiederherstellung und beobachtbare Ergebnisse verbinden, um eine konkrete Handlung unter den aktuellen Bedingungen zu autorisieren. Evodant nennt die technische Gestaltung dieses Pfads Entscheidungsengineering.
Ein Vorfallticket reicht nicht, wenn die Nachweise veraltet sind, das Konto außerhalb des genehmigten Eindämmungsplans liegt oder eine Zurücksetzung einen Geschäftsdienst unterbrechen würde. Formulieren Sie die Befugnis so, dass das Sicherheitsteam sie prüfen kann:
Dieser Agent darf Konto X während Vorfall Y zurücksetzen, wenn die geforderten Nachweise aktuell sind, die Handlung im genehmigten Eindämmungsplan liegt und der Einsatzleiter jede Ausnahme genehmigt hat.
Eine allgemeine Berechtigung account-reset lässt diese Betriebsbedingungen aus.
Befugnis An Die Folge Anpassen
Das Prinzip der geringsten Rechte gilt nicht nur für erreichbare Systeme, sondern auch für die Art der Befugnis. Wählen Sie die Automatisierungsstufe nach den Folgen der Handlung:
| Befugnisstufe | Was Der Agent Tun Darf | Erforderliche Kontrolle |
|---|---|---|
| Entscheidungsunterstützung | Nachweise ordnen und Optionen darstellen | Eine befugte Person legt die Nachweise aus und entscheidet |
| Entscheidungserweiterung | Eine begrenzte Empfehlung erstellen | Eine befugte Person genehmigt, ändert oder verwirft sie |
| Begrenzte Automatisierung | Eine festgelegte, wiederherstellbare Handlung ausführen, wenn die Richtlinienbedingungen erfüllt sind | Richtlinien begrenzen die Ausführung; ein benannter Eigentümer überwacht Ergebnisse und kann sie aussetzen |
Begrenzte Automatisierung muss stoppen und die Entscheidung an eine befugte Person weiterleiten, sobald Nachweise, Richtlinien oder Befugnisse außerhalb ihrer Grenze liegen. Nutzen Sie Entscheidungsunterstützung oder Entscheidungserweiterung, bis repräsentative Betriebsnachweise eine Ausführung stützen.
Den Schaden Bei Modellfehlern Begrenzen
Agenten können E-Mails, Tickets, Dokumente, Websites und Repositorys lesen. Ein Angreifer kann darin Anweisungen platzieren, um den Agenten umzulenken. Diese Technik heißt Agent Hijacking oder indirekte Prompt Injection.
Am 23. März 2026 veröffentlichte NIST die Analyse eines großen Red-Teaming-Wettbewerbs für KI-Agenten. Mehr als 400 Teilnehmer unternahmen über 250.000 Angriffsversuche gegen 13 Frontier-Modelle. Gegen jedes Zielmodell war mindestens ein Angriff erfolgreich; einige Angriffsfamilien ließen sich auf andere Modelle und Szenarien übertragen.
Der Wettbewerb prüfte Modelle, keine vollständigen Produktionsabläufe. Prompt-Abwehr und Modelltests können deshalb nicht die gesamte Sicherheitslast tragen. Werkzeugumfang, handlungsspezifische Autorisierung, informierte Genehmigung, Überwachung und Widerruf müssen begrenzen, was auf eine falsche Modellentscheidung folgt. Breite Ausführungsrechte können eine Modellschwäche in eine Produktionsänderung verwandeln.
Delegation Und Wiederherstellung Ausdrücklich Regeln
Ein Agent kann in seiner eigenen operativen Rolle oder im Auftrag eines Menschen handeln. Binden Sie delegierte Aufgaben an Zweck, erlaubte Handlungen, Ressourcenumfang und Ablaufzeit. Der Agent sollte weder alle Rechte des Benutzers erben noch nach Ablauf des Geschäftskontexts weiterhandeln.
Bittet ein Agent einen anderen, Nachweise abzurufen oder einen Schritt auszuführen, braucht der Empfänger einen prüfbaren Delegationskontext. Er muss den ursprünglichen Principal, die erlaubte Handlung, den Ressourcenumfang, die Ablaufzeit und das Recht zur weiteren Delegation nennen. Gültige Identitäten an jedem Übergabepunkt legitimieren keine Handlung, die den ursprünglichen Umfang überschreitet.
Planen Sie Widerruf und Wiederherstellung vor der Bereitstellung. Betreiber brauchen einen direkten Weg, um den Agenten auszusetzen, ein Werkzeugrecht zu entfernen, eine Delegation ungültig zu machen und einen Ablauf zu stoppen, ohne unabhängige Dienste abzuschalten. Dokumentieren Sie für jede ausführbare Handlung, wie Fehler erkannt, Auswirkungen eingedämmt, Handlungen soweit möglich rückgängig gemacht und Entscheidungen rekonstruiert werden.
Ein Prüfbares Protokoll Verlangen
Erstellen Sie vor der Produktionsfreigabe ein Protokoll für Agent und Ablauf. Es sollte fünf Fragen beantworten:
- Welchem operativen Zweck dient der Agent, und wer verantwortet das Ergebnis?
- Welche Identität nutzt er, und wie können Betreiber sie widerrufen?
- Welche Nachweise, Werkzeuge, Ressourcen und Umgebungen darf er erreichen?
- Welche Entscheidungen darf er unterstützen, und welche Handlungen darf er unter welchen Richtlinien- und Freigabebedingungen empfehlen oder ausführen?
- Wie stoppen Betreiber die Ausführung, stellen den Betrieb wieder her und untersuchen den Ablauf?
Verknüpfen Sie das Protokoll mit der bereitgestellten Ablaufversion. Ein geändertes Modell, Werkzeug, eine neue Nachweisquelle, Berechtigung oder Freigaberegel kann die Entscheidungsgrenze verschieben und sollte eine Prüfung auslösen.
Beginnen Sie mit einer folgenreichen Handlung. Testen Sie dann Routinefälle ebenso wie veraltete Nachweise, feindliche Anweisungen, abgelaufene Delegationen und fehlgeschlagene Freigaben. Erweitern Sie die Befugnis erst, wenn das beobachtete Verhalten sie stützt.
Definieren Sie die Befugnis eines Agenten vor der Produktion? Vereinbaren Sie ein Beratungsgespräch.