Excessive Agency: das schädlichste Agenten-Risiko

Weil es jeden anderen Fehler vergrößert. Für sich genommen ist eine Prompt Injection, ein halluzinierter Fakt oder ein fehlerhafter Plan überlebbar — kann der Agent nur lesen, ist das schlimmste Ergebnis eine falsche Antwort. Dasselbe Ereignis wird in dem Moment zum Vorfall, in dem derselbe Agent auch Datensätze löschen, Geld bewegen oder Kunden anschreiben kann. Excessive Agency ist daher der Verstärker hinter den schwersten dokumentierten Agenten-Ausfällen, weshalb Frameworks wie die OWASP Top 10 für agentische Anwendungen es ganz oben oder nahe daran einordnen. Die praktische Folge: Die Wirkung ist multiplikativ — wie oft der Agent eine Fehlentscheidung trifft, mal wie viel Schaden seine Rechte zulassen. Den ersten Faktor bekommt man nicht auf null, über den zweiten aber hat man nahezu vollständige Kontrolle, und genau dort liegt der Hebel.

Ist er, genau bis zu dem Tag, an dem er es nicht mehr ist. Breiter Zugriff wirkt effizient, weil man nie innehalten und einen engeren Scope einrichten muss, doch diese Bequemlichkeit ist faktisch ein Kredit: Man zahlt ihn auf einen Schlag zurück, sobald der Agent zum ersten Mal irrt oder manipuliert wird. Ein Zusammenfasser, der auch Sende- und Lösch-Scopes hält, hat eine Stunde Konfiguration gespart und kann nun mit einem einzigen Fehltritt Daten preisgeben oder zerstören. Den Zugriff auf die Aufgabe einzugrenzen ist ein kleiner, einmaliger Engineering-Aufwand, und er deckelt den Schaden jedes künftigen Fehlers oder Angriffs, nicht nur ein bestimmtes Szenario. Als Risiko gefasst, tauschen Sie ein wenig Einrichtungszeit heute gegen einen begrenzten Worst Case für immer. Dieser Tausch lohnt sich fast immer und wird billiger, je früher Sie ihn vollziehen.

Beginnen Sie bei null Berechtigungen und fügen Sie nur hinzu, was die Aufgabe nachweislich braucht, statt breit zu starten und später zu kürzen. Geben Sie jedem Tool das Minimum, bevorzugen Sie Lesen vor Schreiben und sichern Sie Schreiben und Ausgaben hinter einem menschlichen Freigabeschritt. Geben Sie verschiedenen Fähigkeiten verschiedene Identitäten, damit das Kompromittieren des Lesepfads nicht den Schreibpfad aushändigt. Sandboxen Sie Schreibvorgänge, bis Sie Belege für gutes Verhalten haben, und weiten Sie dann bewusst aus. Wichtig: Auditieren Sie ungenutzte Rechte — wird eine Fähigkeit im Normalbetrieb nie verwendet, entfernen Sie sie, denn sie ist reines Risiko. Ein guter Test ist, für jeden Scope zu fragen, was der Agent damit schlimmstenfalls tun könnte und ob Sie dieses Ergebnis an einem schlechten Tag akzeptieren würden. Wenn nicht, ist der Scope zu weit.

Prompt Injection ist, wie ein Agent zum Falschen verleitet wird; Excessive Agency ist, wie viel dieses Falsche kostet. Sie wirken auf verschiedenen Ebenen, und man muss beide angehen. Injection ist ein Angriff auf der Eingabeseite — feindliche Anweisungen, die das Modell erreichen —, während Excessive Agency eine Design-Schwäche bei den Rechten ist, die der Agent trägt, unabhängig davon, warum er sich falsch verhält. Sicherheitsleute betonen Excessive Agency, weil sie weit steuerbarer ist: Eine raffinierte Injection stoppen Sie vielleicht nie ganz, aber Sie können schon heute genau festlegen, was ein Agent berühren darf. Nur die Injection zu beheben lässt den Schadensradius unberührt; nur die Rechte zu beheben lässt den Agenten weiter täuschen, dämmt aber die Folgen ein. Defense in Depth heißt, die Rechte zu verengen und externe Inhalte als nicht vertrauenswürdig zu behandeln, sodass eine erfolgreiche Injection auf einen Agenten trifft, der schlicht wenig Schaden anrichten kann.