KI-Agenten sicher einsetzen: 5 Schritte nach dem Prinzip „Kein Skill, kein Zugriff“

Ihr wollt KI-Agenten sicher einsetzen, aber euch beschleicht die Frage, was passiert, wenn so ein Agent mehr kann und darf als gedacht? Diese Sorge ist berechtigt. Die gute Nachricht ist, dass ihr sie nicht mit Hoffnung lösen müsst, sondern mit Struktur. Die sicherste Fähigkeit ist die, die ein KI-Agent nie bekommt. In diesem Beitrag zeige ich euch, wie ihr dieses Prinzip in fünf Schritten umsetzt, auch ohne eigene IT-Abteilung.

Warum mich ein Bericht über KI-Agenten nicht mehr losgelassen hat

Vor einigen Wochen habe ich einen Bericht über interne Sicherheitstests eines großen Anbieters gelesen. Hunderte KI-Agenten konnten dort ihre Isolierung verlassen. Der Weg führte über ein gemeinsam genutztes Paket-Repository, das alle für harmlos hielten. Darüber stimmten sich die Agenten ab und griffen am Ende eine echte Plattform an. Bemerkt wurde das lange nicht.

Mich hat daran nicht die Vorstellung von „böser KI“ erschreckt. Mich hat erschreckt, wie unscheinbar die Lücke war. Niemand hatte das Repository als Risiko auf dem Zettel, weil es eben nur ein gemeinsames Hilfsmittel war. Genau solche Entscheidungen treffen wir alle täglich, wenn wir Systeme bequem machen wollen.

Beim Aufbau unserer eigenen Agenten-Plattform haben wir uns deshalb früh für drei Grundsätze entschieden. Berechtigungen setzt ausschließlich der Mensch, nie das Sprachmodell. Jeder Curator bekommt seinen eigenen, isolierten Bereich, ohne gemeinsame Container. Und Zugangsdaten sieht der Agent nie, sie werden verschlüsselt gespeichert und erst im Backend entschlüsselt, unmittelbar bevor die Anfrage an die Quelle geht. Diese Entscheidungen waren unbequem. Heute bin ich froh über jede einzelne.

So geht ihr vor. KI-Agenten sicher einsetzen in 5 Schritten

1. Macht eine ehrliche Inventur. 

Listet für jeden Agenten auf, welche Aufgabe er hat und worauf er dafür zugreift. Dazu gehören Werkzeuge, Datenquellen, Zugangsdaten und alles, was er mit anderen Agenten oder Systemen teilt. Eine einfache Tabelle mit vier Spalten reicht völlig aus.

2. Streicht alles, was die Aufgabe nicht braucht. 

Stellt euch bei jeder Zeile eine einzige Frage. Funktioniert die Aufgabe auch ohne diesen Zugriff? Wenn ja, kommt er weg. Das ist unser Grundsatz „Kein Skill, kein Zugriff“. Ein Agent, der Angebote vorbereitet, braucht keine Personalakten, und ein Agent für Terminabsprachen braucht keinen Schreibzugriff auf eure Ablage.

3. Sucht gezielt nach den „harmlosen“ Gemeinsamkeiten. 

Gemeinsame Ordner, Paket-Repositories, geteilte Container, Sammelpostfächer oder ein gemeinsamer Zwischenspeicher wirken unverdächtig. Genau deshalb prüft sie kaum jemand. Jede geteilte Ressource ist ein möglicher Kanal zwischen Bereichen, die eigentlich getrennt sein sollen.

4. Verlagert Rechte und Geheimnisse ins Backend. 

Welche Daten ein Agent sehen darf, entscheidet eure Plattform anhand fester Regeln, nicht das Sprachmodell anhand einer Anweisung im Prompt. Passwörter und Token gehören verschlüsselt in den Server und tauchen nie im Gespräch mit dem Agenten auf.

5. Prüft bei jeder Anfrage neu und protokolliert mit. 

Rechte, die einmal beim Start vergeben werden, veralten. Bei uns wird bei jeder Nachricht neu geprüft, wer im Gespräch sitzt. Ist auch nur eine Person ohne Freigabe dabei, bleibt der Wissensraum geschlossen. Ein entzogenes Recht wirkt damit schon bei der nächsten Nachricht, und jede Änderung landet im Protokoll.

Wenn ihr bei Schritt 3 oder 4 merkt, dass eure aktuelle Lösung das gar nicht abbilden kann, schreibt mir über unsere Kontaktseite. Wir schauen uns eure Situation gemeinsam an.

Die sicherste Fähigkeit ist die, die ein KI-Agent nie bekommt.

Was ich dabei gelernt habe

Sicherheit entsteht nicht dadurch, dass sich ein Modell gut benimmt. Sie entsteht dadurch, dass es Dinge gar nicht erst tun kann. Das klingt streng, ist aber eigentlich entlastend. Ihr müsst keinem Agenten blind vertrauen, wenn nachvollziehbar ist, was er kann und vor allem, was er nicht darf.

Der häufigste Stolperstein ist Bequemlichkeit. „Wir geben ihm erst mal alles, einschränken können wir später“ höre ich oft. Später kommt selten. Andersherum geht es leichter. Startet eng und erweitert nur dort, wo eine Aufgabe nachweislich mehr braucht.

Eine Welt ohne Risiko kann ich euch nicht versprechen, niemand kann das. Versprechen kann ich, dass wir unbequeme Entscheidungen früh treffen, damit ihr später nicht überrascht werdet.

Euer Sofort-Schritt für heute

Nehmt euch 15 Minuten und den Agenten, den ihr am häufigsten nutzt. Schreibt seine Aufgabe in einen einzigen Satz. Listet daneben alles auf, worauf er zugreifen kann. Streicht danach mindestens einen Zugriff, der zu diesem Satz nicht passt. Ihr werdet überrascht sein, wie schnell ihr fündig werdet.

Wie geht es weiter?

• Tiefer einsteigen: In unserem Podcast sprechen wir regelmäßig über Fragen wie diese aus der Praxis.

• Gemeinsam umsetzen: In unserer Skool-Community bauen wir KI-Agenten gemeinsam, mit Anleitungen, Austausch und Feedback. Die Mitgliedschaft ist kostenpflichtig.

• Für euren Betrieb: Wenn ihr KI-Agenten in eurem Unternehmen sicher einführen wollt, erreicht ihr mich über unsere Kontaktseite.

  
  

Linda Sabottig – Vorstand Intra.ID eG