Die Betriebsleitung entzieht einem Agenten die Berechtigung, Zahlungen freizugeben. Der Hauptprozess des Agenten beendet sich. Eine Zahlung liegt noch in einer Warteschlange, eine delegierte Aufgabe läuft weiter, und ein Worker wiederholt möglicherweise eine Anfrage mit ungewissem Ausgang. Jeder dieser Punkte braucht einen dokumentierten Bearbeitungsstatus mit klarer Zuständigkeit, bevor die für den Vorfall verantwortliche Person sagen kann, was gestoppt ist.
Das Szenario dient der Veranschaulichung. Es rahmt eine Forschungsfrage: Welche Beobachtungen stützen die Aussage, dass die entzogene Befugnis eines Agenten innerhalb eines angegebenen Umfangs keine Aktion mehr auslösen kann? Dieser Beitrag wertet aktuelle Forschung und Protokollspezifikationen aus, berichtet über eine kleine Reproduktion eines veröffentlichten Closure-Verifiers und stellt ein Arbeitsblatt bereit, das die für den Vorfall verantwortliche Person ausfüllen kann. Dieser Beitrag gehört zu einer dreiteiligen Forschungsreihe über die Befugnisse von Agenten, veröffentlicht am 26. Oktober 2026: Stoppnachweise, Richtlinien im Agentengedächtnis und Standards für die Agentenkontrolle.
Zuerst den Umfang der Aussage festlegen
Aktuelle Forschung trennt Stufen, die ein einzelner Status „widerrufen“ verdecken kann. Revocation Is Not Complete at Receipt, ein Preprint vom Oktober 2026 von Lifei Liu, Haoran Yu und Danping Zhang, unterscheidet das Festschreiben und Zustellen eines Widerrufs von seiner Durchsetzung an Gateways und von der Verhinderung geschützter Wirkungen während eines Beobachtungsfensters. Die Experimente verwenden eine einzige, absichtlich partitionierte Zustelltopologie, und die Autoren nennen keine branchenweite Fehlerquote. Zum Paper.
Ein Preprint vom September 2026 von Genliang Zhu und Chu Wang befasst sich mit Befugnissen, die durch Delegation und asynchrone Arbeit fortbestehen. Das Protokoll verfolgt, woher eine Befugnis stammt und wie sich der Autorisierungsstatus ändert, und prüft an der Stelle, an der eine Aktion wirksam wird. Es berücksichtigt auch Arbeit, die unter einer separaten gültigen Befugnis weiterläuft. Beide Arbeiten sind Preprints; ihre berichteten Ergebnisse hängen von den genannten Annahmen ab. Zu Protokoll und Evaluation.
Der praktische Schritt besteht darin, die Aussage zu formulieren, bevor Nachweise dafür gesammelt werden. Benennen Sie die entzogene Befugnis, die betroffenen Aktionen, die Durchsetzungspfade und das Beobachtungsfenster. Halten Sie Ausschlüsse ausdrücklich fest. Eine Aussage zur Zahlungsfreigabe sollte angeben, ob sie geplante Jobs, Wiederholungsversuche, delegierte Worker und Anfragen abdeckt, die ein Zahlungsdienstleister bereits angenommen hatte.
Zustellung und Abbruch haben definierte Grenzen
Bestehende Protokolle decken bereits Teile dieses Problems ab. Die Spezifikation für den Widerruf von OAuth-Token behandelt Verzögerungen bei der Verbreitung, und die Spezifikation für Token-Introspection beschreibt die Sicherheitskosten zwischengespeicherter Introspection-Antworten. Beides ist relevant, wenn die Worker eines Agenten unterschiedliche Kopien des Autorisierungsstatus abfragen. RFC 7009, RFC 7662.
Die finalen Spezifikationen OpenID CAEP 1.0 und Shared Signals Framework 1.0 definieren Ereignis- und Zustellverträge, mit denen sich eine Änderung systemübergreifend koordinieren lässt. Die für den Vorfall verantwortliche Person braucht weiterhin Nachweise darüber, was jeder Empfänger und jeder nachgelagerte Durchsetzungspunkt mit dem Signal getan hat. CAEP 1.0, Shared Signals Framework 1.0.
Der Abbruch hat eigene Grenzen. In der Spezifikation des Model Context Protocol vom 2025-06-18 sind Abbruchbenachrichtigungen optional, und sie berücksichtigt, dass die Verarbeitung bereits abgeschlossen oder nicht mehr abbrechbar sein kann. Ein Bericht über das Ergebnis eines Workflows muss diese Race Conditions berücksichtigen. MCP-Abbruch.
Was wir unabhängig geprüft haben
RISU Research veröffentlicht einen separaten Closure-Verifier, bounded-agent-closure. Er wird in verwandten Arbeiten zitiert und gehört zu keinem der beiden oben genannten Preprints. Wir haben seine unveränderte Testsuite bei Commit ef07236 ausgeführt (Paket 0.3.1, Node 20): Alle 75 Tests bestanden. Anschließend haben wir dem Verifier seine acht mitgelieferten synthetischen Nachweispakete übergeben und die zurückgegebenen Entscheidungen festgehalten. Fixiertes Upstream-Repository.
- Eine fehlende Sicht ist eine Lücke. Fehlte die Sicht des Schedulers, gab der Verifier UNKNOWN zurück.
- Ein weiterhin eingeplanter Auftrag ist eine offene Aufgabe. Ein solcher Auftrag führte zu INCOMPLETE, auch wenn das Paket Erfolg meldete.
- Historie darf bleiben. Aufbewahrte historische Nachweise waren in diesem Profil mit CLOSED vereinbar.
- Nachfolger werden ausdrücklich benannt. Eine Übertragung an einen Nachfolger ergab unter den im Testfall kodierten Bedingungen CLOSED.
| Mitgelieferter Testfall | Beobachtetes Ergebnis |
|---|---|
| Direkt fortbestehende Aufgabe | INCOMPLETE |
| Transitiv fortbestehende Aufgabe | INCOMPLETE |
| Ausstehende Verpflichtung | INCOMPLETE |
| Aufbewahrte Nachweise | CLOSED |
| Übertragung an einen Nachfolger | CLOSED |
| Fehlende Abdeckung | UNKNOWN |
| Gemeldeter Erfolg bei einem weiterhin eingeplanten Auftrag | INCOMPLETE |
| Abgeschlossene Abwicklung mit stabilen abschließenden Scans | CLOSED |
Was die Reproduktion nicht zeigt
Der Verifier bewertet die Nachweise, die er erhält. Unser Lauf hat keinen Agenten, keine Warteschlange und keine Zahlung gestartet, nicht nach verborgenen Warteschlangen gesucht und zeigt nicht, dass ein realer Collector alles wahrheitsgemäß meldet. Testsuite und Wiederholung der Testfälle überschneiden sich, daher sind die acht Testfälle keine acht weiteren unabhängigen Validierungen. Ein Ergebnis des Verifiers ist nur so aussagekräftig wie der Umfang der Nachweise und der Erhebungsprozess dahinter.
Wir haben keines der beiden Preprints reproduziert. Das erste Paper berichtet 112 geschützte Wirkungen bei 225 Versuchen unter seiner partitionierten Topologie; das zweite berichtet 17 akzeptierte Fälle und 44 abgelehnte Mutationen für seinen Checker. Beide Zahlen stammen von den Autoren selbst. Der Artefakt-Endpunkt des ersten Papers lieferte über unsere Werkzeuge keinen verwertbaren Inhalt.
Ein Nachweisdatensatz für die Vorfallverantwortlichen
Wir haben die Forschung in ein Arbeitsblatt für Stoppnachweise (auf Englisch) übertragen. Es fragt nach der entzogenen Befugnis, der nachgelagerten Arbeit, den Stellen, die den Entzug durchsetzen, bereits eingetretenen Wirkungen und ungeklärten Beobachtungen. Es enthält Platz für Nachfolgearbeit unter unabhängiger Befugnis und für die Person, die den Abgleich verantwortet.
Ein Beispiel: Ein Worker hat vor dem Widerruf eine Zahlungsanfrage gesendet und erhält die Eingangsbestätigung danach. Die Bestätigung gehört in den Vorfalldatensatz. Die nächste Aktion des Workers braucht eine eigene aktuelle Autorisierungsprüfung. Eine bereits eingetretene Wirkung kann eine separate fachliche Reaktion erfordern, etwa einen Abgleich oder eine autorisierte Rückbuchung. Das Arbeitsblatt hält diese Verantwortlichkeiten fest und geht nicht davon aus, dass sich eine Wirkung standardmäßig rückgängig machen lässt.
| Feld | Was festzuhalten ist |
|---|---|
| Entzogene Befugnis | Kennungen der Ursprungs- und Delegationsbefugnis; Kennungen der Widerrufsanfrage und der festgeschriebenen Änderung |
| Beobachtungsfenster | Zeitquellen, Unsicherheit, Beginn und Ende |
| Umfang | Einbezogene Aktionen und Wirkungsziele; ausgeschlossene Pfade und der Grund für jeden |
| Durchsetzungspfade | Die an jedem Pfad zuletzt beobachtete Autorisierungsversion |
| Offene Aufgaben | Warteschlangeneinträge, Wiederholungen, delegierte Arbeit und ausstehende Verpflichtungen |
| Bearbeitungsstatus je Position | Verhindert, früher abgeschlossen, übertragen, ausstehend oder unbekannt |
| Nach dem festgelegten Grenzzeitpunkt | Versuche und eingetretene Wirkungen; verspätete Bestätigungen und Abgleichsmaßnahmen |
| Lücken | Fehlende Collectors, veraltete Sichten oder widersprüchliche Nachweise |
| Verantwortliche | Verbleibende Maßnahmen, Verantwortliche und nächster Prüftermin |
Die Stopp-Aussage mit ihren Grenzen formulieren
Das Arbeitsblatt endet mit einer Aussage, die die für den Vorfall verantwortliche Person wiederverwenden kann: „Für [Befugnis] und [deklarierte Pfade] zeigen Beobachtungen von [Beginn] bis [Ende] [Ergebnis]. [Positionen] bleiben ungeklärt, weil [konkrete Nachweislücke]. [Verantwortliche Person] verantwortet den Abgleich.“
Behalten Sie die Einschränkungen zu Zeit und Umfang bei, wenn die Aussage in eine Vorfallzusammenfassung übernommen wird. Die Aussage nennt dann, welche Aktionen verhindert wurden, welche bereits Wirkung entfaltet hatten, welche Aufgaben übertragen wurden und welche Beobachtungen nicht verfügbar sind. Betrieb, Engineering und Risikoverantwortliche können einen einzigen Datensatz prüfen, in dem das Wort „gestoppt“ eine klare Bedeutung hat.
Wie sich der KLA-Stopppfad zum Arbeitsblatt verhält
Agenten, die über die KLA-Schnittstelle für Agentenaktionen handeln, arbeiten unter einem Agentenmandat. Der Widerruf des Mandats blockiert daran gebundene offene Vorschläge mit dem Grundcode mandate_revoked, storniert deren offene Entscheidungsanforderungen und lehnt die nächste Aktion ab, die der Agent vorschlägt. Eine bereits zugelassene Aktion kann abgeschlossen werden; sie gehört daher in die Zeilen „früher abgeschlossen“ oder „Nach dem festgelegten Grenzzeitpunkt“ des Arbeitsblatts.
Die Forschung in diesem Beitrag hat KLA nicht getestet. Der Leitfaden zur Kill-Switch-Architektur beschreibt den vollständigen KLA-Stopppfad einschließlich des Einfrierens aus dem Vorfall heraus, und das Playbook zur Reaktion auf Vorfälle behandelt den übrigen Vorfalldatensatz.
Häufig gestellte Fragen
Wie weist man nach, dass ein KI-Agent gestoppt ist?
Formulieren Sie zuerst die Aussage: die entzogene Befugnis, die abgedeckten Pfade und das Beobachtungsfenster. Halten Sie dann die an jedem Durchsetzungspfad zuletzt gesehene Autorisierungsversion fest, den Bearbeitungsstatus jeder Position in Warteschlangen, Wiederholungen und Delegationen, alle nach dem festgelegten Grenzzeitpunkt eingetretenen Wirkungen und die fehlenden Nachweise. Die Aussage gilt nur innerhalb dieses Umfangs und Zeitfensters.
Stoppt der Widerruf des Tokens eines Agenten bereits laufende Arbeit?
Nicht unbedingt. Der Widerruf eines OAuth-Tokens kann Zeit brauchen, bis er sich verbreitet hat, und zwischengespeicherte Introspection-Ergebnisse können veraltet sein. Arbeit, die bereits in einer Warteschlange liegt, delegiert oder von einem nachgelagerten System angenommen wurde, kann noch abgeschlossen werden, und der MCP-Abbruch ist optional und kann mit dem Abschluss konkurrieren. Jede Position braucht einen eigenen dokumentierten Bearbeitungsstatus.
Lassen sich abgeschlossene Aktionen eines widerrufenen Agenten rückgängig machen?
Der Widerruf stoppt neue Aktionen. Eine bereits eingetretene Wirkung bleibt bestehen: Eine Zahlung zum Beispiel erfordert eine separate fachliche Reaktion wie einen Abgleich oder eine autorisierte Rückbuchung, dokumentiert mit der verantwortlichen Person.
Was hat die Reproduktion des Closure-Verifiers gezeigt?
Bei Commit ef07236 bestanden alle 75 Upstream-Tests, und die acht mitgelieferten synthetischen Pakete ergaben dreimal CLOSED, viermal INCOMPLETE und einmal UNKNOWN. Der Lauf bewertete nur mitgelieferte Nachweise. Er startete keinen Agenten und keine Warteschlange und sagt nichts darüber aus, wie vollständig ein realer Collector ist.
Die wichtigsten Erkenntnisse
Ein Agent ist nur innerhalb eines schriftlich festgelegten Umfangs gestoppt: Befugnis, Pfade und Zeitfenster. Sammeln Sie die Nachweise für diesen Umfang, dokumentieren Sie den Bearbeitungsstatus jeder offenen Position und benennen Sie die Lücken und ihre Verantwortlichen. Beginnen Sie mit dem Arbeitsblatt für Stoppnachweise, und lesen Sie zur Kill-Switch-Architektur nach, welche Kontrollen diese Nachweise erzeugen.
Die Quellen wurden am 26. Oktober 2026 geprüft. Die beiden Preprints wurden nicht unabhängig reproduziert. Unsere Beobachtungen beruhen auf veröffentlichten synthetischen Testfällen und enthalten kein Ergebnis aus der KLA-Produktion.