Agentenautorisierung

Agentenautorisierung ist die Prüfung, die entscheidet, ob ein KI-Agent eine bestimmte Aktion mit bestimmten Argumenten im Auftrag eines bestimmten Prinzipals ausführen darf, und zwar in dem Moment, in dem der Agent sie vorschlägt. Sie umfasst die Werkzeuge, die der Agent aufrufen darf, die Datensätze, die er lesen oder ändern darf, die geltenden Beträge und Limits sowie die Aktionen, die zuerst die Freigabe einer Person brauchen.

Agenten brauchen diese Prüfung bei jeder Aktion, weil sie ihren nächsten Schritt erst zur Laufzeit wählen. Welche Aktionen ein Agent versuchen wird, steht bei der Inbetriebnahme nicht vollständig fest. Eine einmal beim Start vergebene Rolle kann deshalb nicht klären, ob eine bestimmte Zahlung, eine Datensatzänderung oder eine Nachricht an einen Kunden zulässig ist. Die OWASP Top 10 for LLM Applications nennen dieses Risiko Excessive Agency (LLM06:2025) und führen es auf drei Ursachen zurück: übermäßige Funktionalität, übermäßige Berechtigungen und übermäßige Autonomie. Jede davon ist eine Autorisierungsfrage.

Ein tragfähiges Design hat drei Ebenen. Die Identität hält fest, welcher Agent in welcher Version handelt und für wen; diesen Eintrag führt das KI-Agenten-Register. Die Berechtigungen listen die Werkzeuge, Daten und Limits, die der Agent nach dem Prinzip der minimalen Rechte erhält, festgehalten in seinem Agentenmandat. Die Entscheidung pro Aktion bewertet jede vorgeschlagene Aktion anhand der Berechtigungen und des aktuellen Kontexts und liefert eines von vier Ergebnissen: allow, warn, require_approval oder block.

Banken rezertifizieren die Zugriffsrechte ihrer Mitarbeitenden bereits in festen Abständen. Dieselbe Überprüfung gilt für Agenten: Der Verantwortliche bestätigt, dass jede Berechtigung noch nötig ist, und ungenutzte oder zu weit gehende Berechtigungen werden entzogen. Auch der Widerruf gehört zur Autorisierung. Ein Agenten-Kill-Switch entzieht alle Berechtigungen auf einmal. In unserer eigenen Entwicklungsumgebung hat eine Policy, deren Regeln nicht zur Struktur der Eingabe eines Agenten passten, ihre Standardentscheidung angewandt und den Lauf blockiert, obwohl ihr Autor eine Freigabeanfrage erwartet hatte. Testen Sie jede Policy vor der Veröffentlichung mit echten Eingaben.

In KLA liegen die Werkzeugberechtigungen im Tool Catalog, und die KLA Policy Engine bewertet vorgeschlagene Tool-Aufrufe vor ihrer Ausführung anhand der veröffentlichten Policy des Agenten. Ein Ergebnis require_approval hält die Aktion als Decision Request im Decision Desk zurück, bis ein Prüfer entscheidet.