Wie kontrolliert man Agenten?

Ein Sprachmodell kann einen falschen Schluss ziehen oder fremde Anweisungen aus einer Datei übernehmen. Sobald es Schreibrechte besitzt, wird daraus mehr als eine falsche Antwort. Eine Nachricht geht hinaus, ein Datensatz ändert sich, ein Folgeprozess beginnt. Die Kontrolle muss deshalb an der Stelle greifen, an der die Wirkung entsteht.

OWASP beschreibt übermäßige Handlungsfähigkeit als Zusammenspiel von zu vielen Funktionen, zu großen Rechten und zu viel Spielraum. Für den Entwurf folgt daraus: Ein Agent erhält nur die Werkzeuge, die seine Aufgabe braucht. Ein Lesewerkzeug sollte nicht nebenbei löschen können.

Prüfen Sie zunächst die Identität: Wer handelt, für wen und in welchem Auftrag? Danach folgen Ressource und Handlung. Der Zugriff auf einen Fall erlaubt nicht automatisch das Ändern aller Fälle. Die Prüfung gehört in den Dienst oder das Zielsystem, nicht nur in die sichtbare Oberfläche.

Ein Werkzeug prüft zusätzlich seine Eingaben. Freie Befehlszeilen sind schwerer zu begrenzen als eine konkrete Operation mit festem Datentyp. Wo eine Handlung Folgen außerhalb des erlaubten Rahmens hat, stoppt der Ablauf oder fordert eine passende Freigabe an. Protokollierung ergänzt diese Grenzen, sie verhindert die Handlung allein nicht.

Ein Agent bereitet eine Änderung an einem Objekt vor. Die Freigabe muss genau dieses Objekt, die vorgeschlagene Änderung und die erlaubte ausführende Identität meinen. Ändert sich der Inhalt nach der Prüfung, ist die alte Freigabe unzureichend. Ein allgemeines Ja zu einem ganzen Chat lässt diese Bindung offen.

Legen Sie fest, wann die Erlaubnis endet und wie Wiederverwendung verhindert wird. Beim tatsächlichen Aufruf prüft die Ausführungsstelle alle Bedingungen erneut. Eine schöne Freigabemaske ist wirkungslos, wenn ein anderer Aufruf denselben Schreibweg ohne Prüfung erreichen kann.

Ein gesperrter Schritt darf keine versteckte Wiederholung über ein anderes Werkzeug auslösen. Fehlende Rechte sind ein Ergebnis, kein Hindernis, das der Agent eigenständig umgehen soll. Legen Sie für Ablehnungen einen eindeutigen Rückgabezustand und eine zuständige Stelle fest.

Berücksichtigen Sie teilweise ausgeführte Vorgänge. Wenn das erste Zielsystem geschrieben hat und das zweite nicht erreichbar ist, darf eine Wiederholung den ersten Schritt nicht verdoppeln. Idempotenz bedeutet hier: dieselbe technische Anfrage erzeugt bei Wiederholung keine zusätzliche Wirkung. Das braucht einen gespeicherten Ausführungszustand und klare Konfliktregeln.

Der vorhandene Prototyp prüft eine Freigabe auf Echtheit, Ablauf, Bindung an eine Sache und Einmalverbrauch. Die Browser-Vorführung rechnet HMAC-SHA256 und SHA-256 tatsächlich. Sie zeigt dadurch eine konkrete Kontrollidee statt einer nur gezeichneten Sperre.

Die Grenze bleibt sichtbar: Der Zustand der Vorführung liegt im Browserfenster. Eine produktive Identitätsanbindung, verteilte Sperren und die Durchsetzung in fremden Unternehmensprogrammen sind damit nicht nachgewiesen. KALKÜL beschreibt die geplante Kontroll- und Protokollschicht; AXON die geplante Ausführung innerhalb dieses Rahmens.