Ein AI-Agent sollte nicht dieselben Zugriffsrechte erhalten wie die Person, die ihn startet. Menschen können Kontext, Folgen und Ausnahmen beurteilen. Ein Agent arbeitet nach Modelloutput, Tool-Beschreibungen und den Grenzen seiner Laufzeit. Wird ihm pauschal Vollzugriff gegeben, wird aus einem Fehler schnell eine echte Aktion.
Das richtige Ausgangsprinzip ist Least Privilege: Der Agent erhält nur die Daten und Werkzeuge, die er für einen klar beschriebenen Auftrag benötigt. Schreibrechte, Exporte und externe Kommunikation werden separat behandelt.
Warum Benutzerrechte nicht einfach vererbt werden sollten
Ein Mitarbeitender kann in einem CRM lesen, bearbeiten, exportieren und löschen. Ein Recherche-Agent benötigt möglicherweise nur Leserechte auf ausgewählte Felder. Ein Support-Agent darf einen Antwortentwurf erstellen, aber nicht zwingend versenden oder Kundendaten exportieren.
Wenn Agenten automatisch alle Benutzerrechte übernehmen, vergrössert sich der mögliche Schaden durch Prompt Injection, fehlerhafte Tool-Auswahl oder missverständliche Anweisungen. Die Berechtigung muss deshalb zur Aufgabe passen, nicht nur zur Identität des Benutzers.
Berechtigungen in vier Ebenen modellieren
Eine praktische Berechtigungsarchitektur trennt:
- Quellen: Welche Dokumente, Datenbanken und Projekte darf der Agent lesen?
- Werkzeuge: Welche APIs und Funktionen darf er überhaupt aufrufen?
- Aktionen: Darf er nur lesen, auch schreiben oder irreversible Schritte ausführen?
- Umfang: Für welchen Datensatz, Zeitraum, Kunden oder Betrag gilt die Erlaubnis?
Ein Tool namens "CRM" ist zu grob. Lesen eines Kontakts, Aktualisieren einer Notiz, Exportieren einer Liste und Löschen eines Datensatzes sind verschiedene Fähigkeiten und brauchen getrennte Regeln.
Temporäre statt dauerhafte Rechte
Viele Agentenaufgaben sind zeitlich begrenzt. Dafür eignen sich kurzlebige Tokens, aufgabenspezifische Scopes und Ablaufzeiten besser als dauerhafte API-Schlüssel. Nach Abschluss oder Abbruch der Aufgabe sollte die Berechtigung verfallen.
Ebenso wichtig ist die Bindung an einen Zweck. Ein Agent, der zehn definierte Rechnungen prüfen soll, braucht keinen unbeschränkten Zugriff auf das gesamte Finanzarchiv.
Was Prompt Injection mit Berechtigungen zu tun hat
Prompt Injection lässt sich nicht allein durch bessere Systemprompts lösen. Wenn ein Agent externe Inhalte liest, können diese Inhalte versuchen, sein Verhalten zu beeinflussen. Die wirksamste Schadensbegrenzung liegt deshalb ausserhalb des Modells: enge Tool-Rechte, getrennte Schreibfunktionen, Datenfilter, Bestätigungen und Protokollierung.
Der Agent darf eine unerlaubte Aktion technisch nicht ausführen können. Eine Anweisung wie "Ignoriere frühere Regeln" ist dann weniger gefährlich, weil die Laufzeit die Grenze durchsetzt.
Freigaben nach Auswirkung staffeln
Nicht jede Aktion braucht dieselbe Kontrolle. Eine sinnvolle Staffelung ist:
- Lesen innerhalb eines erlaubten Bereichs kann automatisch erfolgen.
- Entwürfe werden erstellt, aber nicht versendet.
- Änderungen an Geschäftsdaten brauchen eine Vorschau und Bestätigung.
- Zahlungen, Löschungen und öffentliche Kommunikation brauchen eine explizite Freigabe.
Die Freigabe muss zeigen, was genau passieren wird. Ein generisches "Agent fortsetzen?" reicht nicht.
Berechtigungen regelmässig testen
Dokumentierte Regeln sind nur der Anfang. Testen Sie negative Fälle: Kann der Agent auf ein fremdes Projekt zugreifen? Kann er über ein erlaubtes Tool indirekt Daten exportieren? Kann ein Tool-Aufruf den definierten Umfang überschreiten? Werden abgelaufene Rechte wirklich abgelehnt?
Diese Tests gehören in die Einführung und in jede Änderung an Tools, Modellen oder Konnektoren.
Quellen
- OWASP, Top 10 for LLM Applications: https://owasp.org/www-project-top-10-for-large-language-model-applications/
- NIST, Zero Trust Architecture: https://csrc.nist.gov/publications/detail/sp/800-207/final
- Model Context Protocol, Authorization: https://modelcontextprotocol.io/specification/latest/basic/authorization
- Anthropic, Mitigating jailbreaks and prompt injections: https://docs.anthropic.com/en/docs/test-and-evaluate/strengthen-guardrails/mitigate-jailbreaks
Nächster Schritt
Nehmen Sie einen geplanten Agenten und listen Sie jede benötigte Aktion einzeln auf. Trennen Sie Lesen, Schreiben, Exportieren, Senden und Löschen. Entfernen Sie alle Rechte, die nicht für den ersten Pilot nötig sind, und testen Sie danach mindestens fünf ausdrücklich unerlaubte Aktionen.