Simon Gooch: KI-Agenten brauchen einen getesteten Stopp
Schriftliches Interview mit Simon Gooch, Field CIO bei Saviynt
Ein KI-Agent entscheidet erst zur Laufzeit, wie er seine Rechte nutzt. Simon Gooch, Field CIO bei Saviynt, erklärt im schriftlichen Interview, wo Unternehmen Zugriffe prüfen und wie sie den Stopp eines Agenten testen können.
Das Wichtigste in Kürze
- Eine eigene Identität. Gooch empfiehlt eigene Zugangsdaten für den Agenten und eine nachvollziehbare Zuordnung zum Auftraggeber.
- Rechte am Zielsystem prüfen. Die Anwendung entscheidet vor einer Änderung, ob der Agent sie vornehmen darf. Menschliche Freigaben müssen dort durchgesetzt werden.
- Den Stopp messen. Entscheidend ist der Abstand zwischen dem Auslösen des Stopps und der letzten erfolgreichen Aktion in den angebundenen Systemen.
Verwandt: Nvidia will ausbrechende KI-Agenten per Hardware stoppen · KI-Agenten erbeuten 600.000 Kreditkartendaten
Eigene Identität und begrenzte Rechte
Frage 01
Was unterscheidet die Zugriffsrisiken eines KI-Agenten von denen eines klassischen technischen Benutzerkontos?
Ein technisches Konto macht jeden Tag dasselbe. Deshalb fällt sofort auf, wenn es plötzlich etwas anderes tut. Ein KI-Agent hat ähnliche Rechte, entscheidet aber erst zur Laufzeit, was er damit anfängt. Und weil er Werkzeuge nacheinander aufruft, reicht er am Ende weiter als das eine System, an das man bei der Freigabe gedacht hat.
Dazu kommt: Er nimmt Anweisungen aus Inhalten entgegen, die er liest. Man kann ihn also lenken, ohne je Zugangsdaten zu stehlen.
Frage 02
Ein Agent handelt im Auftrag eines Mitarbeiters und ruft dafür weitere Werkzeuge auf: Mit welcher Identität sollte er arbeiten und wie verhindern Unternehmen, dass dabei mehr Rechte weitergegeben werden als für die Aufgabe nötig?
Mit einer eigenen, immer. Der Agent sollte seine eigenen Zugangsdaten mitführen und dazu die Information, für wen er gerade handelt. Nur so lässt sich hinterher sagen, wer was veranlasst hat.
Die Regel, die Rechte klein hält, lautet: Was der Agent darf, ist die Schnittmenge aus den Rechten des Nutzers und seinen eigenen, nie die Summe.
Und seine Tokens gelten für die einzelne Aufgabe und laufen schnell ab.
Der übliche Fehler ist das Gegenteil: einmal bei der Einrichtung großzügig Rechte vergeben, damit nichts scheitert und danach rührt sie niemand mehr an.
Was der Agent darf, ist die Schnittmenge aus den Rechten des Nutzers und seinen eigenen, nie die Summe.
Freigaben am Zielsystem durchsetzen
Frage 03
Ein Agent soll einen Kundendatensatz ändern. Wo wird unmittelbar vor der Änderung geprüft, ob er das darf? Bitte beschreiben Sie auch, wann eine menschliche Freigabe nötig ist und wie sie technisch durchgesetzt wird.
Beim System selbst, nicht beim Agenten. Die Anwendung, der der Kundendatensatz gehört, entscheidet im Moment des Schreibens. Sie prüft, welcher Agent anfragt, für wen er handelt, welche Aktion ansteht und welcher Datensatz betroffen ist.
Eine menschliche Freigabe sollte an festen Kriterien hängen: Wie sensibel sind die Daten, wie groß ist der Eingriff, lässt er sich rückgängig machen?
Und sie wirkt nur, wenn der Agent ohne sie nicht weiterkommt. Das Recht darf also gar nicht erst in seinem Token stecken. Es kommt erst nach der Freigabe, für diesen einen Vorgang.
Den Stopp im Betrieb prüfen
Frage 04
Wie stoppen Unternehmen einen Agenten zuverlässig, wenn er unerwartete Aktionen ausführt? Was muss außer seinem Benutzerkonto gesperrt oder widerrufen werden und wie lässt sich überprüfen, dass der Stopp tatsächlich wirkt?
Das Konto zu sperren, gibt ein trügerisches Gefühl von Sicherheit. Bereits ausgestellte Tokens laufen weiter, bis sie von selbst ablaufen.
Ein verlässlicher Stopp zieht deshalb auch die aktiven Tokens zurück, die OAuth-Freigaben in jeder angebundenen Anwendung, Schlüssel, Zertifikate und Secrets, die Registrierung des Agenten im Verzeichnis und alles, was bereits in der Warteschlange steht.
Prüfen lässt sich das nur praktisch: eine Anfrage mit den widerrufenen Zugangsdaten gegen jedes angebundene System schicken und anschließend in den Protokollen nachsehen, ob nach dem Widerruf noch etwas erfolgreich durchging.
Die Zahl, auf die es ankommt, ist der Abstand zwischen dem Auslösen des Stopps und der letzten erfolgreichen Aktion. Gemessen hat ihn kaum jemand.
Die Zahl, auf die es ankommt, ist der Abstand zwischen dem Auslösen des Stopps und der letzten erfolgreichen Aktion.
Frage 05
Was wäre für ein Unternehmen mit den ersten produktiven KI-Agenten ein sinnvoller Start in den nächsten 30 Tagen? An welchem überprüfbaren Ergebnis würde sich zeigen, dass die Zugriffskontrolle besser funktioniert?
Zehn Tage Bestandsaufnahme: Welche Agenten laufen produktiv, welche Identität nutzt jeder, worauf kommt er und wer ist namentlich verantwortlich?
Zehn Tage für die beiden strukturellen Probleme: Agenten, die mit menschlichen Zugangsdaten arbeiten und dauerhafte Rechte, die nach der Einrichtung niemand eingegrenzt hat.
Zehn Tage, um den Notausschalter zu proben und zwar beim Agenten mit der größten Reichweite.
Das überprüfbare Ergebnis ist genau dieser Abstand beim Widerruf. Sinkt er von unbekannt auf Minuten, funktioniert die Zugriffskontrolle besser.
Die ersten 30 Tage nach Simon Gooch
- Bestand aufnehmen: Produktive Agenten, ihre Identitäten, erreichbare Systeme und Verantwortliche erfassen.
- Rechte begrenzen: Menschliche Zugangsdaten und dauerhaft zu weit gefasste Rechte bei Agenten korrigieren.
- Stopp erproben: Beim Agenten mit der größten Reichweite den Widerruf testen und den Abstand zur letzten erfolgreichen Aktion messen.
Häufige Fragen
Wo soll eine Datenänderung autorisiert werden?
Gooch ordnet die Entscheidung der Anwendung zu, der die Daten gehören.
Wie soll ein Agent im Auftrag eines Mitarbeiters arbeiten?
Mit eigenen Zugangsdaten und mit der Information, für wen er handelt.
Wie begrenzt Gooch weitergegebene Rechte?
Er empfiehlt die Schnittmenge der Rechte des Nutzers und des Agenten.
Was soll ein Stopptest überprüfen?
Ob nach dem Widerruf noch erfolgreiche Aktionen in angebundenen Systemen stattfinden.
Welches Ergebnis macht den Stopp überprüfbar?
Der gemessene Abstand zwischen dem Auslösen des Stopps und der letzten erfolgreichen Aktion.
Lesetipps der Redaktion
LesetippNvidia will ausbrechende KI-Agenten per Hardware stoppenLesetippKI-Agenten erbeuten 600.000 KreditkartendatenLesetippCopilot kennt alle Freigaben im Tenant, auch die falschen
Mehr aus dem MBF Media Netzwerk
cloudmagazinopenDesk öffnet sich für private Cloud-AnbieterDigital ChiefsKI-Ausgaben steigen, skaliert hat nur jede fünfte FirmaMyBusinessFutureWas die KI-Skepsis der Kundschaft für Firmen heißt
Bildquelle: KI-generiert (Oktober 2026). Porträt im Beitrag: Saviynt (Pressefoto).
