Die dritte Welle der KI: „Coworkers“ durchbrechen das Sicherheitsmodell, das für Agenten funktionierte!
Wir können es uns nicht länger leisten, uns über mehrere Jahre an Veränderungen anzupassen. Der grundlegende Wandel in der KI-gestützten Arbeit verändert sich Monat für Monat so rasant, dass wir in nur drei Jahren bereits deutliche Wellen arbeitsbezogener KI erlebt haben und die nächste nicht mehr nur am Horizont, sondern unmittelbar bevorsteht. Zuerst gab es sitzungsbezogene Chats, bei denen das Risiko in den Aussagen des Modells lag. Dann kamen aufgabenbezogene Agenten, bei denen das Risiko in den Handlungen des Modells besteht. Im Großen und Ganzen befinden wir uns aktuell an diesem Punkt, doch die Ziele liegen bereits woanders. Wirklich persistente KI-Mitarbeiter sind fast da, und mit ihnen die Auflösung der gegenwärtigen Zugriffsmodelle.
Wie so oft in diesem Bereich lässt sich anhand der Wortwahl erkennen, wohin die KI-Unternehmen wollen. Microsoft spricht von Agenten als „digitalen Kollegen“, und Sam Altman von OpenAI skizzierte den Plan für virtuelle Mitarbeiter bereits vor einer gefühlten Ewigkeit, im Februar 2025. Diese Vision wird nun Realität, und wir müssen unsere Sicherheitsmodelle anpassen, um den grundlegenden Unterschieden in der Arbeitsweise unserer KI-Kollegen Rechnung zu tragen.
Beharrlichkeit verändert alles…
Sie sollten dies lieber früher als später planen. Einige Jahre lang konnten wir KI in bestehende Zugriffsmodelle einordnen, aber ein „echter“ Mitarbeiter, der selbstständig arbeitet, erfordert ein anderes Denken.
Agentische Mitarbeiter benötigen entweder eine frühzeitige Zugriffsvergabe oder eine maschinenfreundlichere (aber dennoch sichere) Methode zur Bereitstellung der Zugriffsrechte, da die Genehmigung von Aktionen im Einzelfall nur funktioniert, wenn ein Mensch zur Überprüfung verfügbar ist. Echte digitale Mitarbeiter können sich nicht auf regelmäßige Genehmigungen für alles verlassen, sollten aber bei Bedarf zusätzliche Zugriffsrechte anfordern können. Die Bereitstellung von speziell für KI-Agenten entwickelten Identitäten ist derzeit noch lange nicht Standard . Üblicherweise werden OAuth-Grants, In-Session-Handoffs und Dienstkonten verwendet. Bei den ersten beiden Optionen steht in der Regel der Mensch im Mittelpunkt; die dritte Option wird selten speziell für Agenten erstellt. Die Persistenz führt in einer weiteren Hinsicht zu einem veränderten Risikoprofil für die Zugangsdaten digitaler Mitarbeiter. Sie werden im Grunde zu einem permanenten Privileg, genau wie bei Personen. Wir müssen ihren Lebenszyklus, einschließlich des entscheidenden Deaktivierungsschritts, berücksichtigen, um die Sicherheit zu gewährleisten .
Und bedenken Sie die schleichende Ausweitung von Zugriffsrechten. Wenn ein digitaler Mitarbeiter hartnäckig ist, sammelt er zwangsläufig Zugriffsrechte aus verschiedenen Projekten an. Für Menschen ist die schleichende Ausweitung von Zugriffsrechten das älteste ungelöste Problem der Identitätsverwaltung. Für Maschinen ist sie mit Sicherheit viel gravierender, sowohl aufgrund der Geschwindigkeit, mit der sich Zugriffsrechte anhäufen, als auch aufgrund ihrer Neigung, alle ihnen gewährten Zugriffsrechte zu nutzen. Agenten können mehrere sinnvolle Berechtigungen kombinieren und so einen Gesamtumfang erreichen, den niemand ihnen ursprünglich geben wollte.
Alle werden sich anpassen müssen!
Nicht nur Unternehmen müssen sich an die dritte Welle agentenbasierter Workflows anpassen. Aktuell stellen die beiden am weitesten verbreiteten Agentenplattformen ihren Agenten keine eigenen Anmeldeinformationen aus. Weder Anthropic noch OpenAI unterstützen die OAuth-Client-Anmeldeinformationen in ihren gehosteten Chatprodukten, während ChatGPT-Konnektoren Dienstkonten und JWT-Assertions kategorisch ablehnen .
Beide Systeme ermöglichen es einem Entwickler, einem Agenten über ihre APIs ein statisches Bearer-Token zu übergeben, aber das ist noch lange keine gültige Identität.
Folglich verfügen KI-Systeme nicht nur über uneingeschränkte Berechtigungen, die ursprünglich für Menschen vorgesehen waren, sondern die Protokolle sind auch verfälscht. Wenn KI innerhalb ihrer vom Benutzer erteilten Berechtigungen agiert, wird in der Regel der Mensch als Handelnder in den Prüfprotokollen vermerkt. Der Wunsch, einen Menschen in den Entscheidungsprozess einzubinden, betrifft nicht nur die KI, sondern stellt auch eine Belastung für die Anwender dar. OAuth geht davon aus, dass ein Mensch eine Zustimmungsmaske liest und eine festgelegte Liste von Berechtigungen genehmigt. Agenten sind selten mit ihren anfänglichen Zugriffsrechten zufrieden; sie entdecken Tools zur Laufzeit und versuchen, diese zu nutzen. Die Bestätigung sensibler Aktionen alle paar Minuten ist nicht nur lästig, sondern auch ein Sicherheitsrisiko, da unsere Aufmerksamkeit begrenzt ist.
Diejenigen, die Coworkers aufbauen, machen deutlich, was sie brauchen…
Tara Seshan, Produktleiterin für ChatGPT Work und Codex bei OpenAI, beschrieb im August 2026 in Lennys Podcast , was einen Agenten tatsächlich nützlich macht . Modellintelligenz ist nur ein Teil davon. Der Rest besteht aus dem, was sie als „taktische Kernarbeit“ bezeichnete: Datenzugriff, Cloud-Infrastruktur und Zuverlässigkeit. Ihr Vergleich lautete: Man stellt einen Kollegen ein und sperrt ihn dann in einen Raum, ohne ihm Zugang zu Google Docs, Slack oder der Firmendatenbank zu gewähren. Dieser Kollege wird nicht effektiv arbeiten können. Ein isolierter Cloud-Agent, argumentierte sie, sei aus demselben Grund nutzlos. Sie hat Recht, was die Anforderung betrifft. Der Weg zu einem hilfreichen Kollegen verläuft über dieselben Systeme, mit denen ein menschlicher Mitarbeiter in Berührung kommt.
Seshan beschrieb außerdem, wie ihr Agent Unteragenten erzeugt, um die Arbeit zu parallelisieren, und eine nahe Zukunft, in der ihre Agenten und die Agenten ihrer Kollegen bei gemeinsamen Aufgaben zusammenarbeiten. Beides sind plausible Ansätze, die jedoch ein Identitätsmodell voraussetzen, das nicht existiert. Wenn der Beauftragte einer Person eine Aufgabe an den Beauftragten einer anderen Person weitergibt, gehört die Berechtigung zur Ausführung der Aufgabe demjenigen Menschen, der die Kette in Gang gesetzt hat.
Google hat das richtige Modell im Jahr 2024 entwickelt - Es wurde nur nie ausgeliefert
Auf der I/O-Konferenz im Mai 2024 präsentierte Google einen Workspace-Agenten namens Chip. Chip verfügte über ein eigenes Workspace-Konto, eine zugewiesene Rolle, konfigurierte Berechtigungen und festgelegte Ziele. Er nahm an Chaträumen teil und antwortete anhand des verfügbaren Chatverlaufs.
Workspace-Vizepräsidentin Aparna Pappu erklärte damals, Google müsse noch viel Arbeit leisten, bevor „agentische“ Funktionen wie virtuelle Teammitglieder in das Produkt integriert werden könnten. Chip blieb vorerst ein Demogerät.
Was Google (und alle seine Konkurrenten) stattdessen auf den Markt brachten, sind Agenten, bei denen der Mitarbeiter die Autorität eines Menschen erbt.
Was ist dagegen zu tun?
Die Plattformanbieter haben begonnen, sich anzupassen. Microsoft hat Entra Agent ID mit erstklassigen Agentenidentitäten und einem benannten menschlichen Sponsor ausgeliefert. Okta hat Agentenidentitäten in das Universal Directory integriert, mit kurzlebigen, bereichsgebundenen Token und einem Widerrufspfad. SailPoint und CyberArk bieten vergleichbare Lösungen an. Der Nachteil: Jede Plattform schützt ihre Agenten innerhalb ihrer eigenen Infrastruktur.
Wenn Sie plattformunabhängig vorgehen möchten, sind Identitätskontrollen der einzige faktische Prüfpunkt, an dem Sie Richtlinien durchsetzen können, da die Identität den Zugriff auf jede Aktion regelt. Hier sind fünf Dinge, die Sie tun sollten:
-
Finden Sie die Schattenmitarbeiter. Die Registrierung erfasst nur Agenten, die jemand registriert hat. Erkennen Sie sie anhand ihres Authentifizierungsverkehrs .
-
Weisen Sie jedem persistenten Agenten eine eigene Identität zu. Wenn er sich als Mensch authentifiziert, kann keine nachgelagerte Kontrollinstanz die beiden unterscheiden, und keine Untersuchung kann eine Aktion korrekt zuordnen.
-
Einen menschlichen Besitzer erfassen. Verwaiste Agenten mit aktiven Anmeldeinformationen sind die häufigste Quelle für agentenbezogene Statusberechtigungen.
-
Der Zugriff sollte dem Agenten und nicht der Person, die ihn eingerichtet hat, zugewiesen werden. Ein Agent, der Jira liest, sollte kein Token besitzen, das auch Schreibzugriff auf Ihren Cloud-Anbieter ermöglicht, nur weil der Entwickler, der ihn eingerichtet hat, zufällig beides besaß.
-
Legen Sie im Voraus fest, wann ein Agent deaktiviert wird. Digitale Mitarbeiter sind nicht projektbezogen und daher nicht an Projekte gebunden. Das bedeutet aber nicht, dass Sie sie als unsterblich betrachten sollten. Angenommen, ein Team, dem ein Agent angehört, wird aufgelöst oder der zuständige Mitarbeiter wird entlassen. Notieren Sie diese Bedingungen bei der Erstellung des Agenten, zusammen mit einer Inaktivitätsfrist, nach der er automatisch abläuft.
Was die dritte Welle von dir verlangt?!
In der ersten Phase, in der das Risiko durch die Modellausgabe bestimmt wurde, setzten wir auf sofortige Filterung, Schutzmechanismen und die Klassifizierung der Ergebnisse. In der zweiten Phase, mit handlungsbasierter Risikobewertung und einem Prozess mit menschlicher Beteiligung, lag der Fokus auf Zugriffskontrollen und Genehmigungen. In der dritten Phase wird die menschliche Beteiligung entfernt, die Zugriffsrechte bleiben jedoch bestehen.
Der Druck steigt. Seshans Account verfügt über Agenten, die Subagenten erzeugen und teamübergreifend zusammenarbeiten. Schon bald könnte ein Kollege die Arbeit an einen Kollegen eines anderen weitergeben. Diese Übergaben sind nur dann kontrollierbar, wenn der Kollege eine eigene Identität besitzt. Anders gesagt: Erst muss er ein Abzeichen haben, bevor er eine Aufgabe erhält.
Wir bei Token identifizieren bereits die in Ihrer Umgebung laufenden KI-Agenten und MCP-Server, einschließlich derer, die noch nicht registriert sind, anhand ihrer OAuth-Berechtigungen, API-Schlüssel und ihres Anmeldeverkehrs. Jeder Agent erhält eine eigene Identität und einen menschlichen Verantwortlichen. Wir legen die Berechtigungen fest, rotieren die Zugangsdaten und deaktivieren den Agenten, sobald der Verantwortliche ausscheidet oder er inaktiv ist.