Context Card
Befugnis, Fähigkeit, Auftrag: die drei Teile der Grenze eines KI-Agenten
Welche Grenze überschreitet ein KI-Agent, wenn er „zu weit geht“ – und warum ist es wichtig, welche?
Die kurze Antwort
Die Grenze eines KI-Agenten hat drei Teile: Befugnis (was er darf), Fähigkeit (was er mit seinen Konten und Werkzeugen technisch kann) und Auftrag (wofür er da ist). Ein Agent kann jeden Teil einzeln überschreiten, und jeder braucht eine andere Maßnahme. Den überschrittenen Teil zu benennen ist der erste Schritt jeder Reaktion.
Für: Technische Projektleitung, Entwicklung von Dokumentationssystemen und Technische Redaktion, die KI-Agenten planen
Das Wichtigste
- Befugnis ist, was der Agent darf; sie steht in seinem Umfang und seiner Positivliste.
- Fähigkeit ist, was er mit seinen Konten und Konnektoren kann; übersteigt sie die Befugnis, spricht OWASP von übermäßiger Handlungsbefugnis.
- Auftrag ist, wofür er da ist; ein Agent kann innerhalb seiner Rechte bleiben und trotzdem das falsche Ziel verfolgen.
- Der Schadensradius folgt aus der Fähigkeit, nicht aus der Befugnis.
- In IT, IoT, OT und an Maschinen gelten dieselben drei Teile, mit unterschiedlichen Folgen.
Der Zusammenhang
Drei Teile, drei Fragen
| Teil | Frage | Typische Überschreitung | Maßnahme |
|---|---|---|---|
| Befugnis | Was darf der Agent? | Handelt außerhalb seines festgehaltenen Umfangs | Berechtigungsumfang, Werkzeug-Positivliste |
| Fähigkeit | Was kann er technisch? | Nutzt Rechte, die sein Konto hat, die sein Auftrag aber nicht braucht | Minimale Rechte, eigene Identität, kurzlebige Zugangsdaten |
| Auftrag | Wofür ist er da? | Verfolgt innerhalb seiner Rechte ein anderes Ziel | Erklärter Auftrag je Lauf, Freigabeschritte, Verhaltensüberwachung |
Fähigkeit jenseits der Befugnis
Die meisten folgenreichen Vorfälle entstehen dort, wo ein Agent mehr kann, als er darf. OWASP nennt das übermäßige Handlungsbefugnis (Excessive Agency) und nennt drei Ursachen: zu viele Funktionen, zu viele Rechte und zu viel Selbstständigkeit. Im Umfang steht „Tickets lesen“; das Konto des Konnektors kann sie auch schließen und löschen. Ein manipuliertes Ticket genügt, um den Unterschied zu nutzen. Der Schadensradius eines Agenten wird deshalb von seiner Fähigkeit bestimmt, nicht von seiner Befugnis.
Auftrag: innerhalb der Rechte, gegen den Zweck
Ein gekapertes Agentenziel ändert, was der Agent erreichen will; ein abtrünniger Agent handelt über längere Zeit gegen seinen Zweck. Beide können jede technische Befugnis einhalten – deshalb fängt Zugriffskontrolle allein sie nicht ab.
Je Systemtyp
- IT-Systeme: Befugnis und Fähigkeit ergeben sich aus Dienstkonten und API-Berechtigungen in ERP, CRM, Ticketsystem, Repository oder CCMS; gleichen Sie beides ab.
- IoT-Flotten: Zur Fähigkeit gehört, wie viele Geräte ein Befehl erreicht; der Umfang „ein Gerät“ bedeutet wenig, wenn die Schnittstelle „alle Geräte“ annimmt.
- OT: Die Fähigkeit, Sollwerte oder Rezepte zu schreiben, sollte fehlen, solange sie nicht beschlossen ist; für beratende Agenten ist Lesezugriff der Standard.
- Maschinen und Roboter: Keine Fähigkeit eines Agenten darf die Sicherheitsfunktionen, den Not-Halt oder den sicheren Zustand erreichen; sie gehören zur Steuerung der Maschine.
Den Gesamtzusammenhang zeigt die Pathway-Map zu Grenzüberschreitungen von KI-Agenten.
Fragen, die sich daran anschließen
- Reicht der System-Prompt nicht, um die Grenze zu setzen?
- Nein. Ein System-Prompt beschreibt das gewünschte Verhalten; die Fähigkeit begrenzt er nicht. Befugnisse werden durch die Konten, Tokens, Positivlisten und Gateways hinter den Werkzeugen durchgesetzt.
- Welcher Teil wird am häufigsten überschritten?
- Meist die Fähigkeit: Agenten erben breite Konten, und ein Fehler oder eine Manipulation nutzt Rechte, die der Auftrag nie brauchte.
- Braucht ein Agent mit engem Umfang eine Überwachung?
- Ja. Ein enger Umfang begrenzt den Schaden, aber eine Überschreitung des Auftrags – ein gekapertes Ziel – kann auch darin geschehen, und nur die Überwachung zeigt sie.
Quellen
- LLM06:2025 Excessive Agency — OWASP GenAI Security Project, 18. November 2024
- OWASP Top 10 for Agentic Applications for 2026 — OWASP GenAI Security Project, 9. Dezember 2025
Prüfprotokoll und Änderungen
Jede Context Card wird vor der Veröffentlichung und bei jeder Änderung erneut anhand ihrer Quellen geprüft; das Datum unter der Autorenzeile ist die letzte Prüfung. Korrekturen (etwas war falsch) und Ergänzungen (etwas fehlte) stehen unten mit Datum und Uhrzeit (deutsche Zeit). Tippfehler, Formatierung und Link-Korrekturen werden nicht aufgeführt.
Geprüft
Seit der Veröffentlichung keine Korrekturen oder Ergänzungen.