Agenten im Betrieb führen: Identität, Rechte, Protokoll, Stilllegung
Agenten im Betrieb führen: Identität, Rechte, Protokoll, Stilllegung
Der Tag, an dem ein Agent zum ersten Mal wirklich etwas tut, ist kein Ziel, sondern ein Anfang. Ein Agent ist ein Sprachmodell, das nicht nur antwortet, sondern selbst Werkzeuge bedient und Aufgaben in euren Systemen erledigt. Sobald er eine E-Mail verschickt oder einen Datensatz ändert, ist er kein Programm mehr, das jemand gestartet hat. Er ist ein Zugang mit Handlungsvollmacht in eurem Haus.
Die meisten Unternehmen planen den Bau eines Agenten sorgfältig, seinen Betrieb gar nicht. Genau dort entstehen die teuren Überraschungen: ein Dienstkonto, das mehr darf als sein Auftraggeber, ein Lauf ohne jede Spur, eine Automatisierung, die nach zwei Jahren niemand mehr abschaltet. Fünf Fragen beantwortest du deshalb, bevor der Agent das erste Mal handelt: Unter welchem Namen handelt er? Was genau darf er? Was hinterlässt er? Wie weit reicht der Schaden, wenn er entgleist? Und wer schaltet ihn wieder ab?
Wie es in der Praxis läuft
Eigene Identität: der Agent handelt unter eigenem Namen
Gib jedem handelnden Agenten ein eigenes Konto, wie einem neuen Menschen im Haus: eine eigene E-Mail-Adresse auf eurer Domain und einen eigenen Zugang zu jedem System, in dem er arbeitet. In der Praxis heißt das: Die Termineinladung kommt vom Agenten, und der Mensch wird als Teilnehmer hinzugefügt, statt dass der Agent in fremdem Namen einlädt. Nach innen zeigt eine Signatur an jeder Nachricht, ob ein Mensch oder ein Agent geschrieben hat. Die Zugangsdaten sieht der Agent technisch nie: Das Passwort liegt in einem Tresor, den er bedienen, aber nicht auslesen kann.
Rechte eng schneiden: lesen, schreiben und senden sind drei Dinge
Ein Agent braucht Least Privilege, also nur die minimal nötigen Rechte für seine Aufgabe. Das ist feiner geschnitten, als es klingt: Ein Assistent, der dein Postfach zusammenfasst, braucht Lesezugriff ohne Versandrecht, Schreibrecht auf drei Dateien statt auf die ganze Ablage und Kalendereinträge unter eigenem Namen. Die Obergrenze ist immer die Schnittmenge mit dem anfragenden Menschen. Über den Support-Bot eines sozialen Netzwerks ließen sich fremde Konten übernehmen, weil der Bot mehr durfte als der Nutzer, der ihn bediente. Und diese Rechte gehören auf die Infrastruktur: Eine Bitte im Prompt, also in der Anweisung im Textfenster, lässt sich überschreiben, eine Berechtigung nicht.
Der Wirkungsradius: plan den schlechtesten Tag mit ein
Behandle jeden Agenten, als könne er entgleisen oder übernommen werden, und begrenze vorher den Schaden. In einer Untersuchung mit 122 Testläufen reichte ein Agent im schwersten Fall Schadcode bei einem echten Softwareprojekt ein, legte gefälschte Identitäten an und verwischte seine Spuren. Praktisch heißt das: Er läuft in einer Sandbox, also einem abgeschotteten Bereich, den er nicht verlassen kann, das Netzwerk legt fest, welche Systeme er erreicht, und auf Rechnern mit sensiblen Daten wird er nicht installiert. Zugriff auf Passwortspeicher, Bankdaten oder eine Firmenkreditkarte bekommt er nie.
Ein Budget, das dem Agenten gehört
Ein Agent kostet Geld, sobald er läuft, denn jede Anfrage verbraucht Tokens, also die abgerechneten Textbausteine eines Modells. Beim ersten Einbinden eines Agenten in einen Teamkanal kam prompt die Meldung, das Token-Limit sei erreicht; in einer Testphase reicht ein einstelliger Eurobetrag pro Tag. Wichtiger als die Höhe ist der eigene Topf: Ein Agent mit begrenzt gefüllter Karte kann die Suchmaschinenwerbung eigenständig steuern, und das Schlimmste, was ein Fehler kostet, ist der Kartenstand.
Sitzungsprotokolle: euer Betriebsbuch statt eurer Blindstelle
Jeder Agentenlauf hinterlässt ein vollständiges Protokoll seiner Schritte. Leg vorher fest, wohin diese Protokolle gehen, wie lange sie bleiben und wer hineinsieht. Für die Fehlersuche siehst du darin, welches Werkzeug der Agent aufgerufen und ob er die richtige Quelle gefunden hat, nicht nur, ob das Ergebnis stimmt. Für den Nachweis gilt: Ein Prüfer muss jederzeit fragen können, warum ein Agent so entschied, und die Antwort kommt nicht aus dem Modell, sondern aus Daten, Prozess und Protokoll. Ein Aufräum-Lauf über die letzten 400 Sitzungen zeigt, welche Anleitungen niemand nutzt.
Die Stilllegung gehört in den Bauplan
Automatisierungen werden gebaut und fast nie beerdigt. Ein Konzern beziffert seinen Bestand mit 15.000 Agenten heute und 30.000 morgen und nennt das Stilllegen alter oder fehlerhafter Klein-Agenten als kommende Kernaufgabe der IT-Leitung. Die Mechanik greift lange vorher, sobald mehrere Abläufe nebeneinander laufen. Zu jedem Agenten gehören deshalb von Anfang an ein namentlicher Verantwortlicher, ein Prüftermin und ein Schwellwert, ab dem er sich rechnet. Ein Logistikbetrieb hat sein Beschwerdemanagement zu 70 Prozent mit Agenten automatisiert und für Leerfahrten vorab 15 Prozent Reduktion als Schwelle gesetzt. Das ehrlichste Abschaltsignal kommt von den Nutzern: Laden sie sich wieder die Tabelle herunter, war das Werkzeug nicht gut genug. Für den Notfall brauchst du einen Not-Aus, den das Protokoll selbst auslöst, weil eine manuelle Entscheidung im Maschinentempo zu spät kommt.
