Entscheidend ist nach dieser Argumentation die Reihenfolge: Ein Unternehmen könne Agenten-KI nicht sicher steuern, solange es nicht zuvor — so weit wie möglich — die klassischen Akteure steuert, die als Quelle der Delegation dienen.
Menschliche und traditionelle Maschinenidentitäten seien bereits über Anwendungen, APIs, eingebettete Zugangsdaten, nicht verwaltete Dienstkonten und anwendungsspezifische Identitätslogik hinweg zersplittert. Orchid bezeichnet dies als „Identitäts-Dunkelmaterie": Autorität, die außerhalb des Blickfelds des verwalteten IAM existiert, wirkt und oft Risiken anhäuft. Bleibt diese Dunkelmaterie unbeobachtet, erbe der Agent ein bereits beschädigtes Autoritätsmodell — und werde so zum effizienten Verstärker verborgener Zugriffe, Berechtigungen und Ausführungspfade.
Der Weg zu einer sicheren Einführung von Agenten-KI beginnt daher laut Orchid nicht beim Agenten selbst, sondern bei der Reduktion dieser Identitäts-Dunkelmaterie über den gesamten Bestand klassischer Akteure. Konkret heißt das: alle menschlichen und traditionellen Maschinenidentitäten in der Anwendungslandschaft sichtbar machen, verstehen, wie sie sich authentifizieren, wo Zugangsdaten eingebettet sind, wie Arbeitsabläufe tatsächlich ablaufen und wo nicht verwaltete Autorität liegt.
Orchids Modell der kontinuierlichen Beobachtbarkeit bildet nach eigener Darstellung die Grundlage hierfür, weil es eine verifizierte Ausgangsbasis des realen Identitätsverhaltens über verwaltete und nicht verwaltete Umgebungen hinweg schafft — statt sich auf unvollständige, statische Annahmen aus Richtlinien zu stützen.
Ist diese Schicht der klassischen Akteure beobachtet, analysiert und optimiert, wird ihr Ergebnis zum Eingang für eine Echtzeit-Schicht zur Delegationsautorität von Agenten-KI. Hier werde Orchids Telemetrie nach eigener Aussage mehr als bloße Sichtbarkeit: Sie speise eine Autoritäts-Engine, die das Autoritätsprofil des Delegierenden, den Kontext der Zielanwendung, die Absicht hinter der angeforderten Aktion und den effektiven Ausführungsumfang bewertet. Der Agent solle damit nicht allein durch seine eigenen nominellen Berechtigungen gesteuert werden, sondern fortlaufend durch Haltung und Absicht des delegierenden Akteurs sowie den Kontext der beabsichtigten Handlung.
Daraus ergebe sich ein deutlich stärkeres Steuerungsmodell: Ein menschlicher Delegierender mit schwacher Sicherheitslage, riskantem Verhalten oder übermäßigem verborgenem Zugriff dürfe nicht dieselbe Agenten-KI-Autorität erhalten wie ein streng kontrollierter Delegierender in einem eng begrenzten Arbeitsablauf. Ebenso dürfe ein Maschinen- oder Dienstkonto mit weitreichendem, aber schlecht verstandenem Zugriff keinen Agenten mit unbeschränkter nachgelagerter Handlungsfähigkeit auslösen.
Orchids Aufgabe sei es, den Delegierenden, den delegierten Akteur und den Anwendungspfad zwischen beiden fortlaufend zu bewerten und die Autorität entsprechend durchzusetzen — das verwandle Beobachtbarkeit in Governance. Der angestrebte Zielzustand sei deshalb nicht nur bessere Einzelprüfung von menschlichen, maschinellen und KI-Agenten-Akteuren, sondern eine dynamische, sequenzielle Delegationskontrolle.
Orchid könne jede Agentenidentität den Anwendungen, Arbeitsabläufen, Absichtsmustern und dem Handlungsumfang zuordnen, die sie betrifft, und über den Live-Beobachtungsstrom in Echtzeit entscheiden, ob ein Agent handeln darf, nur Empfehlungen geben darf, auf ein begrenztes Werkzeugset beschränkt oder vollständig gestoppt wird. Das sei die eigentliche Bedeutung des Schließens der Autoritätslücke: nicht nur zu wissen, worauf ein Agent zugreifen kann, sondern fortlaufend und in Maschinengeschwindigkeit zu bestimmen, was er entscheiden und ausführen darf.