Der Quelltext beschreibt KI-Agenten als Sicherheitsproblem, das sich nicht mit klassischen Inventarlisten lösen lässt. Ein Verzeichnis kann zwar zeigen, dass ein Agent existiert, sagt aber noch nichts darüber aus, ob dessen Rechte angemessen sind, ob sein Verhalten zu seinem vorgesehenen Zweck passt, wer verantwortlich ist oder wann Berechtigungen wieder entzogen werden müssten. Gerade bei KI-Agenten könne reine Sichtbarkeit deshalb ein trügerisches Gefühl von Kontrolle erzeugen.
Hinzu kommt, dass herkömmliche Zugriffsmodelle nur begrenzt passen. Bei menschlichen Identitäten lässt sich Zugriff meist an einer festen Rolle oder Funktion ausrichten. Auch Dienstkonten für Maschinen unterstützen typischerweise klar definierte Abläufe. Bei KI-Agenten ist das laut Quelle anders: Sie sind weniger über starre Workflows als über ein Ziel definiert. Sie interpretieren Anweisungen, wählen je nach Kontext unterschiedliche Werkzeuge und passen ihr Verhalten an. Zwei Agenten mit denselben Berechtigungen können dadurch sehr unterschiedliche Risikoprofile haben.
Daraus ergibt sich für Sicherheitsteams eine andere Kernfrage. Es gehe nicht nur darum, worauf ein Agent technisch zugreifen kann. Wichtiger sei, was dieser Agent für einen bestimmten Zweck und unter bestimmten Bedingungen tun dürfen sollte. Genau das sei eine Frage der Durchsetzung. Statische Berechtigungen genügten nicht, weil KI-Agenten eher in Situationen eingesetzt würden, die beim Erteilen der Rechte nicht vollständig absehbar waren. Das Risiko entstehe dabei nicht zwingend nur durch böswilliges Verhalten, sondern auch durch Mehrdeutigkeit, etwa wenn sich eine Aufgabe über ihren ursprünglichen Zweck hinaus ausweitet.
Um sinnvolle Kontrollen festzulegen, müssen Unternehmen nach Darstellung des Quelltexts Informationen aus mehreren Bereichen zusammenführen: Eigentümer, Nutzer, Identitäten, Systeme, Berechtigungen und vor allem die Absicht des Agenten. Genau daran scheitern viele Organisationen. Identitätsdaten liegen an einer Stelle, Cloud-Berechtigungen an einer anderen, SaaS-Integrationen folgen eigenen Modellen, und Infrastructure as Code kann zwar beabsichtigte Bereitstellungsmuster zeigen, wird aber selten mit dem Rest verknüpft. Zuständigkeiten seien oft nur für die Ersteller des Agenten offensichtlich und für andere unsichtbar. Ohne diese Korrelation bleibe Durchsetzung ein Ratespiel.
Kritisch sieht der Quelltext auch ein Verständnis von Durchsetzung, das sich auf nachträgliche Reaktion beschränkt. Viele Sicherheitswerkzeuge würden riskante Konfigurationen erkennen und dann per Playbook ein Ticket eröffnen, Zugänge entziehen, eine Identität deaktivieren oder einen Verantwortlichen benachrichtigen. Das sei nützlich, aber für agentische KI nicht ausreichend. KI-Agenten bräuchten Kontrollen vor, während und nach ihren Aktionen.
Der geforderte Ansatz ist identitätszentriert, kontextsensitiv und plattformunabhängig. Identität beantworte, wer der Agent ist. Berechtigungen zeigten, auf was er zugreifen kann. Die Absicht erkläre, warum dieser Zugriff aktiv sein sollte. Gerade diese Absichtsdimension sei unverzichtbar, weil sich das Risiko eines KI-Agenten nicht allein daran ablesen lasse, ob ein API-Aufruf technisch erlaubt ist. Sicherheitsteams müssten prüfen, ob eine Aktion mit dem genehmigten Zweck des Agenten übereinstimmt.
Der Quelltext verweist in diesem Zusammenhang auf die OWASP Top 10 für agentische Anwendungen. Dort genannte Risiken wie Missbrauch von Identität und Privilegien, Fehlgebrauch von Werkzeugen, unsichere Kommunikation zwischen Agenten, Kaskadenausfälle und abtrünnige Agenten führten zur selben Schlussfolgerung: Sicherheitskontrollen müssen den Handlungsgrund des Agenten verstehen.
Auch NISTs Initiative für Standards zu KI-Agenten weist laut Quelle in diese Richtung. Im Fokus stehen dort Standards, Protokolle, Authentifizierung, Identitätsinfrastruktur sowie sichere Interaktionen zwischen Menschen und Agenten und zwischen mehreren Agenten. Der Markt bewege sich insgesamt zu der Einsicht, dass KI-Agenten als handelnde Akteure mit Befugnissen gesteuert werden müssen — nicht als gewöhnliche Anwendungen mit Chatbot-Oberfläche.
Für Unternehmen bedeutet das laut Quelltext: Jedes Agenten-Inventar sollte einem Eigentümer, einem Zweck, einer Identität, einem Berechtigungssatz und einem Lebenszyklusstatus zugeordnet sein. Agenten ohne klaren Verantwortlichen müssten untersucht, überprivilegierte Agenten angepasst, inaktive Agenten ausgemustert und risikoreiche Aktionen stärker abgesichert werden. Die eigentliche Aufgabe bestehe aber darin, organisationsweit einheitlich festzulegen, welche Agenten welche Aktionen unter welchen Bedingungen ausführen dürfen — und wer dafür verantwortlich ist.