Agentenidentität ist Produktionsinfrastruktur

Identität liegt jetzt unter der Chat-Oberfläche

Agentic AI beantwortet nicht nur Fragen. Sie wählt Werkzeuge, ruft APIs auf, berührt Dateien und ändert gelegentlich externen Zustand. Authentifizierung am Eingang reicht dafür nicht mehr. Entscheidend ist, welche Identität im Namen welcher Person mit welcher Fähigkeit für welche Aufgabe und wie lange handelt.

NIST beschrieb im August 2026 das bekannte Muster, dass Teams Funktionsgeschwindigkeit vor eine tragfähige Identitätsgrundlage stellen. Bei Agenten kann dieser Fehler zu unerlaubten Aktionen, zu breitem Zugriff, nicht nachvollziehbaren Freigaben oder weiterlebenden Secrets führen.

Das Modell darf nicht der Principal sein

Der Sicherheits-Principal sollte eine vom Harness erzeugte, begrenzte Workload-Identität sein. Das Modell schlägt eine Aktion vor; die Umgebung entscheidet über die Erlaubnis. Autorisierung bleibt damit außerhalb von Prompt und modellkontrolliertem Speicher.

Die Kette aus Nutzer, Produktsitzung, Agentenlauf, Tool-Aufruf und Downstream-Service braucht eigene Belege. Für Repository-Zugriff zählen Repo, Branch, Zweck, Task-ID und Zeitfenster; öffentliche Posts brauchen Freigabe für exakt denselben Lauf.

• Nutzeridentität von Agenten-Workload trennen
• Kurzlebige Credentials pro Aufgabe ausstellen
• Tool-Aufrufe serverseitig autorisieren
• Jeden Schreibvorgang mit Entscheidung, Eingabe, Ausgabe und Rollback protokollieren

Fähigkeiten sind die Einheit minimaler Rechte

Rollen sind für Agenten zu grob. Ein Agentenlauf braucht meist ein Repository, einen Branch und wenige Operationen. Jedes Tool sollte eine Fähigkeit mit typisierten Eingaben, Vorbedingungen, Nachbedingungen, Budgets und Ablaufzeit sein.

So sinkt auch Permission Fatigue. Sicher begrenzte Lese- und Prüfpfade brauchen keine ständigen Dialoge; menschliche Freigabe gehört zu Publizieren, Löschen, Ausgaben, Zugriffserteilung und sensiblen Daten.

Audit Trails müssen incident-tauglich sein

Ein Agenten-Audit braucht Nutzerabsicht, Modell- und Prompt-Versionen, Belege, Capability Grants, Tool-Eingaben, Ausgaben, Policy-Entscheidungen, Provider-IDs und finale Seiteneffekte. Sonst lassen sich Modellfehler, Harness-Bugs, gestohlene Credentials und falsche Freigaben nicht unterscheiden.

Der von OpenAI veröffentlichte Hugging-Face-Vorfall vom Juli 2026 zeigt den Wert von Trajectory-Rekonstruktion: Hugging Face rekonstruierte tausende Aktionen über mehrere Tage. Identität und Telemetrie müssen vor dem ersten ernsten Vorfall stehen.

Die Produktions-Checkliste

Beginnen Sie mit deny-by-default. Geben Sie jedem Lauf eine Task-ID, binden Sie explizite Fähigkeiten, vermitteln Sie Credentials spät über einen Broker, begrenzen Sie Netzwerkziele und machen Sie Writes idempotent. Üben Sie anschließend Widerruf, Quarantäne und Beweissicherung ohne Secret-Leaks.

Ein gutes System wirkt langweilig: Das Team kann sagen, welche Identität gehandelt hat, warum es erlaubt war, was geändert wurde, wie man zurückrollt und welcher Monitor beim nächsten Mal auslöst.