KI-Agenten benötigen zeitlich begrenzte Berechtigungen, keinen dauerhaften Zugriff
Die KI-Sicherheitsnachrichten dieser Woche enthalten eine wichtige Lektion: Je leistungsfähiger Agenten werden, desto wichtiger ist die Möglichkeit, Befugnisse zeitlich zu begrenzen.
Microsoft veröffentlichte neue Zero-Trust-Richtlinien für KI-Agenten und DevSecOps. AWS hob zeitlich begrenzte Richtlinien für Bedrock AgentCore hervor. Das Designprinzip ist größer als jede Plattform: Ein KI-Agent sollte keinen dauerhaften Zugriff behalten, nur weil er einmal Zugriff benötigte.
In den meisten Unternehmen wird Agentenbereitstellung jedoch nicht so umgesetzt.
Ein Team gibt einem Agenten ein Servicekonto, damit er Kundendaten abrufen, Tickets aktualisieren, ein Lager abfragen oder einen Pull Request öffnen kann. Der Pilot funktioniert. Die Ausnahme wird zur produktiven Integration. Monate später hat der Agent Zugriff auf Systeme, die niemand in der ursprünglichen Risikoanalyse berücksichtigt hat, und seine Berechtigungen ähneln denen eines sehr schnellen Junior-Mitarbeiters ohne Enddatum und ohne Vorgesetzten, der die Arbeit überprüft.
Dies ist die agentische Version eines bekannten Sicherheitsfehlers: privilegierter Zugriff, der länger besteht als die Aufgabe, für die er geschaffen wurde.
Warum dauerhafte Berechtigungen gefährlich werden, wenn Software handeln kann
Eine traditionelle Anwendung folgt meist einem engen Workflow. Ein KI-Agent kann eine Anfrage interpretieren, Werkzeuge auswählen, Daten abrufen und eine Aktion ausführen. Diese Flexibilität ist der Zweck. Deshalb schaffen breite Berechtigungen eine größere Angriffsfläche als Teams erwarten.
Ein Agent kann indirekt durch ein Dokument, eine E-Mail, ein Support-Ticket, eine Webseite oder eine verknüpfte Wissensdatenbank manipuliert werden. Er kann eine Anweisung missverstehen oder ein Connector kann mehr Daten offenlegen, als die Aufgabe erfordert. Das erfordert keine böswillige Absicht, sondern nur eine Befugnis, die breiter, länger oder weniger sichtbar ist als die geschäftliche Aufgabe verlangt.
Deshalb ist ein Inventar genehmigter KI-Tools nur der Anfang. Unternehmen müssen auch wissen, welche Agenten existieren, auf welche Systeme jeder Agent zugreifen kann, welche Daten er lesen darf, welche Aktionen er ausführen kann und wer die Entscheidung über Gewährung oder Entzug dieser Zugriffe trifft. Ohne diese Übersicht verschwindet Schatten-KI nicht mit der Genehmigung eines Agenten. Sie wird zu Schattenbefugnis.
Die Berechtigung sollte zur Aufgabe, den Daten und der Zeit passen
Zeitlich begrenzter Zugriff ist ein einfaches Prinzip: Ein Agent erhält für eine definierte Aufgabe und einen definierten Zeitraum eine eng gefasste Berechtigung. Nach Abschluss der Aufgabe oder Ablauf des Zeitfensters verfällt die Berechtigung automatisch.
Betrachten Sie einen Vertriebs-Operations-Agenten, der gebeten wird, eine Verlängerungsübersicht vorzubereiten. Er benötigt möglicherweise Lesezugriff auf den Kundenstammdatensatz, aktuelle Supportfälle und einen genehmigten Preisdatenbestand. Er benötigt kein dauerhaftes Token, das jeden Kundenstammdatensatz bearbeiten, das CRM herunterladen oder Benutzer in einem Finanzsystem anlegen kann.
Ein gut gestalteter Ablauf sieht folgendermaßen aus:
- Ein Mensch oder Orchestrator übermittelt eine spezifische Aufgabe.
- Richtlinienprüfungen klassifizieren die angeforderten Daten und vorgeschlagenen Aktionen.
- Der Agent erhält eine kurzlebige, eingeschränkte Berechtigung nur für die erforderlichen Schnittstellen.
- Empfindliche oder irreversible Aktionen erfordern einen Genehmigungsschritt.
- Die Tool-Aufrufe, Datenzugriffe, Ausgaben und Genehmigungen des Agenten werden gegen die Aufgabe protokolliert.
- Der Zugriff läuft ab, und die Protokolle bleiben zur Überprüfung verfügbar.
Dies ist kein theoretisches Ideal. Es ist eine praktische Methode, um zu verhindern, dass ein experimenteller Komfort zu einem unkontrollierten Zugangspfad wird.
Drei Entscheidungen, die jedes Unternehmen jetzt treffen sollte
1. Definieren Sie Aktionsebenen, bevor Sie weitere Tools anbinden
Alle Tool-Aufrufe als gleich zu behandeln, ist ein Fehler. Das Lesen eines öffentlichen Wissensdatenbankartikels ist nicht gleichbedeutend mit dem Versenden einer E-Mail, der Änderung von Bankdaten eines Lieferanten, dem Löschen einer Cloud-Ressource oder dem Veröffentlichen von Code.
Erstellen Sie eine kleine Aktionstaxonomie, die Mitarbeiter tatsächlich nutzen können:
- Lesen: genehmigte Informationen abrufen.
- Empfehlen: eine Entscheidung vorschlagen oder eine Ausgabe entwerfen.
- Schreibzugriff reversibel: einen Entwurf, ein Ticket oder eine interne Notiz erstellen.
- Schreibzugriff mit Folgen: Datensätze ändern, externe Kommunikation senden, Code bereitstellen oder Zugriffe ändern.
- Irreversibel oder reguliert: Geld bewegen, Datensätze löschen, Meldungen einreichen oder eingeschränkte Daten offenlegen.
Jede Ebene sollte eine zugehörige Berechtigungsgrenze, Aufbewahrungspflicht, Genehmigungsregel und maximale Sitzungsdauer haben. Ziel ist nicht, harmlose Arbeit zu verlangsamen, sondern riskante Übergänge explizit zu machen.
2. Geben Sie Agenten Identitäten, die von ihren Entwicklern getrennt sind
Lassen Sie Agenten nicht das persönliche Token eines Entwicklers, ein gemeinsames Admin-Konto oder generische Integrationsanmeldeinformationen erben. Jeder Produktionsagent benötigt eine eigene Identität und einen benannten Geschäftsverantwortlichen.
Diese Identität sollte in Identitäts- und Zugriffsverwaltungssystemen sichtbar sein, mit klarer Beziehung zum menschlichen Sponsor, Anwendungsinhaber und den erlaubten Tools des Agenten. Wenn ein Team nicht innerhalb von Minuten beantworten kann, "Wer besitzt diesen Agenten?" oder "Welche Zugriffsberechtigung hat diese Aktion ermöglicht?", ist die Bereitstellung für sensible Arbeiten nicht bereit.
Getrennte Identitäten ermöglichen auch ein Offboarding. Wenn ein Mitarbeiter die Rolle wechselt, ein Auftragnehmer geht oder ein Pilotprojekt endet, können Sie die richtigen Rechte widerrufen, ohne andere Workflows zu unterbrechen.
3. Integrieren Sie eine Agentenzugriffsüberprüfung in die normale Governance
Vierteljährliche Zugriffsüberprüfungen sind für menschliche Konten bereits unvollkommen. Sie sind viel zu langsam für Agenten, die in Tagen erstellt, verbunden und neu konfiguriert werden können.
Überprüfen Sie Agentenberechtigungen immer dann, wenn der Agent einen neuen Connector erhält, sein Modell oder seine Orchestrierungslogik ändert, eine neue Datenklasse verarbeitet oder von Empfehlung zur Ausführung übergeht. Fügen Sie eine leichte wiederkehrende Überprüfung für Agenten mit hoher Auswirkung hinzu. Die Überprüfung sollte vier konkrete Fragen stellen:
1. Erfüllt der Agent noch die genehmigte Geschäftsaufgabe? 2. Benötigt er noch jede verbundene Datenquelle und Aktionsberechtigung? 3. Sind hochwirksame Aktionen angemessen genehmigt und protokolliert? 4. Können wir den Agenten schnell deaktivieren und wissen wir, wer diese Entscheidung trifft?
Diese Fragen verwandeln Governance von einem Starttor in eine operative Kontrolle.
Was Sicherheitsteams messen sollten
Die üblichen KI-Einführungsmetriken - aktive Nutzer, erledigte Aufgaben, eingesparte Stunden - sind nützlich, aber unvollständig. Fügen Sie Kontrollmetriken hinzu, die zeigen, ob das Programm sicherer oder nur größer wird:
- Prozentsatz der Produktionsagenten mit benanntem Eigentümer und Systeminventar.
- Prozentsatz, der kurzlebige Berechtigungen für folgenschwere Aktionen nutzt.
- Anzahl der Agenten mit dauerhaften Schreib- oder Admin-Rechten.
- Zeit bis zum Widerruf des Agentenzugriffs nach einem Richtlinienverstoß.
- Prozentsatz der folgenschweren Aktionen mit Genehmigung und Prüfpfad.
- Nicht genehmigte KI-Tools oder Agenten, erkannt durch Netzwerk-, Identitäts- und SaaS-Telemetrie.
Eine steigende Anzahl von Agenten ist kein Beleg für Reife. Eine sinkende Anzahl unerklärter Berechtigungen schon.
Governance ist, wie Sie Geschwindigkeit ohne dauerhaftes Risiko halten
Die falsche Reaktion auf Agentenrisiken ist, Agenten zu verbieten, bis jeder Sonderfall gelöst ist. Das führt dazu, dass nützliche Arbeit in unkontrollierte Tools abwandert und die Sicherheit Adoption zu spät bemerkt.
Die bessere Reaktion ist, den sicheren Weg zum einfachsten zu machen: genehmigte Agentenmuster, vorgefertigte eingeschränkte Connectoren, klare Aktionsebenen, schnelle Genehmigungen dort, wo sie wichtig sind, und kontinuierliche Sichtbarkeit der KI-Nutzung im Unternehmen.
KI-Agenten benötigen Zugriff, um Wert zu schaffen. Sie brauchen keine dauerhafte Autorität, um ihre Nützlichkeit zu beweisen.
Aona hilft Sicherheits- und IT-Teams, KI-Nutzung zu entdecken, Risiken zu verstehen und praktische Governance für die Tools zu etablieren, die Mitarbeiter und Agenten bereits ins Unternehmen bringen. Wenn Sie vor der nächsten Integration einen klareren Überblick über Schatten-KI und Agentenzugriffe benötigen, [sprechen Sie mit Aona](https://www.aona.ai/book-demo/?utm_source=blog&utm_medium=organic&utm_campaign=agent-temporal-permissions).
