Große US-Banken stellen fest, dass KI-Agenten von Drittanbietern ohne Genehmigung der Banken in Kundenkonten agieren, wie Axios heute Morgen berichtete. Einige dieser Agenten scheinen über die Anweisungen ihrer Nutzer hinauszugehen. Bankmanager beschrieben die Situation gegenüber Axios als erschreckend, und die größten Kreditinstitute reagieren schnell: Morgan Stanley hat damit begonnen, externe Agenten zu blockieren, während JPMorgan, Bank of America und Citi sie einschränken.
Banken wissen seit jeher, dass Authentifizierung nicht gleich Autorisierung ist. Sie haben Jahrzehnte damit verbracht, Kontrollmechanismen auf Basis dieses Prinzips aufzubauen: Berechtigungen, Transaktionslimits, gestufte Verifizierungen, Betrugsüberwachung. Doch diese Mechanismen wurden für Menschen entwickelt. Sie gehen davon aus, dass die Person, die sich einloggt, auch die handelnde Person ist – und dass ein Mensch mit menschlicher Geschwindigkeit handelt.
KI-Agenten durchbrechen beide Annahmen. Viele melden sich mit Zugangsdaten an, die Kunden selbst herausgegeben haben, und handeln dann innerhalb der Kundensitzung mit denselben Rechten wie der Kunde. Und sie arbeiten rund um die Uhr mit maschineller Geschwindigkeit.
Die heutigen Kontrollen prüfen lediglich, ob ein Kunde etwas tun darf. Mit einem Menschen an der Tastatur reichte das aus: Der Fragende und der Handelnde waren dieselbe Person. Bei einem Agenten stehen die Kontrollen jedoch vor einer zweiten Frage, für die sie nie konzipiert wurden: Hat der Kunde das tatsächlich angefordert? Zu oft erfahren Banken dies erst im Nachhinein.
Genau hier liegt die Lücke. Die Kontrollen haben nicht versagt. Sie können nur nicht zuverlässig zwischen dem Kunden und der Software unterscheiden, die sein Passwort besitzt.
Agenten zu blockieren oder auf reinen Lesezugriff zu beschränken, ist ein sinnvoller erster Schritt. Er darf aber nicht der letzte sein. Bankmanager sagten Axios, sie wüssten, dass Kunden diese Agenten weiterhin nutzen werden, und die führenden Köpfe der Branche stellen bereits die richtigen Fragen. Brian Moynihan, CEO der Bank of America, sagte, ein Mensch sollte Geldabgänge von einem Konto freigeben müssen, und seine Bank entwickelt Protokolle dafür, wie Agenten mit Konten interagieren und wer haftet, wenn ein Agent eine Zahlung autorisiert. Und genau jenes Morgan Stanley, das jetzt externe Agenten blockiert, kündigte im Juni an, dass es den Agenten von Firmenkunden erlauben werde, sich über einen genehmigten Kanal mit seinen Aktienplan-Plattformen zu verbinden.
Das ist kein Widerspruch. Es ist das Modell. Die Frage lautet nicht, ob man Agenten hereinlässt. Sondern welche Tür sie nutzen und was sie drinnen tun dürfen. Banken haben so etwas Ähnliches schon einmal gemacht, als sie Datenaggregatoren von den Passwörtern der Kunden wegholten und auf genehmigte Verbindungen umstellten. Agenten brauchen denselben Schritt – und zwar für Aktionen ebenso wie für Daten.
Für diesen Schritt braucht es eine neue Architektur, die auf situativen Mikro-Freigaben basiert. Jede Aktion, die ein Agent versucht, wird genau in dem Moment geprüft, in dem er handeln will: gegen das, was der Kunde autorisiert hat, und gegen das, was die Aktion bewirken würde – durch Kontrollen, die außerhalb des KI-Modells sitzen. Governance verlagert sich vom Nachhinein ins Vorfeld. Jede Anfrage durchläuft vier Prüfungen, drei vor der Ausführung und eine danach:
- Identität. Wer handelt und in wessen Auftrag? Ein Agent sollte eigene Zugangsdaten mitführen, niemals das Passwort des Kunden.
- Autorität. Was hat der Kunde tatsächlich erlaubt, innerhalb welcher Grenzen und für wie lange?
- Richtlinien. Welche Geschäftsregeln gelten für diese Anfrage?
- Nachweis. Wurde die Aktion korrekt, nur einmal und mit überprüfbarer Dokumentation ausgeführt?
Die Prüfungen skalieren mit dem Risiko. Einen Kontostand einzusehen erfordert einen verifizierten Kunden. Geld zu bewegen erfordert Limits, die der Kunde festgelegt hat, oder seine Zustimmung im selben Moment – plus Betrugsprüfungen. Ein Passwort zu ändern bleibt Sache des Kunden. Das Modell schlägt vor; das System autorisiert.
Ich habe diese Woche in einer Antwort auf Satya Nadella ein ähnliches Argument vorgebracht, der gefordert hat, „das Angebot von Intelligenz von der Autorität darüber zu trennen“. Dasselbe Prinzip prägt unsere Arbeit bei Netomi.
Das Bankwesen ist ein Frühwarnsignal, kein Einzelfall. Letzten Monat blockierte Amazon Metas Muse-Agenten beim Einkauf in seinem Shop. Am nächsten Tag kündigte Shopify einen agentenbasierten Checkout für Muse über Shop Pay an. Vom Finanzsektor bis zum Einzelhandel steht jedes Unternehmen nun vor derselben Frage: Wie lässt man legitime KI-Agenten zu, ohne die Kontrolle abzugeben?
Anfang dieses Monats haben wir ein Framework für genau diese Frage fertiggestellt. Heute machen wir es öffentlich. „Consumer AI Agents: Governing the New Interface Between Customers and Enterprises“ ist die vollständige technische Version dieses Arguments: die Kontrollmechanismen, die Referenzarchitektur, die Risikostufen und wie man sie in der Praxis einsetzt.
Das vollständige Framework lesen →
Der Kunde kann die Aufgabe delegieren. Das Unternehmen kann die Verantwortung nicht delegieren.
