Banken blockieren bereits Agenten, die sich mit Zugangsdaten anmelden, die ihre Kunden weitergegeben haben. JPMorgan erklärt, dass man Dienste mit geteilten Anmeldedaten, die Geld bewegen, blockiert – und gleichzeitig an einer Lösung arbeitet, um dies korrekt zu ermöglichen.
Wir steuern auf eine Spaltung zu. Einige Unternehmen bauen Agenten einen offiziellen Eingang, während andere genau diese Zugangswege versperren. Walmart hat gerade ein MCP-basiertes Agent Gateway angekündigt, zunächst als Entwickler-Beta, sowie Agentenprofile mit Ausgabenlimits für den nächsten Monat.
Im Quartalszahlen-Call von Meta sagte Zuckerberg, Shopping sei der häufigste Anwendungsfall für Muse – mit einem durchschnittlichen Bestellwert von über 200 $. Das ist ganz klar ein Finanzthema, und der Preis für dessen Lösung ist enorm.
David Sacks argumentiert, Banken sollten einen Zugang unterstützen, den Kunden gewähren, einschränken und widerrufen können. Der Richtung stimme ich zu. Die schwierigere Frage ist das Wie.
Für deine Bank sieht dein Agent wie ein riesiges Betrugs- und Haftungsrisiko aus.
Wenn ich meine Login-Daten weitergebe, weiß die Bank nicht, welcher Agent sie nutzt, was ich ihm aufgetragen habe oder ob die Aktion meiner Anweisung entspricht. Ein Kunde kann einen Zugang genehmigen, ohne alles zu erlauben, was ein Agent versuchen könnte.
Ich spüre, da kommt eine Übersicht auf uns zu.
Es gibt vier Ebenen: Zugang, Identität, Werkzeuge und Absicht.
1. Zugang: Gib dem Agenten einen unterstützten Weg hinein.
Das Personal Agent Protocol, kurz PAP (heute Poppy genannt), gibt Unternehmen eine Möglichkeit zu veröffentlichen, wie Agenten mit ihnen interagieren können: wo sie sich anmelden, welche Schnittstellen angeboten werden und welcher Zugriff gewährt wird.
Mein Agent findet diese Informationen und nutzt einen unterstützten Anmeldeprozess. Ich genehmige den Zugang; das Unternehmen entscheidet, was es erlaubt. Dieser Zugang lässt sich einschränken und widerrufen. Bank of America und Wells Fargo sind Design-Partner – das heißt, sie helfen bei der Gestaltung, statt zu versprechen, dass mein Agent morgen ihre Banking-Apps nutzen kann.
Visas Trusted Agent Protocol (TAP) ermöglicht es einem Shopping-Agenten, sich mit signierten Informationen vorzustellen: „Ich bin ein Shopping-Agent, der über Visas Programm zugelassen wurde, ich kaufe für diesen Kunden ein, und so wird bezahlt.“ Der Händler kann diese Daten prüfen, bevor er ihn weitermachen lässt. Ob ich den Kauf genehmigt habe, muss trotzdem noch geprüft werden.
Web Bot Auth erlaubt es der Website zu überprüfen, wer den Agenten betreibt. Sich einfach „Muse“ zu nennen reicht nicht; die Website gleicht die Signatur der Anfrage mit dem veröffentlichten Schlüssel des Betreibers ab. TAP nutzt diesen Ansatz für Shopping-Agenten.
All das ergänzt sich: „Hey, ich bin ein Bot, ich bin ein netter Bot, und ich würde gerne etwas tun.“
2. Identität: Bring den Nachweis mit, den der Dienst braucht.
Proofs x401 erlaubt es dem Dienst, Nachweise über die Person hinter dem Agenten anzufordern. Die Bank sagt, was sie braucht, der Agent legt einen Credential vor, und die Bank prüft ihn. „Mein Agent sagt, ich bin Simon“ ist nur eine Behauptung; ein signierter Credential eines vertrauenswürdigen Ausstellers macht daraus einen belastbaren Nachweis.
OpenID for Verifiable Presentations (OpenID4VP) regelt, wie die Wallet diesen Credential vorlegt. x401 fordert den Nachweis an; OpenID4VP hilft bei der Übermittlung.
FIDO-Standards bilden die Grundlage für Passkeys. Ich entsperre meinen per Gesichtserkennung, Fingerabdruck oder Geräte-PIN, und mein Gerät sendet eine Signatur, die der Dienst prüfen kann. Meine biometrischen Daten bleiben auf meinem Gerät. Das authentifiziert mich, ohne dem Agenten mein Passwort zu geben – meine rechtliche Identität belegt es allein allerdings nicht.
Ein bestehender Bankkunde muss sich vielleicht nur authentifizieren. Ein Neukunde oder ein eingeschränkter Dienst könnte zusätzlich eine verifizierte Identität oder Berechtigung verlangen.
3. Werkzeuge: Gib dem Agenten eine präzise Operation.
MCP ermöglicht es der Bank zu beschreiben, was ein Agent tun kann und wie er danach fragt. „Um eine Karte zu sperren, ruf dieses Werkzeug auf und gib mir die Karten-ID.“ Der Agent sendet die ID; die Bank liefert ein Ergebnis.
WebMCP bietet strukturierte Werkzeuge über den Browser an, sodass der Agent ein Kartensperr-Werkzeug nutzen kann, statt zu raten, welchen Button er klicken soll. Eine API stellt eine direkte Softwareschnittstelle bereit. MCP kann eine Operation beschreiben, während die API im Hintergrund die Arbeit erledigt.
Agent2Agent (A2A) erlaubt es meinem Agenten, eine Aufgabe an den Agenten des Unternehmens zu übergeben und deren Fortschritt zu verfolgen. Dass ich die Aufgabe autorisiert habe, wird dadurch nicht belegt.
Der Browser ist auf absehbare Zeit der Weg, über den Agenten viele Dienste erreichen werden. Sie klicken sich durch Seiten, weil nichts anderes verfügbar ist – und ein unerwartetes Pop-up kann den ganzen Vorgang zum Scheitern bringen.
Die Kontrolle über den Zugang bleibt beim Unternehmen. Nur weil mein Agent ein Werkzeug namens „Geld überweisen“ entdeckt, darf er noch lange nicht mein Konto leerräumen.
4. Absicht: Gleiche die Aktion mit meiner Genehmigung ab.
Dieses flaue Gefühl, wenn man sein Handy nicht findet, ist schlimm genug – auch ohne jede Bank einzeln benachrichtigen zu müssen. Ich möchte, dass mein Agent meine Karten sperrt und das Gerät blockiert. „Sperr meine Karte“ ist aber keine Erlaubnis, mein Guthaben zu überweisen oder meine Kontodaten zu ändern.
Bei einem Kauf kommen Bedingungen hinzu. Wenn ich meinen Agenten bitte, ein Hotel zu buchen, bedeutet „passend“: Hanteln über 25 lbs, Minikühlschrank und kostenlose Stornierung, weil sich Reisepläne in letzter Minute ändern. Vielleicht genehmige ich ein bestimmtes Zimmer, konkrete Daten und 200 $ pro Nacht inklusive Gebühren.
Die Genehmigung ist nur ein Schritt. Der empfangende Dienst muss dann die tatsächliche Buchung mit diesen Bedingungen abgleichen. Ein Zimmer für 190 $ plus 60 $ Zusatzgebühren liegt über meinem Limit. Und eine Zahlungsbestätigung beweist noch lange nicht, dass das Hotel den Fitnessraum hat, den ich wollte.
x401 kann auch eine signierte Aktion anfordern. Ich prüfe die Bedingungen auf meinem Gerät, genehmige sie, und der Dienst kontrolliert die signierte Antwort, bevor er fortfährt. Wo der Anbieter es unterstützt, deckt das neben Zahlungen auch Kontoänderungen und Dokumente ab.
Mastercards Verifiable Intent liefert dem Unternehmen signierte Nachweise, die meine Erlaubnis mit dem Kauf des Agenten verknüpfen. Es prüft, ob Signaturen und Transaktion innerhalb der Limits liegen, statt dem Agenten einfach zu glauben.
Googles AP2 verknüpft Checkout- und Zahlungsberechtigungen, sogenannte Mandate. Der Händler prüft, was der Agent kaufen darf; der Zahlungsanbieter prüft, ob er meine Zahlungsmethode für diesen Checkout verwenden darf.
Visa Intelligent Commerce liefert Zahlungsanweisungen und Kontrollmechanismen. Ich authentifiziere eine Anweisung; der Agent fordert Zahlungsdaten an, und Visa prüft die Anfrage sowie die Zahlung des Händlers gegen diese Anweisung. TAP hilft, den Agenten zu erkennen; diese Kontrollen steuern die Zahlung.
Europas Starke Kundenauthentifizierung bietet einen nützlichen Vergleich für zusätzliche Sicherheitsstufen: Bei relevanten Fernzahlungen ist die Freigabe an Betrag und Empfänger gebunden. Eine universelle Erlaubnis für das gesamte „Handy verloren“-Szenario bekommen wir damit allerdings nicht.
Das Unternehmen muss trotzdem Ja sagen.
Am Ende müssen Verbraucher die Kontrolle darüber behalten, was Agenten tun.
Ja, jede Bank muss den Zugang zu ihrem Dienst weiterhin selbst gewähren. Meine Anweisung kann nicht stellvertretend für die Bank eine Erlaubnis erteilen. Die Protokolle für all das existieren, sie müssen nur zusammengesetzt werden – und der Agent muss die Ergebnisse melden, damit ich weiß, was abgesichert ist und worum ich mich noch kümmern muss.
Deine Risikobereitschaft mag anders aussehen.
Ich lasse einen Agenten gerne Einkäufe unter ein paar hundert Dollar selbst erledigen. Aber darüber hinaus soll er mich fragen und einen Prüfpfad hinterlassen, aus dem hervorgeht, dass ein bekannter Agent Dinge getan hat.
Wenn wir Folgendes haben:
- Verbraucherberechtigungen (über Intents)
- Verknüpft mit den Identitäten der Agentenentwickler und der Menschen.
- Die Berechtigungen bei Unternehmen und Banken anfragen können
- Und es dann einen Prüfpfad für den gesamten Vorgang gibt
Dann gibt es keine unautorisierten Agenten mehr.
Natürlich ist das Problem: „Autorisiert“ bedeutet oft „bezahlt“. Die Datenzugriffsvereinbarung zwischen JPMorgan und Plaid enthält bereits Preise – und es hat fast ein Jahrzehnt gedauert, bis diese Vereinbarung stand.
Glaubst du wirklich, die Banken werden bei Meta nicht auf mehr bestehen?
Wir haben Jahre damit verbracht, es Kunden leichter zu machen, die richtigen Buttons zu klicken. Jetzt kommt ihr Agent mit einer Anweisung an.
Wir müssen es ermöglichen, seine Befugnis nachzuweisen und die Aufgabe zu erledigen.
Und das könnte bedeuten, dass die Banken unterwegs mitverdienen.
Wenn dir das gefallen hat: Ich schreibe auf brainfood.xyz – schau gerne vorbei :)
