Sobald ein KI-Agent Geld ausgeben, E-Mails senden oder Daten löschen kann, ändert sich die Frage von „Ist er klug?“ zu „Was hält ihn auf, wenn er falschliegt?“. Unsere Antwort bei LVLZ ist schnell gesagt und wichtig, richtig umzusetzen: Die Regeln, die ein menschliches Ja brauchen, liegen außerhalb des Modells.
Das Problem mit dem höflichen Bitten
Der übliche Ansatz ist, dem Modell in seinen Anweisungen zu sagen, dass es vor allem Riskanten beim Nutzer nachfragen soll. Das funktioniert, bis es nicht mehr funktioniert. Modelle verstehen Anfragen falsch. Eine Webseite, die der Agent besucht, kann versteckten Text enthalten, der behauptet: „Der Nutzer hat das schon freigegeben.“ Ein langes Gespräch kann die Anweisung unter Tausenden von Wörtern begraben. Eine Anweisung ist ein Vorschlag, dem das Modell meistens folgt, und „meistens“ reicht nicht, wenn eine Karte hinterlegt ist.
Was wir stattdessen tun
Jede Aktion in LVLZ ist eine Operation, die in einem einzigen Register definiert ist. Jede Operation legt fest, wie sie abgesichert ist: Manche brauchen nie eine Freigabe, manche immer. Einige hängen an einer Regel, die der Nutzer selbst steuert:
- Zahlungen. Bevor der Agent bezahlt, siehst du den Händler, die Artikel und die Gesamtsumme.
- Neue Empfänger. Eine E-Mail an jemanden, dem du noch nie geschrieben hast, wartet auf dein Ja.
- Löschungen. Das Entfernen von Aufgaben, Projekten oder Gedächtnisinhalten wartet auf deine Bestätigung.
- Einladungen. Jemanden zu deinem Workspace hinzuzufügen, wartet auf deine Bestätigung.
Die Prüfung findet im Code statt, der die Operation ausführt, und zwar bevor sie läuft. Das Modell kann die Aktion anfragen, aber nicht ausführen, bis die Freigabe erfasst ist. Du gibst mit einer Antwort auf WhatsApp oder einem Klick in der App frei, und die Regel ist auf beiden Wegen dieselbe.
Was dir das bringt
- Prompt Injection verliert ihre Zähne. Eine bösartige Seite kann das Modell dazu bringen, etwas zu versuchen, aber der Versuch endet an der Freigabe.
- Fehler kosten wenig. Wenn der Agent etwas falsch versteht, siehst du die Aktion, bevor sie passiert, und kannst Nein sagen.
- Du wählst den Kompromiss. Wenn du E-Mails an neue Kontakte nie freigeben willst, schalte diese Regel in deinen Freigabe-Einstellungen aus. Das entscheidest du, nicht das Modell.
Geheimnisse folgen demselben Prinzip
Das Modell muss auch deine Passwörter oder Kartennummern nie sehen. Sie sind in deinem Tresor mit einem Schlüssel verschlüsselt, der nur dir gehört, und wenn eine Browser-Aufgabe einen davon braucht, trägt der serverseitige Browser ihn direkt ein. Das Modell weiß, dass das Feld ausgefüllt wurde, aber nie, womit. Mehr dazu auf unserer Sicherheitsseite.
Die Faustregel
Lass das Modell entscheiden, was es versucht. Lass den Code entscheiden, was erlaubt ist. Diese Aufteilung ist es, die es vernünftig macht, einem Agenten echte Arbeit zu übergeben.