KI-Agenten sind nicht deterministisch. Derselbe Agent mit denselben Berechtigungen kann am Dienstag zuverlässig sein und am Freitag PII preisgeben. Agent Trust Scoring ersetzt binäre Zugriffskontrolle durch verhaltensbasierte Berechtigungen, die sich kontinuierlich, im Produktivbetrieb, über fünf Dimensionen des Agentenverhaltens hinweg aktualisieren. So bewertet VeriSwarm Gate Agenten — und deshalb ist eine Bewertung für einen Betreiber mehr wert als eine Berechtigungsvergabe.
Agent Trust Scoring ist ein zur Laufzeit arbeitendes, verhaltensgewichtetes Bewertungssystem, das quantifiziert, wie viel Autonomie einem bestimmten KI-Agenten zu einem gegebenen Zeitpunkt eingeräumt werden sollte — basierend auf seinem beobachteten Verhalten über die Dimensionen Identität, Risiko, Zuverlässigkeit, Autonomie und Kalibrierung hinweg. Anders als bei statischer Zugriffskontrolle aktualisiert sich der Score, sobald neue Ereignisse eintreffen, und steuert damit eine Policy-Stufe — allow, review oder deny — für jede Entscheidung, die der Agent zu treffen versucht.
Traditionelle Zugriffskontrolle ist binär. Ein Agent hat entweder eine Berechtigung oder nicht. Dieses Modell funktionierte, solange Software deterministisch war; eine Funktion mit Leseberechtigung für eine Datenbank las diese immer auf dieselbe Weise. Agenten sind nicht deterministisch. Derselbe Agent mit denselben Berechtigungen kann:
Binäre Zugriffskontrolle erfasst nichts davon. Ein Agent, der sich in den letzten 48 Stunden schlecht verhalten hat, besitzt denselben Zugriff wie einer, der sechs Monate lang einwandfrei war. Trust Scoring schließt diese Lücke.
Ein zusammengesetzter Trust Score, der alles auf eine einzige Zahl reduziert, ist eben nur eine Zahl. Ein Score, aufgeschlüsselt in fünf orthogonale Dimensionen, ist eine Diagnose. Gate bewertet Agenten über fünf Dimensionen, und die Policy-Stufe wird aus allen fünf abgeleitet — nicht aus einem einzigen zusammengefassten Wert.
Wie gut etabliert ist die Identität dieses Agenten? Ist er verifiziert? Hat er einen bestätigten menschlichen Eigentümer? Ist er schon lange genug im Einsatz, um eine Erfolgsbilanz aufzubauen?
War dieser Agent in Sicherheitsvorfälle, Tool-Missbrauch, Richtlinienverstöße oder PII-Offenlegung verwickelt? Das Risiko steigt bei Vorfällen und klingt langsam über die Zeit ab.
Schließt dieser Agent Aufgaben erfolgreich ab? Behandelt er Fehler souverän? Eskaliert er, wenn es angebracht ist? Zuverlässigkeit wird durch konsequent gutes Verhalten verdient.
Wie viel Eigenständigkeit sollte diesem Agenten eingeräumt werden? Zuverlässige Monate bringen mehr Autonomie ein. Ein nicht bestandener Sicherheitstest stutzt sie zurück.
Weiß dieser Agent, was er nicht weiß? Kalibrierung vergleicht die von einem Agenten gemeldete Zuversicht bei einer Aufgabe mit dem tatsächlich erzielten Ergebnis, bewertet mit einer fortlaufenden Brier-Metrik. Ein selbstbewusst falscher Agent und ein gut kalibrierter Agent können dieselbe Zuverlässigkeitszahl aufweisen — die Kalibrierung ist es, die die beiden unterscheidet.
Warum ein einzelner zusammengesetzter Score im Produktionsmaßstab tatsächlich nicht ausreicht, wird ausführlich erläutert in Identität, Risiko, Zuverlässigkeit, Autonomie: Warum ein einzelner Trust Score für Agenten im Produktivbetrieb nicht ausreicht. Die Kalibrierung kam im 3. Quartal 2026 als fünfte Dimension zum Modell hinzu — die Überlegungen hinter dieser Ergänzung stehen in Die fünfte Dimension: Wie man misst, ob ein Agent wusste, was er nicht wusste.
Score-Änderungen werden durch Ereignisse ausgelöst. Gate verwendet eine standardisierte 24-Ereignis-Taxonomie, in die sich der Ingestion-Stream jedes Kunden einordnet — unabhängig davon, mit welchem Framework der Agent läuft: LangChain, CrewAI, AutoGen, oder eine eigene Lösung. Die Taxonomie ist nach Dimension gruppiert:
agent.confidence_reported), gepaart mit dem beobachteten Ergebnis der Aufgabe (agent.task_outcome).Benutzerdefinierte Ereignistypen können über die API hinzugefügt werden. Alte Ereignisnamen (einschließlich des agentgate_*-Namespace aus der früheren Zeit der Plattform) werden automatisch in die Taxonomie überführt.
Betrachten wir einen KI-Kundenservice-Agenten, der E-Mails für ein E-Commerce-Unternehmen bearbeitet.
Die Berechtigungen des Agenten änderten sich innerhalb von drei Monaten viermal, ohne dass jemand eine Berechtigungsmatrix bearbeitet hätte. Das ist der Mechanismus.
Ein Kundenservice-Chatbot und ein medizinischer Triage-Agent sollten sich keine Vertrauensregeln teilen. Mit Scoring-Profilen kann ein Tenant die Standardwerte der Engine überschreiben — unterschiedliche Dimensionsgewichte, unterschiedliche Policy-Schwellenwerte, unterschiedliche Ereignisempfindlichkeiten — pro Branche. Heute werden elf Voreinstellungen ausgeliefert, davon sieben kalibrierungsbewusste Branchenprofile (Gesundheitswesen, Finanzdienstleistungen, Recht, Software, Sicherheit, E-Commerce sowie ein kalibrierungsbewusstes allgemeines Profil); individuelle Profile werden ab Pro unterstützt.
Warum ein einzelner Schwellenwert weder dem Gesundheitswesen noch dem E-Commerce-Verkehr gerecht werden kann, wird ausführlich behandelt in Eine Größe passt nicht allen: Vertrauensschwellen für Agenten im Gesundheitswesen vs. E-Commerce konfigurieren.
Diese beiden werden oft verwechselt, sollten es aber nicht sein. Die LLM-Evaluierung bewertet ein Modell offline anhand eines Benchmarks, vor dem Deployment. Agent Trust Scoring bewertet einen deployten Agenten kontinuierlich anhand seines Produktivverhaltens, nach dem Deployment. Die Eval-Suite sagt dir, ob das Modell eine BoolQ-Frage beantworten kann; der Trust Score sagt dir, ob der Agent am Dienstag nicht die SSN eines Kunden preisgegeben hat. Beides hat einen Wert. Sie sind keine Ersatzgrößen füreinander.
Die vollständige Abgrenzung — Agent Scoring ist keine LLM-Evaluierung. Das ist der Unterschied.
Ein Trust Score ist keine Identität. Eine Identität ist keine Policy-Entscheidung. Diese beiden Paare zu vermischen ist der Grund, warum KI-Agenten-Governance-Stacks im Produktivbetrieb scheitern. Identität beantwortet wer ist dieser Agent. Trust Scoring beantwortet wie verhält sich dieser Agent. Eine Policy-Entscheidung kombiniert beides — zusätzlich zur versuchten Aktion, der Stufe, in der sich der Agent aktuell befindet, sowie etwaigen Kill-Switch- oder Delegations-Überschreibungen — und gibt pro Anfrage ein einziges allow / review / deny aus.
Warum klassisches IAM allein den Kreis nicht schließt: Identität ist nicht Vertrauen: Warum verifizierte Agenten weiterhin ein Scoring brauchen. Für das architektonische Gesamtbild, wie Identität, Scoring und Policy-Entscheidungen zu einer einzigen Laufzeitschicht verschmelzen, siehe was eine Vertrauensschicht für KI-Agenten tatsächlich ist.
Nein. Genauigkeit misst, ob ein Modell bei einem Benchmark die richtige Ausgabe erzeugt hat. Ein Trust Score misst, ob sich ein Agent im Produktivbetrieb so verhält, dass er sich fortgesetzten Zugriff verdient — über Identitätsstärke, Risikoexposition, Zuverlässigkeitshistorie und die Autonomie, die ihm eingeräumt werden sollte. Derselbe Agent kann bei einem Benchmark 94 % erreichen und in derselben Woche im Produktivbetrieb Autonomie verlieren, weil es sich um zwei unterschiedliche Fragen handelt.
Die Ereignistaxonomie von Gate umfasst 24 standardisierte Ereignistypen über fünf Familien: Identitätsereignisse (Verifizierung, Eigentümerbestätigung, Manifest-Änderungen), Risikoereignisse (PII-Offenlegung, Prompt-Injection, Tool-Missbrauch, Richtlinienverstöße), Zuverlässigkeitsereignisse (Aufgabenabschluss, Fehlerraten, Eskalationsverhalten), Autonomieereignisse (Grenztests, Einhaltung des Zuständigkeitsbereichs, Rechteanfragen) und Kalibrierungsereignisse (die von einem Agenten gemeldete Zuversicht zu einer Aufgabe, gepaart mit dem beobachteten Ergebnis der Aufgabe). Benutzerdefinierte Ereignistypen können über die API hinzugefügt werden; alte Ereignisnamen werden automatisch in die Taxonomie überführt.
Ja — dafür gibt es Scoring-Profile. Ein Profil ist eine Tenant-spezifische Konfiguration, die die Standardgewichte der Engine für jede Dimension überschreibt, Schwellenwerte für die Policy-Stufen allow / review / deny festlegt und sich pro Branche zuschneiden lässt. VeriSwarm liefert elf voreingestellte Profile aus — sieben davon kalibrierungsbewusste Branchenprofile (Gesundheitswesen, Finanzdienstleistungen, Recht, Software, Sicherheit, E-Commerce sowie ein kalibrierungsbewusstes allgemeines Profil) — und unterstützt vollständig individuelle Profile.
Der Kill Switch ist eine harte Überschreibung auf der Entscheidungsebene, kein Score-Modifikator. Wird ein Agent gekillt, liefert jede Entscheidungsprüfung gegen diesen Agenten deny mit reason_code: "agent_killed" und policy_tier: "tier_x" — unabhängig davon, was die zugrunde liegenden Scores aussagen. Das Killen eines Agenten beschädigt nicht seine Score-Historie — es ist eine separate, auditierte Betreiberaktion, die rückgängig gemacht werden kann.
Der kostenlose Tarif von Gate umfasst die vollständige Fünf-Dimensionen-Scoring-Engine, unbegrenzte Ereigniserfassung, 5.000 Trust-Entscheidungen pro Tag, das Standard-Scoring-Profil sowie dasselbe hash-verkettete Audit-Ledger, das Vault für kostenpflichtige Pläne verwendet. Individuelle Scoring-Profile, das geteilte Reputationsnetzwerk sowie die breiteren Säulen Guard / Passport / Vault / Cortex sind plangebunden, aber Trust Scoring selbst beginnt kostenlos.
Calibration Trust misst, ob die Zuversicht eines Agenten mit der Realität übereinstimmt. Wenn ein Agent meldet, wie sicher er sich bei einer Aufgabe ist, vergleicht Gate diese Vorhersage mit dem beobachteten Ergebnis der Aufgabe und bewertet die Abweichung mit einer fortlaufenden Brier-Metrik — derselben geeigneten Bewertungsregel, die auch zur Beurteilung von Wettervorhersagen verwendet wird. Es ist eine eigenständige fünfte Dimension, weil Konfidenz-Genauigkeit orthogonal zu den anderen vier ist: Ein Agent kann hochzuverlässig und dennoch chronisch überzuversichtlich sein, und genau dieses Überzuversichtlichkeits-Muster ist es, das eine autonome Entscheidung in einen Vorfall verwandelt. Kalibrierung ergänzt die vier bestehenden Dimensionen; sie ersetzt keine von ihnen.
POST /v1/decisions/check. Er bewertet den aktuellen Score des aufrufenden Agenten gegenüber der angeforderten Aktion und liefert eine allow / review / deny-Entscheidung, einen Grundcode und die Policy-Stufe. Der Kill Switch und eine etwaige Passport-Verifizierungsüberschreibung werden geprüft, bevor die Antwort zurückgegeben wird, sodass ein gekillter oder nicht verifizierter Agent unabhängig von der zugrunde liegenden Score-Aussage abgelehnt werden kann.
Beides, in einer festgelegten Reihenfolge. Die Entscheidungs-Engine von VeriSwarm versucht zunächst die individuellen Cedar-Policies des Tenants; hat der Tenant keine definiert, oder schlägt die Cedar-Auswertung aus irgendeinem Grund fehl, greift sie auf eine eingebaute Policy-Matrix zurück, die das Standard-Cedar-Regelwerk widerspiegelt. Jeder Tenant erhält Policy-Auswertung unabhängig vom Plan — individuelle, tenant-spezifische Cedar-Policies sind der Teil, der plangebunden ist, ab Max und Enterprise.
Die Ereigniserfassung erfolgt asynchron. Ereignisse landen in einer Redis-Queue, und ein Scoring-Worker verarbeitet sie — typischerweise entsteht ein neuer Score-Snapshot innerhalb von Sekunden, nicht mit der Verzögerung eines nächtlichen Batch-Jobs. Die Kalibrierung ist die Ausnahme: Die Zuversichtsmeldung eines Agenten und das beobachtete Ergebnis der Aufgabe treffen oft zu unterschiedlichen Zeitpunkten ein, sodass der Worker sie anhand der Aufgaben-ID paart und die Kalibrierungsdimension out-of-band aktualisiert, sobald das Ergebnis eintrifft.
Der kostenlose Tarif von Gate umfasst die vollständige Scoring-Engine, unbegrenzte Ereigniserfassung, 5.000 Entscheidungen pro Tag sowie dasselbe hash-verkettete Ledger, das jeder kostenpflichtige Plan verwendet. Zehn Minuten zur Anbindung; das Agenten-Framework, das du bereits nutzt, funktioniert.