Einen KI-Agenten abzusichern erfordert sechs Kontrollen: begrenzte Identität, Tool-Berechtigungen nach dem Prinzip der geringsten Rechte, PII-Tokenisierung, Prompt-Injection-Scanning, einen Kill-Switch und ein Audit-Protokoll. Jede schließt einen eigenständigen Fehlermodus — Identität, damit du weißt, welcher Agent was getan hat, Berechtigungen, damit ein kompromittierter Agent nicht alles aufrufen kann, was er will, Tokenisierung, damit ein Datenleck nicht so aussieht, als würde der Agent nur seine Arbeit tun, Injection-Scanning, damit eine manipulierte Eingabe keinen Tool-Aufruf kapern kann, ein Kill-Switch, damit du einen Agenten stoppen kannst, ohne auf seine Kooperation zu warten, und ein Audit-Protokoll, damit es Beweise gibt, wenn etwas schiefgeht. Das ist, was jede einzelne Kontrolle tut, wo sie sitzt und auf welchem Tarif sie verfügbar ist.
Einen KI-Agenten abzusichern bedeutet, sechs eigenständige Fehlermodi zur Laufzeit zu schließen — Identität, Tool-Zugriff, Datenexposition, manipulierte Anweisungen, Betreiber-Override und Nachweisbarkeit — mit Kontrollen, die außerhalb der eigenen Argumentation des Agenten liegen. Eine System-Prompt-Anweisung, die einem Agenten sagt, was er nicht tun soll, ist keine Kontrolle; es ist eine Bitte, von der sich das Modell abbringen lässt. Jeder Punkt unten wird auf einer Ebene durchgesetzt, bei der der Agent kein Mitspracherecht hat.
In der Reihenfolge, in der die meisten Teams sie einrichten — Identität und die Entscheidungsebene zuerst, da alles Weitere davon abhängt, zu wissen, welchen Agenten man vor sich hat.
POST /v1/credentials/issue, verifizierbar gegen /.well-known/jwks.json) ist die kostenlose Grundausstattung — unbegrenzt in jedem Tarif. Vollständigere Identität — Eigentumsverifizierung, signierte Manifeste, die festlegen, was ein Agent tun darf, und begrenzte Delegationen von einem menschlichen Konto — ist VeriSwarm Passport, ab Pro. Tarif: Basis-Credentials kostenlos; Passport ab Pro. Wie die Identitätsverifizierung von Agenten funktioniert.POST /v1/suite/guard/tool-permissions) erlauben es dir, pro Tool eine Positivliste zu definieren, statt dem eigenen Urteil des Agenten zu vertrauen, was er aufrufen sollte. Tarif: Max (Guard).[VS:EMAIL:a1b2c3]), bevor sie eine Tool-Grenze überschreiten, nicht danach. VeriSwarm Guard führt dies unter POST /v1/suite/guard/pii/tokenize aus, gestützt auf eine Presidio-basierte NER-Erkennungsengine, und Guard Proxy wendet es transparent auf jeden MCP-Tool-Aufruf an, ohne Änderungen am Agenten-Code. Tarif: Max (Guard). Die drei Vektoren, die dies schließt.POST /v1/suite/guard/scan) prüft nicht vertrauenswürdigen Text, bevor er einen Schritt erreicht, der darauf reagieren kann, und kombiniert dabei strukturelle Mustererkennung mit einem DeBERTa-ML-Klassifikator. Tarif: Max (Guard). Wie der Scan funktioniert.POST /v1/suite/guard/kill/{agent_id}) blockiert jede nachfolgende Entscheidungsprüfung und Credential-Ausstellung für diesen Agenten, unabhängig davon, was sein eigener Prompt sagt. Er liegt vollständig außerhalb der Argumentation des Agenten — der Agent wird nicht gebeten aufzuhören, ihm wird auf der Richtlinienebene das nächste Mal verweigert, wenn er versucht zu handeln. Tarif: Max (Guard). Wie der Kill-Switch tatsächlich funktioniert.Es ist verlockend, eine Checkliste mit sechs Punkten als sechs Dinge zu lesen, die man kaufen muss. So teilen sich die Tarife nicht auf. Die Entscheidungsebene, die allen Kontrollen zugrunde liegt — VeriSwarm Gate — ist kostenlos: vollständiges Trust-Scoring, 5.000 Erlauben/Prüfen/Verweigern-Prüfungen pro Tag, unbegrenzte Ereigniserfassung und unbegrenzte Ausstellung von Basis-Credentials. Du kannst Identität herstellen und mit der Bewertung des Agentenverhaltens beginnen, ohne eine Karte zu hinterlegen. Beschränkt ist die Durchsetzungsebene — Guards Tool-Berechtigungen, Tokenisierung, Injection-Scanning und Kill-Switch, dazu Vaults abfragbares und exportierbares Protokoll — die auf Max liegt. Die vollständigere Passport-Identität (Verifizierung, Manifeste, Delegationen) liegt dazwischen auf Pro. Lass dir von keinem Anbieter einreden, der kostenlose Tarif sei eine abgespeckte Demo; für einen großen Teil interner Agenten mit geringem Schadensradius reichen Identität plus Entscheidungsebene für sich allein aus.
Die sechs Kontrollen sind keine unabhängigen Schalter — sie speisen eine einzige Entscheidung. Identität sagt der Policy-Engine, welcher Agent anfragt. Trust-Scoring, gespeist aus dem Ereignisstrom, in den sowohl Guard als auch Gate schreiben, sagt ihr, wie sich dieser Agent verhalten hat. Tool-Berechtigungen, PII-Tokenisierung und Injection-Scanning sind die Durchsetzungspunkte, an denen eine bestimmte Anfrage entweder fortgesetzt oder gestoppt wird. Der Kill-Switch ist der Override, der alles andere aussticht. Das Audit-Protokoll ist das, womit du im Nachhinein rekonstruieren kannst, warum eine bestimmte Anfrage erlaubt oder verweigert wurde. Diese Entscheidung — allow, review, or deny — ist die Vertrauensebene, die allen sechs Kontrollen zugrunde liegt. Was eine Vertrauensebene tatsächlich ist.
Begrenzte Identität (wissen, welcher Agent das ist und wer dafür verantwortlich ist), Tool-Berechtigungen nach dem Prinzip der geringsten Rechte (einschränken, welche Tools er unter welchen Bedingungen aufrufen kann), PII-Tokenisierung (sensible Daten entfernen, bevor sie eine Tool-Grenze überschreiten), Prompt-Injection-Scanning (manipulierte Anweisungen erkennen, bevor sie einen Tool-Aufruf auslösen), ein Kill-Switch (ein Betreiber-Override, der außerhalb der eigenen Argumentation des Agenten liegt) und ein Audit-Protokoll (ein unveränderlicher Nachweis dessen, was der Agent tatsächlich getan hat). Keine der sechs ersetzt eine andere — ein Agent mit perfekter Identität und ohne Kill-Switch ist immer noch nur einen schlechten Prompt von einem Vorfall entfernt.
Die Entscheidungsebene, die allen sechs zugrunde liegt, ist kostenlos: VeriSwarm Gates Trust-Scoring, Erlauben/Prüfen/Verweigern-Richtlinienentscheidungen (5.000 Prüfungen/Tag), unbegrenzte Ereigniserfassung und unbegrenzte Ausstellung von portablen Basis-Credentials (JWT-Identitätstoken, per JWKS verifizierbar) kosten nichts. Die Durchsetzungsebene — Guards Tool-Berechtigungen, PII-Tokenisierung, Injection-Scanning und Kill-Switch, dazu Vaults abfragbares und exportierbares Audit-Protokoll — ist eine Max-Tarif-Funktion. Vollständigere Identitätsverifizierung mit signierten Manifesten und Delegationen (Passport) liegt auf Pro. Du kannst Identität einrichten und auf dem kostenlosen Tarif mit der Verhaltensbewertung beginnen; die Durchsetzung ist dort, wo der bezahlte Tarif zu arbeiten beginnt.
Nein. Eine System-Prompt-Anweisung ist eine Bitte, von der sich das Modell abbringen lässt — genau das nutzt Prompt-Injection aus. Jede Kontrolle auf dieser Liste außer der Identität arbeitet außerhalb der eigenen Argumentation des Modells: Tool-Berechtigungen werden geprüft, bevor ein Aufruf ausgeführt wird, PII-Tokenisierung läuft auf dem Text unabhängig davon, was der Agent beabsichtigte, und der Kill-Switch verweigert auf der Richtlinienebene, egal was der Prompt des Agenten sagt. Das Muster über alle vier Durchsetzungskontrollen ist dasselbe — die Prüfung auf eine Ebene verlagern, mit der sich das Modell nicht auseinandersetzen kann.
Identität und die Entscheidungsebene (Gate) sind das Minimum — ohne sie zu deployen bedeutet, keine Möglichkeit zu haben, herauszufinden, welcher Agent was getan hat, oder auf ein Muster von Fehlverhalten zu reagieren, sobald man es bemerkt. Die anderen vier skalieren mit dem, was der Agent tatsächlich tun kann. Ein rein lesender interner Agent ohne PII-Exposition hat eine deutlich schmalere Risikooberfläche als einer, der eine Zahlungs-API aufruft und Kundendaten verarbeitet — aber sobald ein Agent ein externes Tool aufrufen oder sensible Daten berühren kann, hören Tool-Berechtigungen und PII-Tokenisierung auf, optional zu sein. Kill-Switch und Audit-Protokoll sind aus technischer Sicht günstig genug, dass es selten einen guten Grund gibt, sie zu überspringen, sobald Guard und Vault bereits eingebunden sind.
Framework-Schutzmechanismen (LangChain-Callbacks, CrewAIs Task-Validatoren, ein selbst geschriebenes try/except um einen Tool-Aufruf) laufen im selben Prozess wie der Agent und hängen davon ab, dass der eigene Code-Pfad des Agenten korrekt ausgeführt wird. Die sechs Kontrollen hier liegen außerhalb dieses Prozesses — VeriSwarm sitzt zwischen dem Agenten und den Tools/Entscheidungen, die er zu treffen versucht, sodass ein Bug oder eine erfolgreiche Injection in der eigenen Logik des Agenten nicht auch die Kontrolle deaktiviert, die ihn überwacht. Das ist derselbe Grund, warum eine Firewall nicht als Einstellung innerhalb der Anwendung implementiert wird, die sie schützt.
Jede Kontrolle schließt einen eigenständigen Fehlermodus, sodass das Auslassen einer Kontrolle genau diesen Modus offen lässt. Lässt man die Identität aus, kann man einen Vorfall keinem bestimmten Agenten zuordnen oder nur dessen Zugriff widerrufen. Lässt man Tool-Berechtigungen aus, kann ein kompromittierter Agent alles aufrufen, wofür er Anmeldeinformationen hat. Lässt man PII-Tokenisierung aus, sieht ein Datenleck aus, als würde der Agent nur seine Arbeit tun. Lässt man Injection-Scanning aus, kann eine manipulierte Eingabe einen nicht autorisierten Tool-Aufruf auslösen, bevor ihn jemand überprüft. Lässt man den Kill-Switch aus, gibt es keinen schnellen Weg, einen fehlverhaltenden Agenten zu stoppen, außer ihm die Anmeldeinformationen zu entziehen. Lässt man das Audit-Protokoll aus, hat man keinen Nachweis dessen, was passiert ist — was für die Nachbesprechung genauso wichtig ist wie für den Vorfall selbst.
Gates Trust-Scoring, Entscheidungsprüfungen und die Ausstellung von Basis-Credentials kosten nichts. Füge Guards Durchsetzungskontrollen und Vaults exportierbares Protokoll hinzu, wenn der Schadensradius eines Agenten es rechtfertigt.