Agenten geben Daten auf drei Wegen preis: über die Argumente, die sie in einem Tool-Aufruf weiterleiten, über das, was sie ins Konversationsgedächtnis schreiben, und über das, was sie in einer Antwort zurückgeben. Ein Richtlinien-Memo stoppt keinen der drei Wege — alle drei sehen aus wie der Agent, der einfach seine Arbeit macht. Was sie stoppt, ist eine Laufzeit-Tokenisierungsschicht, die den Text an jedem dieser drei Punkte abfängt und PII entfernt, bevor sie Ihre Grenze überschreitet. So funktioniert diese Schicht.
Das Schwärzen dessen, was in den LLM-Prompt eingeht, ist das absolute Minimum und schließt die Lücke nicht. Der Datenpfad eines Agenten hat drei Stellen, an denen ein Rohwert den Perimeter verlassen kann, und keine davon läuft über den Prompt.
Der Agent entscheidet sich, ein Tool aufzurufen — eine Kalender-API, ein CRM, einen Zahlungsdienstleister — und leitet die Daten, über die er gerade nachdenkt, als Aufrufargument weiter. MCP führt keine feldbezogenen Sensibilitätsmetadaten mit, sodass der Tool-Server standardmäßig erhält, was auch immer der Agent im Klartext sendet.
Der Konversationsverlauf bleibt über Turns hinweg bestehen, damit der Agent Kontext hat. Jeder Text, der diesem Verlauf hinzugefügt wird — einschließlich der Sozialversicherungsnummer eines Kunden oder eines medizinischen Details, das mitten im Gespräch auftaucht — bleibt für die Dauer der Sitzung im Klartext dort, sofern nicht etwas ihn tokenisiert, bevor das Anhängen erfolgt.
Die endgültige Antwort, die an den Aufrufer zurückgegeben wird, wird aus dem Kontext aufgebaut, den der Agent abgerufen und über den er nachgedacht hat. Wenn die Tokenisierung nur beim Eingang läuft, kann ein Wert, der als Token hereinkam, in der ausgehenden Antwort untokenisiert wieder auftauchen.
Das tiefere Argument dafür, warum der Tool-Aufruf — nicht der Prompt — der Ort ist, an dem die meisten Produktionslecks tatsächlich passieren, finden Sie in Ihr KI-Agent gibt PII über Tool-Aufrufe preis. Hier ist der Beweis.
VeriSwarm Guard schließt alle drei Vektoren mit demselben zugrunde liegenden Aufruf — POST /v1/suite/guard/pii/tokenize — angewendet genau an der Stelle, an der jeder Vektor sonst lecken würde. Der Text durchläuft eine Presidio-basierte NER-Erkennungs-Engine (Presidio + spaCy NER, plus benutzerdefinierte Regex-Erkenner für Kennungen, die Presidio nicht von Haus aus abdeckt) und kommt zurück, wobei jede PII-Spanne durch ein typisiertes Token ersetzt wurde — [VS:EMAIL:a1b2c3], [VS:SSN:f9e2d1], und so weiter. Der Agent, der Tool-Server und alles dazwischen Protokollierte sehen das Token. Der ursprüngliche Wert wird, sofern überhaupt benötigt, über einen separaten Aufruf von POST /v1/suite/guard/pii/rehydrate wiederhergestellt, der auf die Sitzung beschränkt ist, die die Tokens erzeugt hat.
Guard Proxy ist eine transparente MCP-Interceptions-Schicht. Richten Sie den MCP-Client Ihres Agenten auf den Proxy statt direkt auf den Tool-Server, und er tokenisiert PII sowohl in der ausgehenden Tool-Aufruf-Anfrage als auch in der eingehenden Tool-Aufruf-Antwort — ohne jegliche Änderung am Agentencode. Drei Bereitstellungsmodi: cloudgehostet, On-Prem-Docker, lokales stdio.
VeriSwarms eigene Agenten-Laufzeitumgebung ruft den Tokenisierungs-Endpunkt für die Antwort des Agenten auf, bevor diese Antwort dem Konversationsverlauf angehängt wird, und bevor sie an den Aufrufer zurückgegeben wird. Der in den Speicher geschriebene Wert und der zurückgegebene Wert sind derselbe tokenisierte Text — nicht zwei separate Kontrollen, die auseinanderdriften können.
Die PII-Schutz-Säule behandelt den breiteren Fall für Tokenisierung gegenüber der Schwärzung von Prompt-Eingaben — warum DLP den Agenten-Traffic nicht abdeckt, die DSGVO-Pseudonymisierungs-Ausnahme, den Vault-Audit-Trail, die Healthcare-Ausrichtung. Diese Seite ist enger und operativer: Sie ist eine Übersicht der drei konkreten Stellen im Datenpfad eines Agenten, an denen ein Leck tatsächlich passiert, und welcher Mechanismus jede davon schließt. Lesen Sie die Säule für die vollständige Architektur und die Compliance-Begründung; lesen Sie diese Seite dafür, wo genau Sie die Lösung ansetzen müssen.
Tokenisierung reduziert die PII-Oberfläche an den drei oben genannten Vektoren und gibt Ihnen einen Audit-Trail jeder Interception, wenn Vault aktiviert ist — sie garantiert nicht, dass niemals Daten durchsickern. Ein Tool-Aufruf, der um Guard Proxy herumgeleitet wird, oder eine benutzerdefinierte Integration, die den Tokenisierungs-Endpunkt nicht aufruft, bevor sie Daten weiterleitet, ist ein Leckpfad, den diese Schicht nie sieht. Guard schließt die Vektoren, in die es eingebunden ist; einen neuen einzubinden liegt bei Ihnen, sobald Sie einen Leckpfad bauen, den es noch nicht abdeckt. Injection ist ein verwandtes, aber eigenständiges Risiko — eine manipulierte Eingabe, die beeinflusst, welches Tool aufgerufen wird, statt PII in den Argumenten eines legitimen Aufrufs — behandelt gesondert in Prompt-Injection-Erkennung für KI-Agenten.
Über Tool-Aufruf-Argumente — ein Agent leitet rohe PII im Klartext an einen MCP-Tool-Server weiter (eine Kalender-API, ein CRM, einen Zahlungsdienstleister). Über das, was er ins Gedächtnis schreibt — die Sozialversicherungsnummer eines Kunden oder ein medizinisches Detail wird dem Konversationsverlauf angehängt und bleibt dort für die Dauer der Sitzung bestehen. Über das, was er zurückgibt — eine aus tokenisiertem Kontext aufgebaute Antwort kann den ursprünglichen Wert dennoch offenlegen, wenn der Tokenisierungsschritt beim Ausgang übersprungen wird. Alle drei teilen eine Eigenschaft: Keiner von ihnen sieht wie ein Richtlinienverstoß aus. Sie sehen aus wie der Agent, der einfach seine Arbeit macht.
Nein — das stoppt den Leckpunkt, der am wenigsten schadet. Dass das LLM nie PII zu sehen bekommt, ist gute Praxis, aber der Tool-Aufruf, den das LLM anschließend beschließt zu tätigen, ist die Stelle, an der Daten Ihren Perimeter tatsächlich verlassen. Ein Agent kann äußerst sorgfältig damit umgehen, was er in einen Prompt schreibt, und trotzdem die Telefonnummer eines Kunden wortwörtlich an einen MCP-Tool-Server eines Drittanbieters weiterleiten, weil die MCP-Spezifikation von Natur aus keine feldbezogenen Datensensibilitäts-Metadaten mitführt. Die Abdeckung muss sich bis zum Tool-Aufruf erstrecken, nicht an der Modellgrenze enden.
Der Text wird an POST /v1/suite/guard/pii/tokenize übergeben, das ihn durch eine Presidio-basierte NER-Erkennungs-Engine laufen lässt (Presidio + spaCy NER plus benutzerdefinierte Regex-Erkenner für Kennungen, die Presidio nicht abdeckt) und den Text mit jeder durch ein typisiertes Token ersetzten PII-Spanne zurückgibt — [VS:EMAIL:a1b2c3], [VS:SSN:f9e2d1] und so weiter. Die Token-zu-Wert-Zuordnung ist mandantengebunden und wird niemals zusammen mit der tokenisierten Nutzlast übertragen. Tokens sind nur über POST /v1/suite/guard/pii/rehydrate reversibel, beschränkt auf die Sitzung, die sie erzeugt hat, für den konkreten Fall, dass ein nachgelagertes System den echten Wert benötigt, um seine Aufgabe zu erfüllen — zum Beispiel das Schreiben in einen CRM-Datensatz.
Für den Tool-Aufruf-Vektor: nein. Guard Proxy ist eine transparente MCP-Interceptions-Schicht — der MCP-Client Ihres Agenten zeigt auf die Proxy-URL statt direkt auf den Tool-Server, und er tokenisiert PII sowohl im ausgehenden Tool-Aufruf als auch in der eingehenden Antwort, bevor einer von beiden die Grenze überschreitet. Drei Bereitstellungsmodi decken cloudgehostet, On-Prem-Docker und lokales stdio ab. Für die Speicher- und Echo-Vektoren ruft VeriSwarms eigene Agenten-Laufzeitumgebung bereits den Tokenisierungs-Endpunkt auf, bevor sie eine Antwort dem Konversationsverlauf anhängt oder an den Aufrufer zurückgibt — diese Verdrahtung ist Teil der Plattform und wird nicht von Ihnen selbst gebaut.
Guard — PII-Tokenisierung, Guard Proxy und das Injection-Scanning, das parallel dazu läuft — ist ein Feature des Max-Tarifs. Gate, VeriSwarms kostenloses Trust-Scoring, gibt Ihnen Einblick in das Agentenverhalten und den Ereignisfluss, bevor Sie die Tokenisierungsschicht benötigen; bei Guard schalten Sie die Durchsetzung ein.
Nein, und begegnen Sie jedem Anbieter, der etwas anderes behauptet, mit Skepsis. Tokenisierung reduziert die PII-Oberfläche an jedem der hier behandelten drei Vektoren und gibt Ihnen einen Audit-Trail jeder Interception, wenn Vault aktiviert ist. Sie deckt keine Leckpfade außerhalb dieser drei ab — eine falsch konfigurierte Integration, die Guard Proxy umgeht, oder ein benutzerdefinierter Tool-Aufruf-Pfad, der nicht über den Tokenisierungsschritt läuft, muss weiterhin bewusst eingebunden werden.
Guards PII-Tokenisierung ist ein Feature des Max-Tarifs; der kostenlose Tarif von Gate gibt Ihnen das Trust-Scoring und die Ereignis-Sichtbarkeit, um zu sehen, wohin die Daten eines Agenten tatsächlich gehen, bevor Sie die Lösung aktivieren.