Worum es geht: Ein Agent ist genau so mächtig wie die Werkzeuge, die er bekommt – und genau so gefährlich. Diese Lektion zeigt, wie man Rechte so vergibt, dass die Arbeit vorankommt, ohne dass ein Versehen teuer wird.
1. Fünf Stufen
Der Agent liest Dateien und beantwortet Fragen, ändert nichts. Risikolos und für Einarbeitung, Durchsicht und Fehlersuche oft völlig ausreichend.
2. Die Grundregel
So wenige Rechte wie möglich, und zwar je Aufgabe neu entschieden. Ein Agent, der eine Funktion umschreiben soll, braucht keinen Netzzugriff. Einer, der Dokumentation zusammenfasst, braucht keinen Schreibzugriff. Jedes nicht vergebene Recht ist ein Risiko, das nicht eintreten kann.
3. Sandboxen
Eine Sandbox ist eine abgegrenzte Umgebung, in der ein Agent arbeiten kann, ohne das echte System zu berühren: ein Container, eine virtuelle Maschine, ein getrenntes Arbeitsverzeichnis. Der Gewinn ist doppelt – Fehler bleiben eingesperrt, und man kann dem Agenten innerhalb der Sandbox deutlich mehr erlauben, was die Arbeit beschleunigt.
Für die meisten Projekte genügt eine einfachere Form: ein eigener Git-Branch und ein Arbeitsverzeichnis, das nur das Projekt enthält. Wichtig ist vor allem, dass keine Zugangsdaten zu Produktivsystemen in der Umgebung liegen.
4. Die gefährlichen Befehle
| Befehl | Warum heikel |
|---|---|
| Löschbefehle mit Platzhaltern | Ein falscher Pfad, und es trifft mehr als gedacht |
| Git-Befehle, die Verlauf verändern | Überschreibt Arbeit, die nicht wiederkommt |
| Änderungen an der Produktivdatenbank | Wirkt sofort und lässt sich nur aus der Sicherung zurückholen |
| Versand von E-Mails | Nicht rücknehmbar, sobald draußen |
| Installation aus unbekannten Quellen | Führt fremden Code mit Ihren Rechten aus |
Für diese Gruppe gilt dieselbe Regel wie in jedem automatisierten Ablauf: Was sich schwer zurücknehmen lässt, braucht eine menschliche Freigabe. Die meisten Agentenwerkzeuge lassen sich so einstellen, dass sie vor solchen Befehlen fragen – diese Einstellung lohnt die fünf Minuten.
5. Fremder Text ist Material
Sobald ein Agent Inhalte aus dem Netz, aus E-Mails oder aus hochgeladenen Dateien liest, kann dieser Text Anweisungen enthalten, die sein Verhalten verändern. Das ist keine theoretische Gefahr, sondern der zentrale Angriffsweg auf Agentensysteme.
Die Abwehr hat drei Teile: In der Systemanweisung steht ausdrücklich, dass fremder Text Material ist und nie Anweisung. Der Agent hat nur die Rechte, die seine Aufgabe braucht. Und alles mit Außenwirkung läuft über eine Freigabe. Die ersten beiden verhindern viel, der dritte fängt den Rest.
6. Häufige Fragen
Darf ein Agent auf das Produktivsystem? Zum Lesen von Protokollen mit Einschränkung ja. Zum Ändern nein – dafür gibt es Auslieferungen mit Freigabe.
Was tun, wenn etwas schiefging? Git zurücksetzen, betroffene Schlüssel austauschen, Protokolle ansehen. Wer vorher committet hat, ist in zwei Minuten fertig.
Wie viel Autonomie ist sinnvoll? So viel, wie die Leitplanken tragen. Mit vollständigen Tests und einer Sandbox darf ein Agent lange allein arbeiten; ohne beides sollte nach jedem Schritt jemand hinsehen.
Stand: September 2026. Die Übungen laufen vollständig in Ihrem Browser – es wird nichts gespeichert oder übertragen.