Least Privilege heißt, einem KI-Agenten nur die Rechte zu geben, die seine aktuelle Aufgabe braucht. Der Grundsatz ist älter als die KI und bei Agenten besonders wirksam, weil ein Agent seine Rechte auf Anweisungen hin einsetzt, die er aus Inhalten liest.
- Least Privilege (KI-Agenten)
Einem KI-Agenten nur die Rechte geben, die seine aktuelle Aufgabe braucht.
Beispiel: „Nach dem Umbau auf Least Privilege konnte der Zusammenfassungs-Agent nur noch lesen.“Formuliert haben den Grundsatz Jerome Saltzer und Michael Schroeder 1975 in ihrer Arbeit über den Schutz von Information in Rechensystemen, als einen von acht Gestaltungsgrundsätzen.
Umgesetzt wird er über eigene Zugangsdaten je Agent, eine Werkzeug-Freigabeliste und Rechte, die mit dem Lauf ablaufen.
Was es praktisch bedeutet
Kein geteiltes Dienstkonto. Ein Agent bekommt eigene Zugangsdaten mit genau den Rechten seiner Aufgabe, und zwar je Aufgabe getrennt: lesen für die Auswertung, schreiben nur im eigenen Zweig, keine Rechte an Produktionsdaten. Der Aufwand dafür fällt einmal an, und er ersetzt eine ganze Reihe von Kontrollen, die sonst bei jedem Lauf greifen müssten.
Warum es bei Agenten mehr bringt als sonst
Weil der Angriffsweg über den Inhalt läuft. Bei einem herkömmlichen Programm muss ein Angreifer eine Lücke finden; bei einem Agenten genügt ein Text, den der Agent liest. Gegen einen solchen Auslöser hilft keine Eingabeprüfung zuverlässig, wohl aber ein Recht, das es nicht gibt.
Wo es im Alltag scheitert
An der Bequemlichkeit. Ein Agent mit allen Rechten funktioniert sofort, einer mit knappen Rechten bricht beim ersten fehlenden Zugriff ab, und dann ist die Versuchung groß, ihm einfach mehr zu geben. Unser Vorgehen: beim knappen Stand anfangen, jeden Abbruch einzeln nachtragen und den Nachtrag festhalten. Nach zwei Tagen steht die Liste, und sie ist deutlich kürzer als das, womit man sonst gestartet wäre.
Was bei zugekauften Diensten gilt
Dasselbe mit anderen Mitteln. Die meisten Anbieter erlauben Schlüssel mit beschränktem Umfang, also nur für bestimmte Vorgänge, bestimmte Datenbereiche oder mit Ablaufdatum. Je Agent ein eigener Schlüssel mit knappem Umfang kostet zehn Minuten Einrichtung und begrenzt den Schaden auf das, was dieser eine Agent erreichen durfte.