Eine Werkzeug-Freigabeliste legt fest, welche Werkzeuge ein KI-Agent ohne Rückfrage benutzen darf. Alles darauf läuft durch, alles andere braucht eine Bestätigung oder ist gesperrt.
- Werkzeug-Freigabeliste (Tool Allowlist)
Die Festlegung, welche Werkzeuge ein KI-Agent ohne Rückfrage benutzen darf.
Beispiel: „Auf der Werkzeug-Freigabeliste stehen Lesen, Suchen und Tests ausführen, alles Weitere fragt nach.“Der Gegenbegriff ist die Sperrliste, die einzelne Werkzeuge verbietet und den Rest erlaubt. Für Agenten taugt sie schlecht, weil niemand alle gefährlichen Fälle vorher kennt.
Die Liste gehört in die ausführende Anwendung und nicht in die Systemanweisung. Eine Regel in Worten lässt sich mit Worten aufweichen, siehe Prompt Injection.
Wie man sie zuschneidet
Nach Folgen und nicht nach Werkzeugen. Alles, was nur liest, darf ohne Rückfrage laufen. Alles, was schreibt, hängt davon ab, wo geschrieben wird: in einem Arbeitsbereich mit Versionsverwaltung ist das harmlos, in einem Produktivsystem nicht. Alles, was nach außen wirkt, also senden, veröffentlichen, bezahlen, löschen, braucht immer eine Bestätigung.
Warum die Liste mit der Zeit wächst
Weil jede Rückfrage Zeit kostet und die Leute sie wegklicken, sobald sie zu oft kommt. Das ist der eigentliche Grund, warum zu enge Listen gefährlich sind: Sie erzeugen Gewöhnung, und die Bestätigung bei der wirklich wichtigen Frage geht in der Reihe der harmlosen unter. Besser wenige Rückfragen an den richtigen Stellen als viele überall.
Was sie nicht leistet
Sie verhindert keine falschen Ergebnisse. Ein Agent mit reinen Leserechten kann eine falsche Zusammenfassung schreiben, und die richtet Schaden an, sobald jemand sie benutzt. Die Freigabeliste begrenzt den Schaden durch Handlungen und ersetzt die fachliche Prüfung nicht. Zweitens schützt sie nicht vor der Reihenfolge: Zwei einzeln harmlose Werkzeuge können zusammen etwas bewirken, das keines allein kann, etwa lesen und ins Netz schreiben. Wer Rechte vergibt, denkt deshalb in Ketten und nicht in Einzelfällen. Der einfachste Schutz dagegen ist die Trennung: ein Agent, der liest, und ein zweiter, der schreibt, mit einem Menschen dazwischen.