Agenten melden sich jetzt selbst an. Die Tür ja, den Schlüssel nein

TL;DR. Am 21. Oktober hat Anthropic Claude Duet vorgestellt, einen Agenten, der allein im Hintergrund arbeitet und sich nur meldet, wenn etwas ansteht. Einen Tag später startete 1Password einen Weg, auf dem solche Agenten sich bei Websites anmelden, ohne das Passwort je zu sehen. Am selben Tag berichtete Axios, dass große US-Banken fremde Agenten in Kundenkonten entdecken und aussperren. Agenten werden vom Gesprächspartner zum Mitarbeiter mit Zugang. Entscheidend ist jetzt, welche Tür ein Agent öffnen darf und wer dazu Ja sagt. In Deutschland gibt es beides noch nicht, die Regeln dafür sollten Sie trotzdem jetzt aufschreiben.

Was neu ist

Ein KI-Assistent wartet bisher, bis man ihn fragt. Claude Duet dreht das um. Er schickt morgens eine kurze Zusammenfassung, prüft danach alle paar Stunden die verbundenen Konten und meldet sich nur, wenn etwas Aufmerksamkeit braucht. Er läuft auf einer eigenen virtuellen Maschine mit eigenem Browser, Ihr Laptop darf also zugeklappt sein. Anthropic nennt über 6.000 Anbindungen, von Gmail und Slack bis QuickBooks, HubSpot und Docusign. Zielgruppe sind ausdrücklich Berufstätige und kleine Unternehmen.

Spannend ist, wo Anthropic die Grenzen zieht. Vieles entscheidet Duet allein, ein Prüfmodell gibt die Schritte frei. Vier Arten von Handlungen brauchen aber immer Ihr Ja, zwei sind ganz ausgeschlossen.

Wie sich ein Agent jetzt anmeldet

Die zweite Neuerung kam am 22. Oktober. Agenten hatten bisher ein Anmeldeproblem: Entweder man gab ihnen das Passwort, oder sie blieben vor der Tür. 1Password for Agents setzt dazwischen an. Der Agent hält an der Anmeldeseite an und weist sich gegenüber 1Password mit einem eigenen digitalen Schlüssel aus. Sie sehen auf Ihrem Gerät, welcher Zugang wofür verlangt wird, und bestätigen. Dann füllt 1Password das Formular selbst aus.

Der Produktchef von 1Password, Aashish Tripathi, begründet das in der Pressemitteilung so: Das alte Modell, einen Zugang herauszugeben und auf das Beste zu hoffen, funktioniere nicht mehr.

Das Kleingedruckte

• Hierzulande gibt es das noch nicht. Duet startet als Testversion mit Warteliste, zuerst für Pro- und Max-Kunden in den USA. 1Password for Agents gilt nur für Privat- und Familienkonten auf 1Password.com. Konten auf 1Password.eu werden ausdrücklich nicht unterstützt, Firmenkonten nennt 1Password gar nicht.
• Angekündigt ist mehr, als läuft. Von 15 Agenten, die 1Password nennt, rollen zwei aus. Duet, ChatGPT Work und alle anderen stehen auf „bald“.
• Das Passwort bleibt geheim, die Sitzung nicht. Nach der Anmeldung arbeitet der Agent im angemeldeten Konto weiter. Was er dort tut, regelt nicht 1Password, sondern der Agent.
• Der Agent kann sich irren. Anthropic schreibt selbst, Duet könne eine Nachrichtenkette falsch lesen oder die Dringlichkeit falsch einschätzen. Seinen Browser kann er noch nicht zeigen. Sie sehen also, was er beschließt, aber nicht, was er gesehen hat.
• Die heikle Mischung ist komplett. Der Entwickler Simon Willison nennt drei Fähigkeiten, die zusammen gefährlich werden: Zugriff auf private Daten, Kontakt mit fremden Inhalten und ein Weg nach draußen. Ein Agent, der Ihr Postfach liest, hat alle drei, und eine präparierte Mail kann ihn zu etwas verleiten. Die Freigabe vor dem Senden ist deshalb kein Komfort, sondern der Riegel.

Die Banken ziehen die Grenze enger

Wie heikel das ist, zeigt ein Bericht von Axios vom 22. Oktober. Große US-Banken entdecken demnach fremde KI-Agenten in Kundenkonten, teils mit Handlungen, die auf keine Anweisung des Kunden zurückgehen. Die meisten melden sich mit den Zugangsdaten des Kunden an, was gegen die Regeln der Banken verstößt. Morgan Stanley sperrt solche Agenten aus, JPMorgan, Bank of America und Citi schränken sie ein. Viele Banken gehen auf reinen Lesezugriff. Schäden sind bisher nicht bekannt, die Quellen sind anonym. Chase sagt es schlicht: Kunden sollen ihre Zugangsdaten niemandem geben.

Auch in Deutschland verpflichtet § 675l BGB Bankkunden, ihre Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Bevor ein Agent ein Bankkonto Ihres Betriebs sieht, gehören die Bedingungen der Bank auf den Tisch.

Was das für einen Mittelständler heißt

Beide Produkte zielen auf Einzelne und kleine Betriebe, nicht auf die IT-Abteilung. Die ersten Agenten werden deshalb über private Abos in den Betrieb kommen, nicht über eine Ausschreibung. Wer heute keine Regel hat, hat bald Agenten mit Firmenzugängen, von denen niemand weiß. Die gute Nachricht: Die Hersteller liefern die Vorlage gleich mit. Was allein geht, was nur nach Ja und was nie, lässt sich auf jeden Betrieb übertragen.

Der Agent bekommt die Tür, nicht den Schlüssel. Und wer die Tür öffnet, sagt vorher Ja.

Was Sie jetzt tun sollten

1. Eine klare Regel ausgeben. Keine Firmenpasswörter in Agenten, Chatfenster oder Browser-Erweiterungen. Wenn ein Agent sich anmelden soll, dann nur auf einem Weg, bei dem das Passwort verborgen bleibt.
2. Die drei Stufen für Ihren Betrieb festlegen. Was darf ein Agent allein (lesen, zusammenfassen, Entwürfe), was nur nach Ja (Mails an Kunden, Bestellungen, Löschen) und was nie (Überweisungen, Verträge unterschreiben)? Duets Liste ist ein guter Anfang.
3. Agenten eigene Zugänge geben. Wo ein Portal das erlaubt, bekommt der Agent ein eigenes Konto mit möglichst wenig Rechten, am besten nur lesend. So machen es gerade die Banken.
4. Bedingungen prüfen. Bank, Zahlungsanbieter, Lieferantenportale: Was steht dort zur Weitergabe von Zugangsdaten? Im Zweifel fragen, bevor ein Agent es ausprobiert.
5. Sehen wollen, nicht nur hören. Ein Agent, der nachts arbeitet, muss morgens zeigen können, worauf er sich stützt. Fragen Sie bei jedem Anbieter, ob Sie nachvollziehen können, was der Agent gesehen hat.

Agenten, die allein arbeiten, kommen schneller, als die meisten Betriebe Regeln dafür haben. Die Technik für das Ja an der Tür gibt es jetzt. Welche Türen es überhaupt gibt, muss jeder Betrieb selbst aufschreiben. Wenn Sie diese Liste einmal mit jemandem durchgehen wollen, sprechen Sie uns gern an.