KI-Agent verwaltet Cloud-Ressourcen: Grenzen im Betrieb

Das Wichtigste in Kürze

Ein Betriebsagent skaliert, startet und ändert Cloud-Ressourcen; Fehler kosten Geld oder legen Dienste still.
Zerstörende Handlungen wie Löschen gehören nicht in die Routine, sondern zur Freigabe.
Jede Änderung wird vor der Ausführung gegen das Mandat geprüft und als Beleg festgehalten.

Ausgangslage

Ein Unternehmen betreibt seine Anwendung in der Cloud. Ein Agent beobachtet Last und Kosten, startet bei Spitzen zusätzliche Server, stoppt ungenutzte Testumgebungen und schlägt Einsparungen vor. Mit den Rechten eines Administrators könnte er aber auch Datenbanken löschen oder Zugriffsrechte ändern, aus Versehen oder weil ihn eine manipulierte Meldung dazu bringt.

Ablauf mit Nachweisen

Eigene Identität: Der Agent erhält eine Workload-Identität mit Rechten nur für die vorgesehenen Ressourcen.
Mandat: Skalieren innerhalb festgelegter Grenzen, Stoppen von Testumgebungen, Budget pro Tag; kein Löschen, keine Änderung von Rechten.
Entscheid: Jede Änderung geht vor der Ausführung an eine Entscheidstelle.
Freigabe: Zerstörende oder kostspielige Änderungen gehen an eine verantwortliche Person.
Ausführung und Beleg: Die Änderung wird ausgeführt und mit Verweis auf den Entscheid belegt.

Risiken und Gegenmassnahmen

Zerstörende Befehle: Löschen, Überschreiben und Rechteänderungen nie automatisch, sondern nur mit Freigabe.
Kostenexplosion: Ein Tagesbudget im Mandat begrenzt, wie viele Ressourcen der Agent starten darf.
Manipulierte Meldungen: Inhalte aus Protokollen oder Tickets dürfen keine Handlungen ausserhalb des Mandats auslösen.
Zu weite Rechte: Minimale Befugnis auf Ebene der Cloud und des Mandats.

Rollen und Verantwortlichkeiten

Plattformteam: definiert Rechte, Budgets und erlaubte Handlungen.
Bereitschaftsdienst: entscheidet über Freigaben, auch nachts.
Sicherheit: überwacht abgelehnte Entscheide und ungewöhnliche Muster.

So sieht der Prüfschein aus

Für das Hochskalieren um vier Server prüft KYA Mandat, Entscheid und Beleg. Das Urteil lautet gültig. Versucht der Agent, eine Datenbank zu löschen, liegt die Handlung nicht im Mandat; die Entscheidstelle lehnt ab, und ohne Freigabe meldet der Prüfschritt zum Umfang action_not_in_scope.

Einführung

Beginnen Sie mit lesenden Zugriffen und Vorschlägen, dann mit umkehrbaren Handlungen wie Skalieren. Zerstörende Handlungen bleiben dauerhaft bei Menschen. Für Code-Änderungen beschreibt der Anwendungsfall KI-Agent führt Code-Deployments aus das Vorgehen.

Kennzahlen für den Betrieb

Das Plattformteam verfolgt die Zahl automatisch ausgeführter Änderungen, abgelehnte Entscheide nach Grund, Freigaben ausserhalb der Arbeitszeit und die Kosten im Vergleich zum Budget. Ein Anstieg abgelehnter Löschversuche ist ein Warnsignal für Fehlkonfiguration oder Manipulation.

Häufige Fragen

Sollte ein KI-Agent Cloud-Ressourcen selbständig verwalten?

Für umkehrbare Handlungen wie Skalieren innerhalb von Grenzen ja. Zerstörende Handlungen wie Löschen sollten immer eine menschliche Freigabe brauchen.

Wie begrenze ich die Kosten?

Mit einem Budget im Mandat, das die Entscheidstelle vor jeder Handlung prüft, zusätzlich zu den Budgetwarnungen der Cloud.

Welche Rechte braucht der Agent?

Nur die für seine Aufgaben nötigen, über eine eigene Workload-Identität. Administrator-Rechte gehören nicht dazu.

Was passiert bei einem Angriff über Protokolle?

Steht in einem Protokoll eine manipulierte Anweisung, scheitert die daraus folgende Handlung an der Prüfung gegen das Mandat.

Was prüft KYA im Cloud-Betrieb?

Mandat, Entscheid und Beleg jeder Änderung. KYA prüft keine Cloud-Konfiguration, sondern die Nachweise der Befugnis.

Darf der Agent bei einem Ausfall eingreifen?

Für vorher festgelegte, umkehrbare Massnahmen wie Neustarts oder Skalieren ja. Alles andere eskaliert er an den Bereitschaftsdienst.

Was ist eine Break-Glass-Prozedur?

Ein dokumentierter Notfallzugang mit erweiterten Rechten, der nur von Menschen genutzt und vollständig protokolliert wird. Agenten erhalten ihn nicht.

Wie teste ich das Mandat eines Betriebsagenten?

In einer Testumgebung mit absichtlich unzulässigen Aufträgen. Jede dieser Handlungen muss an der Entscheidstelle scheitern.

Kann der Agent Kosten senken, indem er Ressourcen löscht?

Er kann Löschungen vorschlagen. Ausführen sollte sie ein Mensch, weil Löschungen nicht umkehrbar sind.

Wie verhindere ich, dass der Agent seine eigenen Rechte erweitert?

Rechteänderungen gehören nie ins Mandat eines Betriebsagenten. Die Cloud-Rechte seiner Workload-Identität erlauben keine Änderung von Rechten.

Darf der Agent Datensicherungen wiederherstellen?

Eine Wiederherstellung kann aktuelle Daten überschreiben. Sie sollte deshalb eine Freigabe durch einen Menschen verlangen.

Wie dokumentiere ich die Handlungen eines Betriebsagenten?

Mit Belegen pro Änderung, die auf den Entscheid verweisen, ergänzt durch die Protokolle der Cloud. Zusammen zeigen sie, was erlaubt war und was geschah.

Darf der Agent Netzwerkregeln ändern?

Änderungen an Firewalls und Netzwerkregeln betreffen die Sicherheit aller Systeme. Sie sollten nicht im Mandat eines Betriebsagenten liegen.

Quellen

NIST SP 800-207: Zero Trust Architecture: https://csrc.nist.gov/pubs/sp/800/207/final
NIST: Least Privilege: https://csrc.nist.gov/glossary/term/least_privilege