Guardrails oder Autorisierung? Was KI-Agenten absichert
Wer KI-Agenten absichern will, landet schnell bei Guardrails. Sie verbessern das Verhalten eines Modells deutlich, beantworten aber eine andere Frage als die Autorisierung. Für Handlungen mit Folgen ist der Unterschied entscheidend.
Leutrim Miftaraj, Gründer, Innopulse Consulting GmbH
Veröffentlicht am
Das Wichtigste in Kürze
- Guardrails filtern Ein- und Ausgaben eines Modells und arbeiten mit Wahrscheinlichkeiten.
- Autorisierung entscheidet deterministisch, ob eine Handlung erlaubt ist, ausserhalb des Modells.
- Für Handlungen mit Folgen braucht es Autorisierung; Guardrails ergänzen sie, ersetzen sie aber nicht.
Worum es geht
Guardrails sind Schutzmechanismen um ein Sprachmodell. Sie erkennen bekannte Angriffsmuster in Eingaben, blockieren vertrauliche Daten in Ausgaben und halten das Modell bei seinem Einsatzzweck. Sie arbeiten mit Regeln, Klassifikatoren oder einem zweiten Modell und liefern Wahrscheinlichkeiten.
Autorisierung entscheidet, ob eine konkrete Handlung erlaubt ist: diese Zahlung, diese Bestellung, dieser Zugriff. Sie geschieht ausserhalb des Modells, in einem Policy Decision Point, nach festen Regeln und mit einem Ergebnis, das sich nachvollziehen lässt.
Der Vergleich
| Merkmal | Guardrails | Autorisierung |
|---|---|---|
| Frage | Ist dieser Inhalt erwünscht? | Ist diese Handlung erlaubt? |
| Ort | um das Modell herum | ausserhalb des Modells, im Gateway |
| Arbeitsweise | Wahrscheinlichkeiten, Muster | feste Regeln, deterministisch |
| Umgehbar durch | neue Formulierungen, unbekannte Muster | nur durch Änderung der Regeln oder des Mandats |
| Nachweis | Protokoll der Filterung | signierter Entscheid, prüfbar |
| Stärke | Inhalte, Tonalität, Datenschutz | Grenzen für Geld, Verträge, Rechte |
Wann was passt
- Guardrails für alles, was das Modell sagt: schädliche Inhalte, vertrauliche Daten, Themen ausserhalb des Zwecks.
- Autorisierung für alles, was der Agent tut und Folgen hat: Zahlungen, Bestellungen, Änderungen an Daten und Systemen.
- Beides in jedem produktiven Agenten: Guardrails senken die Zahl problematischer Versuche, die Autorisierung fängt ab, was durchkommt.
Wie beides zusammenspielt
Ein Angriff durch Prompt Injection muss zwei Hürden nehmen. Zuerst die Guardrails, die viele bekannte Muster erkennen. Gelingt es trotzdem, das Modell zu einer Handlung zu bringen, prüft die Autorisierung diese Handlung gegen das Mandat. Eine Zahlung über der Grenze scheitert dort, egal wie überzeugend die Anweisung war. Was die Guardrails blockiert haben, liefert zudem wertvolle Hinweise auf Angriffsversuche.
Häufige Missverständnisse
- «Gute Guardrails machen Autorisierung überflüssig.» Guardrails senken das Risiko, schliessen es aber nicht aus. Eine einzige gelungene Umgehung genügt für einen Schaden.
- «Autorisierung ersetzt Guardrails.» Sie verhindert unerlaubte Handlungen, aber nicht unerwünschte Aussagen oder den Abfluss von Daten in Antworten.
- «Ein zweites Modell als Prüfer ist Autorisierung.» Auch ein prüfendes Modell arbeitet mit Wahrscheinlichkeiten und lässt sich beeinflussen.
Rolle von KYA
KYA ist keine Guardrail. KYA prüft die Nachweise der Autorisierung: Mandat, Entscheid und Beleg. Damit lässt sich für jede Handlung zeigen, ob sie erlaubt war, unabhängig davon, wie das Modell zu ihr gekommen ist. Hintergründe bietet der Artikel Prompt Injection und Befugnis.
Entscheidungshilfe in drei Fragen
- Kann die Handlung Geld, Verträge oder Rechte betreffen? Dann braucht sie eine Autorisierung ausserhalb des Modells.
- Geht es um Inhalte, Tonalität oder vertrauliche Daten in Antworten? Dann sind Guardrails das richtige Mittel.
- Muss später belegt werden, dass eine Handlung erlaubt war? Dann braucht es einen signierten Entscheid.
Häufige Fragen
Was ist der Unterschied zwischen Guardrails und Autorisierung?
Guardrails filtern Inhalte und beeinflussen das Verhalten des Modells mit Wahrscheinlichkeiten. Autorisierung entscheidet deterministisch, ob eine konkrete Handlung erlaubt ist.
Reichen Guardrails, um Prompt Injection zu verhindern?
Nein. Sie erkennen viele bekannte Muster, aber nicht alle. Für Handlungen mit Folgen braucht es zusätzlich eine Prüfung gegen klare Grenzen ausserhalb des Modells.
Kann ein zweites Modell die Autorisierung übernehmen?
Nicht zuverlässig. Auch ein prüfendes Modell lässt sich beeinflussen. Autorisierung sollte auf festen Regeln beruhen.
Wo sitzt die Autorisierung in einer Agenten-Architektur?
In einem Gateway vor den Werkzeugen und Schnittstellen, das jede Handlung mit Folgen bei einer Entscheidstelle prüfen lässt, bevor sie ausgeführt wird.
Wie belege ich, dass eine Handlung autorisiert war?
Mit einem signierten Entscheid gegen ein Mandat und einem Beleg der Ausführung. KYA prüft diese Nachweise und zeigt das Ergebnis im Prüfschein.
Wie viel kosten Guardrails und Autorisierung im Betrieb?
Guardrails verursachen zusätzliche Rechenzeit pro Anfrage, oft durch ein zweites Modell. Eine Autorisierung gegen ein Mandat ist eine schnelle, regelbasierte Prüfung und kostet pro Handlung kaum Zeit.
Was mache ich mit Handlungen, die Guardrails blockiert haben?
Werten Sie sie aus. Häufen sich Blockierungen zu einem Thema oder von einer Quelle, deutet das auf gezielte Angriffsversuche hin.
Brauchen kleine Unternehmen beides?
Ja, sobald ein Agent Handlungen mit Folgen ausführt. Für den Anfang genügen oft die Guardrails der Plattform und eine einfache Prüfung gegen ein Mandat mit wenigen Grenzen.
Quellen
- OWASP: LLM01 Prompt Injection: https://genai.owasp.org/llmrisk/llm01-prompt-injection/
- NIST SP 800-207: Zero Trust Architecture: https://csrc.nist.gov/pubs/sp/800/207/final