Agenten-Mandat oder API-Schlüssel? Was sicherer ist
Ein API-Schlüssel ist der schnellste Weg, einen Agenten an ein System anzubinden, und der riskanteste. Er erlaubt alles, was das Konto erlaubt, und hinterlässt keinen Nachweis darüber, was im Auftrag gewollt war.
Leutrim Miftaraj, Gründer, Innopulse Consulting GmbH
Veröffentlicht am
Das Wichtigste in Kürze
- Ein API-Schlüssel erlaubt alles, was das Konto erlaubt, und wirkt wie eine Blankovollmacht.
- Ein Mandat begrenzt Handlungen, bindet sie an den Agenten und lässt sich einzeln widerrufen.
- Der erste Schritt ist klein: ein Schlüssel pro Agent, dann Mandate für Handlungen mit Folgen.
Worum es geht
API-Schlüssel sind lange, geheime Zeichenketten, die einen Zugang eröffnen. Wer den Schlüssel kennt, kann die Schnittstelle mit allen Rechten des zugehörigen Kontos nutzen. Viele Agenten werden heute so angebunden: Der Schlüssel liegt in einer Konfiguration, und der Agent ruft damit Werkzeuge auf.
Ein Agenten-Mandat beschreibt den Auftrag mit Grenzen und ist an den Schlüssel des Agenten gebunden. Es lässt sich widerrufen, ohne den Zugang aller anderen Systeme zu ändern, und es ergibt zusammen mit Entscheid und Beleg einen prüfbaren Nachweis.
Der Vergleich
| Merkmal | API-Schlüssel | Agenten-Mandat |
|---|---|---|
| Umfang | alle Rechte des Kontos | festgelegte Handlungstypen und Grenzen |
| Bindung | an den Besitz des Schlüssels | an den Schlüssel eines bestimmten Agenten |
| Weitergabe | durch Kopieren möglich | ohne privaten Schlüssel wertlos |
| Widerruf | Schlüssel neu erzeugen, alle Systeme anpassen | einzelnes Mandat über Statusliste |
| Nachweis | Zugriffsprotokoll des Anbieters | Mandat, Entscheid und Beleg, unabhängig prüfbar |
| Verhalten bei Manipulation | jede Anweisung wird ausgeführt | Handlungen ausserhalb der Grenzen werden abgelehnt |
Warum Schlüssel bei Agenten besonders riskant sind
Ein Agent verarbeitet Inhalte aus vielen Quellen. Eine versteckte Anweisung auf einer Website oder in einer E-Mail kann ihn dazu bringen, die Rechte seines Schlüssels für fremde Zwecke einzusetzen (Prompt Injection). Mit einem pauschalen Schlüssel gibt es keine Grenze, an der das scheitert. Zudem landen Schlüssel leicht in Protokollen, Fehlermeldungen oder Konfigurationsdateien und lassen sich von dort weiterverwenden.
Ein Schlüssel ohne Grenzen ist damit eine Blankovollmacht: weitreichend, schwer zu begrenzen und im Nachhinein kaum zu belegen.
Der Weg vom Schlüssel zum Mandat
- Bestandsaufnahme: Welche Agenten arbeiten mit welchen Schlüsseln, mit welchen Rechten?
- Schlüssel pro Agent statt geteilter Schlüssel, damit Handlungen zuordenbar werden.
- Für Handlungen mit Folgen ein Mandat mit Grenzen einführen und ein Gateway, das vor der Ausführung prüft.
- Pauschale Schlüssel schrittweise auf lesende Zugriffe beschränken oder ganz ersetzen.
Der Grundsatz der minimalen Befugnis leitet jeden Schritt.
Rolle von KYA
KYA prüft die Nachweise, die ein Mandat erzeugt: das Mandat selbst, den Entscheid vor der Ausführung und den Beleg danach. Für Handlungen, die nur mit einem API-Schlüssel ausgeführt wurden, gibt es nichts zu prüfen, und genau das ist das Problem.
Häufige Missverständnisse
- «Ein geheimer Schlüssel ist sicher genug.» Geheimhaltung schützt vor Aussenstehenden, nicht vor dem eigenen Agenten, der manipuliert wird.
- «Schlüssel mit wenigen Rechten lösen das Problem.» Sie verkleinern den Schaden, begrenzen aber keine einzelne Handlung und belegen nichts.
- «Das Zugriffsprotokoll reicht als Nachweis.» Es zeigt, dass ein Schlüssel verwendet wurde, nicht in wessen Auftrag und in welchem Rahmen.
Entscheidungshilfe in drei Fragen
- Liest der Agent nur, oder löst er Handlungen mit Folgen aus? Für Handlungen mit Folgen genügt ein Schlüssel nicht.
- Teilen sich mehrere Agenten einen Schlüssel? Dann sind Handlungen nicht zuordenbar.
- Müssten Sie bei einem Vorfall alle Systeme anpassen? Dann fehlt ein gezielter Widerruf.
Häufige Fragen
Sind API-Schlüssel für KI-Agenten verboten?
Nein. Für lesende Zugriffe ohne Folgen können sie vertretbar sein. Für Handlungen mit Folgen fehlen ihnen Grenzen, Bindung an den Agenten und ein prüfbarer Nachweis.
Was passiert, wenn ein API-Schlüssel abhandenkommt?
Wer ihn hat, kann alle Rechte des Kontos nutzen, bis der Schlüssel ersetzt ist. Ein Mandat ist dagegen an den privaten Schlüssel des Agenten gebunden und ohne ihn wertlos.
Kann ich API-Schlüssel und Mandat kombinieren?
Ja. Der Schlüssel öffnet den technischen Zugang, ein Gateway prüft jede Handlung mit Folgen gegen das Mandat, bevor sie ausgeführt wird.
Wie viel Aufwand ist der Umstieg?
Der erste Schritt, ein Schlüssel pro Agent, ist klein. Mandate mit Gateway lassen sich danach Anwendungsfall für Anwendungsfall einführen, beginnend bei Zahlungen.
Wie bewahre ich API-Schlüssel für Agenten sicher auf?
In einem verwalteten Geheimnisspeicher, nie im Code oder in Prompts, mit einem Schlüssel pro Agent und regelmässigem Wechsel. Für Handlungen mit Folgen kommt ein Mandat mit Gateway hinzu.
Was sagen Sicherheitsstandards zu Schlüsseln für Agenten?
Leitlinien wie die OWASP-Liste für Anwendungen mit Sprachmodellen warnen ausdrücklich vor übermässigen Rechten. Der Grundsatz der minimalen Befugnis verlangt, dass ein Agent nur die Rechte hat, die eine Aufgabe braucht.
Wie erkenne ich, ob meine Agenten pauschale Schlüssel nutzen?
Prüfen Sie für jeden Agenten, welche Zugänge er verwendet und welche Rechte daran hängen. Teilen sich mehrere Agenten einen Schlüssel oder hat ein Schlüssel Schreibrechte ohne Grenzen, ist er pauschal.
Quellen
- NIST: Least Privilege: https://csrc.nist.gov/glossary/term/least_privilege
- OWASP: LLM01 Prompt Injection: https://genai.owasp.org/llmrisk/llm01-prompt-injection/