Was ist ein KI-Agent?

Einfach erklärt

Ein KI-Chat beantwortet Fragen. Ein KI-Agent erledigt Aufgaben. Er bekommt ein Ziel, etwa „Lege die offenen Rechnungen der Muster GmbH in den Ordner für den Steuerberater“, und arbeitet es Schritt für Schritt ab: suchen, Ergebnis lesen, nächsten Schritt wählen, bis er fertig ist oder nicht weiterkommt. Dafür bekommt er Zugang zu Programmen wie Postfach, Ticketsystem oder Dokumentenablage.

Stellen Sie sich eine neue Aushilfe vor, die sehr schnell arbeitet, sich aber irren und täuschen lassen kann. Was sie anrichten kann, hängt davon ab, welche Schlüssel Sie ihr geben.

Der Unterschied zur festen Automatisierung

Eine Workflow-Automatisierung folgt einem eingerichteten Ablauf: Kommt eine Rechnung per Mail, landet sie in der Ablage. Sie macht jedes Mal dasselbe. Ein Agent wählt seine Schritte selbst. Das macht ihn vielseitiger, aber weniger vorhersehbar. Für Abläufe, die immer gleich sind, ist die feste Automatisierung deshalb oft die bessere Wahl.

Was Sie festlegen sollten

• Ein eigenes Konto. Der Agent arbeitet nicht mit dem Konto der Chefin. So steht im Protokoll, was er getan hat, und Sie können ihm den Zugang jederzeit entziehen.
• Nur die nötigen Rechte. Wer Rechnungen sortieren soll, muss keine Zahlungen freigeben können. Grundlage sind Ihre Rollen und Rechte.
• Ein Mensch bestätigt, was sich nicht rückgängig machen lässt. Dazu gehören Mails nach außen, das Löschen von Daten und Zahlungen.

Fragen Sie Ihren IT-Dienstleister oder den Anbieter, welche Programme der Agent erreicht, mit welchem Konto er dort angemeldet ist und wo Sie seine Schritte nachlesen können.

Was ein KI-Agent nicht leistet

Ein Agent prüft nicht von sich aus, ob sein Ergebnis stimmt. Er kann sich irren (Halluzination) und ein früher Fehler kann sich durch alle weiteren Schritte ziehen. Liest er Mails oder Webseiten, kann er darin versteckten Anweisungen folgen (Prompt Injection). Was er mit dem Konto Ihres Betriebs tut, sieht für Ihre Kunden so aus, als hätte Ihr Betrieb es getan.

Die Schleife aus Modell und Werkzeugen

Grundlage ist Tool Use, auch Function Calling oder Tool Calling genannt. Die Anwendung übergibt dem Sprachmodell neben dem Prompt eine Liste von Werkzeugen mit Name, Beschreibung und JSON-Schema der Parameter. Das Modell führt nichts selbst aus. Es antwortet mit einem strukturierten Aufruf, die Anwendung führt ihn aus und gibt das Ergebnis zurück. In der Messages API von Anthropic heißen die Bausteine tool_use und tool_result, die Antwort endet mit stop_reason: "tool_use". Bei OpenAI enthält die Ausgabe ein Element vom Typ function_call, das Ergebnis geht als function_call_output mit derselben call_id zurück. Ein Agent wiederholt das, bis das Modell ohne Werkzeugaufruf antwortet oder eine Abbruchbedingung greift. Werkzeuge kann auch ein Server über das Model Context Protocol bereitstellen.

{
  "name": "rechnungen_suchen",
  "description": "Sucht Rechnungen in der Dokumentenablage. Nur lesend.",
  "input_schema": {
    "type": "object",
    "properties": {
      "lieferant": { "type": "string" },
      "status": { "type": "string", "enum": ["offen", "bezahlt"] }
    },
    "required": ["lieferant"]
  }
}

Das Modell antwortet darauf etwa mit:

{ "type": "tool_use", "id": "toolu_01…", "name": "rechnungen_suchen",
  "input": { "lieferant": "Muster GmbH", "status": "offen" } }

Agentic AI: Workflow oder Agent

Anthropic fasst in „Building effective agents“ (Dezember 2024) beides unter dem Oberbegriff agentische Systeme zusammen. In Workflows orchestriert fest programmierter Code Modell und Werkzeuge. In Agenten steuert das Modell Ablauf und Werkzeugwahl selbst, meist als Modell, das in einer Schleife Werkzeuge nutzt und das Ergebnis jedes Schritts aus der Umgebung zurückbekommt. Workflows bieten laut dem Beitrag Vorhersagbarkeit für klar umrissene Aufgaben. Empfohlen wird die einfachste Lösung, die genügt. Als Preis der Autonomie nennt der Beitrag höhere Kosten und sich fortpflanzende Fehler. Er empfiehlt Abbruchbedingungen wie eine Höchstzahl an Durchläufen sowie ausgiebige Tests in einer Sandbox.

Rechte und Freigaben

Die OWASP Top 10 for LLM Applications 2025 führen das Risiko als LLM06 Excessive Agency mit drei Ursachen: zu viele Funktionen, zu weite Berechtigungen, zu viel Autonomie. Empfohlen werden dort nur die nötigen Erweiterungen, eng geschnittene statt offener Werkzeuge, minimale Rechte in den Zielsystemen, die Ausführung im Kontext des jeweiligen Benutzers und eine Freigabe durch einen Menschen vor folgenreichen Aktionen. Die Berechtigung prüft das Zielsystem, nicht das Modell (Complete Mediation). Das BSI rät zusätzlich, Aktionen möglichst umkehrbar zu gestalten oder abgeschottet auszuführen.

Typische Fehler

• Persönliches Administratorkonto. Jede Fehlentscheidung hat volle Rechte und das Protokoll trennt nicht zwischen Mensch und Agent.
• Offene Werkzeuge. „Shell-Befehl ausführen“ oder „beliebige URL abrufen“ statt „Rechnung lesen“. OWASP rät ausdrücklich davon ab.
• Freigabe nur im Prompt. „Frag vor dem Senden nach“ im Systemprompt ist keine Kontrolle. Die Bestätigung gehört in die Anwendung, die das Werkzeug ausführt.
• Keine Abbruchbedingung. Ohne Höchstzahl an Durchläufen läuft eine Schleife weiter und verbraucht Token.
• Fremde Inhalte ohne Grenze. Mails, Webseiten und Dokumente landen im Kontext und können Anweisungen enthalten, siehe Prompt Injection.