Die Berechtigung ist der leiseste Teil des Systems. Niemand beachtet sie während einer Demo. Aber sie ist der Teil, der Geld bewegt.
Die Berechtigungslücke: Warum Agenten Geld anders ausgeben
Ein Mensch, der einen teuren Fehler macht, muss etwas tun – einen Button klicken, einen Befehl eingeben, einen Kauf bestätigen. Es gibt Reibung. Es gibt einen Moment, in dem das Gehirn aufholen kann.
Ein Agent mit einer Berechtigung hat diesen Moment nicht. Er handelt mit Maschinengeschwindigkeit, über mehrere API-Aufrufe hinweg, bevor die erste Rechnungs-E-Mail eintrifft. Die Lücke zwischen „dieser Schlüssel hat Schreibzugriff“ und „das Konto ist leer“ wird in Sekunden gemessen, nicht in menschlichen Aufmerksamkeitszyklen.
Dies ist keine Hypothese. Das OWASP Gen AI Security Project führt übermäßige Handlungsfähigkeit als eigene Risikokategorie auf – das System hat die Erlaubnis zu handeln, und der Mensch hat keine Chance, die Handlung zu überprüfen, bevor sie geschieht. Die Fähigkeit ist die Verwundbarkeit.
Reale Vektoren: API-Schlüssel, Cloud-Kosten und SaaS-Abonnements
Betrachten Sie ein häufiges Muster: ein GitHub Actions-Workflow, der ein gespeichertes Secret verwendet, um eine SaaS-API aufzurufen. Das Secret wurde für eine Aufgabe bereitgestellt – einmal täglich einen Zusammenfassungsbericht zu senden. Aber der Workflow hat einen Fehler in seiner Triggerlogik, oder ein Angreifer findet einen Weg, eine fehlerhafte Eingabe einzuschleusen, die den Schritt in eine Schleife zwingt.
Plötzlich tätigt dieser einzelne API-Schlüssel Tausende von Aufrufen pro Stunde. Das SaaS-Tool berechnet pro Aufruf. Der Cloud-Anbieter berechnet pro Computeminute. Niemand überprüft die Logs, bis die monatliche Rechnung eintrifft, und dann ist der Schaden bereits angerichtet.
Das gleiche Muster gilt für die Cloud-Bereitstellung. Ein Agent mit der Erlaubnis, Compute-Instanzen zu starten, gewährt für einen legitimen Batch-Job, kann versehentlich einen GPU-Cluster starten, der erhebliche Kosten pro Stunde verursacht. Der Agent weiß nicht, was Geld ist. Er weiß nur, dass die Berechtigung „ja“ sagt.
Freigabegates: Nicht nur eine Bremsschwelle
Der Instinkt ist zu sagen: „Freigabegates werden uns verlangsamen.“ Das stimmt, und es ist der falsche Rahmen.
Ein Freigabegate ist keine Bremsschwelle. Es ist eine Zustandsprüfung – ein Moment, in dem das System fragt: „Liegt diese Aktion im erwarteten Bereich?“, bevor es ausgeführt wird. Für Aktionen mit hohen Kosten oder hohen Privilegien sollte das Gate eine menschliche Bestätigung erfordern. Für Aktionen mit mittleren Kosten kann es eine automatisierte Prüfung gegen einen Schwellenwert sein: „Dieser API-Aufruf würde die täglichen Ausgaben über ein definiertes Limit bringen – ablehnen bis zur Überprüfung.“
Der Schlüssel ist, das Gate kontextbezogen zu gestalten. Nicht jede Aktion benötigt eines. Aber diejenigen, die echtes Geld ausgeben können, sollten eine eingebaute Pause haben.
Kontingente und Ratenbegrenzungen als harte Grenzen
Freigabegates betreffen was passieren kann. Kontingente betreffen wie viel passieren kann.
Ein Kontingent ist eine harte Obergrenze für den Ressourcenverbrauch innerhalb eines Zeitfensters. Für einen Agenten bedeutet dies, eine maximale Anzahl von API-Aufrufen pro Stunde, eine maximale Cloud-Ausgabe pro Tag oder eine maximale Anzahl bereitgestellter Instanzen festzulegen. Das Kontingent wird auf Plattformebene durchgesetzt – der Agent kann es nicht überschreiten, egal welche Berechtigung er hat.
Dies ist kein Ersatz für Least Privilege. Es ist ein ergänzendes Sicherheitsnetz. Selbst wenn die Berechtigung zu weit gefasst ist, begrenzt das Kontingent den Schadensradius.
Least Privilege: Das Prinzip, das Budgets schützt
Least Privilege ist das älteste Sicherheitsprinzip und gilt direkt für die Kostenkontrolle. Ein Agent, der nur einen SaaS-Bericht lesen muss, sollte keinen Schreibzugriff auf die Abrechnungs-API dieses SaaS-Tools haben. Ein Agent, der nur einen bestimmten Workflow auslösen muss, sollte keinen Zugriff auf alle Secrets im Repository haben.
Der Fehler besteht darin, Berechtigungen basierend auf dem zu gewähren, was der Agent in Zukunft benötigen könnte, anstatt auf dem, was er tatsächlich für die aktuelle Aufgabe benötigt. Diese nie eintretende Zukunftsberechtigung ist diejenige, die missbraucht wird.
Audit-Trails: Das Leck finden, bevor es das Konto leert
Selbst mit Gates und Kontingenten wird etwas durchrutschen. Ein Audit-Trail ist die letzte Verteidigungslinie – ein Log jeder Aktion, die der Agent ausgeführt hat, mit Zeitstempeln, Ressourcen-IDs und der verwendeten Berechtigung.
Der Trick ist, den Audit-Trail zu überwachen, nicht nur zu speichern. Richten Sie Alarme für ungewöhnliche Muster ein: einen plötzlichen Anstieg von API-Aufrufen, eine neu bereitgestellte Ressourcenart, einen Agenten, der außerhalb seiner normalen Betriebszeiten arbeitet. Diese Alarme sollten an einen Menschen gehen, der nachforschen kann, bevor der nächste Abrechnungszyklus beginnt.
Die Kosten, den Audit-Trail zu ignorieren, sind die Kosten, es zu spät herauszufinden. Und die Rechnung kommt immer.
