Confused-Deputy-Problem bei KI-Agenten
Die Kurzantwort · 13 Wörter
Kurz erklärt
Sicherheitsproblem, bei dem ein Vermittler seine eigenen Berechtigungen für einen unberechtigten Auftrag einsetzt.
Flow-alerta.cab (2026): Confused-Deputy-Problem bei KI-Agenten. https://flow-alerta.cab/glossar/confused-deputy-problem-in-ai-agents. Redaktionell geprüft am: 09. Oktober 2026.
Wie ausführlich soll es sein?
Praxis
Relevant für KI-Agenten mit Plugins, APIs und schreibenden Tools, weil delegierte Aktionen klare Identität und Autorisierung benötigen.
Hypothetisches Beispiel: Ein Agent mit Zugriff auf Kundendaten erhält über ein Plugin eine manipulierte Anweisung und versucht, Daten außerhalb des erlaubten Auftrags abzurufen.
Berechtigungen an auslösende Identität und konkrete Aufgabe binden, Least Privilege anwenden und irreversible oder grenzüberschreitende Aktionen stärker bestätigen.
Auf einen Blick
- Kern
- Ein Dienst, Plugin oder Agent verfügt über eigene Zugriffsrechte. Werden Identität und Zweck einer Anfrage nicht mit der Autorisierung verknüpft, kann dieser Vermittler seine Rechte unbeabsichtigt für einen unberechtigten Auftrag einsetzen.
- Nutzen
- Relevant für KI-Agenten mit Plugins, APIs und schreibenden Tools, weil delegierte Aktionen klare Identität und Autorisierung benötigen.
- Beispiel
- Hypothetisches Beispiel: Ein Agent mit Zugriff auf Kundendaten erhält über ein Plugin eine manipulierte Anweisung und versucht, Daten außerhalb des erlaubten Auftrags abzurufen.
- Grenzen
- Nur den Agenten statt jede Tool-Aktion autorisieren; Nutzeridentität verlieren; breite Dauertokens verwenden; indirekte Eingaben als vertrauenswürdig behandeln.
Im Zusammenhang
Autorisierung
Entscheidung darüber, ob eine Entität eine bestimmte Ressource oder Aktion nutzen darf.
Werkzeugnutzung und Funktionsaufrufe
Function Calling lässt ein Modell Werkzeugaufrufe vorschlagen, die eine Anwendung kontrolliert ausführt.
Prompt Injection
Prompt Injection ist der Versuch, eine KI über fremde Inhalte zu unerwünschtem Verhalten zu lenken.
Fragen, die dazu gestellt werden
Ist das nur ein KI-Problem?
Nein.
Warum ist es bei Agenten relevant?
Weil sie mit fremden Werkzeugen und delegierten Rechten handeln.
Hilft Least Privilege?
Ja.
Alle Details und Hintergründe
Ein Dienst, Plugin oder Agent verfügt über eigene Zugriffsrechte. Werden Identität und Zweck einer Anfrage nicht mit der Autorisierung verknüpft, kann dieser Vermittler seine Rechte unbeabsichtigt für einen unberechtigten Auftrag einsetzen.
ELI5 – Einfach erklärt
Jemand ohne Schlüssel überredet einen Helfer mit Schlüssel, eine Tür für ihn zu öffnen.
Warum das im Alltag wichtig ist
Relevant für KI-Agenten mit Plugins, APIs und schreibenden Tools, weil delegierte Aktionen klare Identität und Autorisierung benötigen.
Beispiel
Hypothetisches Beispiel: Ein Agent mit Zugriff auf Kundendaten erhält über ein Plugin eine manipulierte Anweisung und versucht, Daten außerhalb des erlaubten Auftrags abzurufen.
Fallstricke und Grenzen
- Nur den Agenten statt jede Tool-Aktion autorisieren; Nutzeridentität verlieren; breite Dauertokens verwenden; indirekte Eingaben als vertrauenswürdig behandeln.
Entstehung & Geschichte
Das Confused-Deputy-Problem ist ein klassisches Sicherheitskonzept. In agentischen Systemen tritt es erneut auf, wenn Agenten, Plugins und Tools unterschiedliche Identitäten und Rechte besitzen.
Anwendung im Mittelstand
- Berechtigungen an auslösende Identität und konkrete Aufgabe binden, Least Privilege anwenden und irreversible oder grenzüberschreitende Aktionen stärker bestätigen.
Verwandte Begriffe
- Least Privilege
- Autorisierung
- Tool Use
- Prompt Injection
- KI-Agenten
- OAuth 2.0
Passende Flow-alerta-Leistung
KI-Assistenten & AutomatisierungKI-Assistenten & Automatisierung: einen passenden Ablauf mit klaren Rechten und menschlichen Prüfpunkten erproben.Passendes Tool / Use Case
Praxisbeispiele ansehenUse Case: Absicherung eines Agenten, der über Plugins auf CRM, E-Mail und Dateien zugreift.Quellen
- learn.microsoft.comMicrosoft Learn, Identity, Access, and Least Privilege for AI
Quellenprüfung: 09.10.2026. Definition und dokumentierte Einordnung abgeglichen; Beispiele beschreiben mögliche Anwendungen.
Redaktionell geprüft am: