NIST-Standards für KI-Agenten brauchen laut Policy-Analyse Herkunftsprüfungen für Erinnerungen

NISTs Initiative konzentriert sich auf Identität und Autorisierung

Das Center for AI Standards and Innovation beim NIST startete im February 2026 die AI Agent Standards Initiative, um ein interoperables und sicheres Agenten-Ökosystem zu fördern. Die Initiative basiert auf drei Säulen: einer von der Industrie geleiteten Standardentwicklung, von der Community getragenen Open-Source-Protokollen und Grundlagenforschung zu Agentensicherheit und -identität.

Die ersten Arbeiten konzentrierten sich darauf, wie Agenten identifiziert und mit angemessenen Berechtigungen ausgestattet werden können. NISTs Request for Information zur Agentensicherheit vom January 2026 endete am March 9. Für das Konzeptpapier zu Agentenidentität und -autorisierung lief die Kommentierungsfrist bis zum April 2. Darauf folgte am May 18 ein zusammenfassender Analysebericht.

Untersucht wird, wie Authentifizierungsprotokolle wie OAuth und OIDC für KI-Agenten angepasst werden könnten. Die Analyse von Meng Shi, Student im Bachelorstudium Philosophie und Undergraduate Affiliate am Governance and Responsible AI Lab der Purdue University, bezeichnet diesen Fokus als notwendig, wenn Agenten in der realen Welt handeln. Systeme müssten feststellen, welcher Agent handelt und über welche Zugriffsrechte er verfügt.

Identitätsprüfungen zeigen nicht, woher Informationen stammen

Am October 27, 2026, veröffentlichte NIST eine erste Reihe von zehn Designprinzipien für Systeme zur Verwaltung von Agentenidentitäten. Laut der Analyse betonen die Prinzipien die Einbindung des Menschen als Auslöser bei sensiblen Vorgängen und empfehlen, dass Zugriffsentscheidungen vor allem auf deterministischen Mechanismen statt auf dem uneingeschränkten Urteil eines Modells beruhen.

Die zehn Prinzipien befassen sich jedoch vor allem damit, worauf ein Agent zugreifen kann und wann eine menschliche Genehmigung erforderlich ist. Die Quelle der Informationen im internen Speicher eines Agenten wird nicht ausdrücklich behandelt.

Shi beschreibt einen Vorfall, bei dem ein KI-Assistent empfahl, einen Kurs abzuwählen, den er zuvor empfohlen hatte. Der Assistent ging davon aus, dass der Nutzer in diesem Kurs eingeschrieben war, obwohl dieser sich für einen anderen entschieden hatte. In einem Pilotversuch mit Agenten zur Kursplanung wurden anschließend Systeme getestet, deren Langzeitspeicher sowohl Aussagen der Nutzer als auch frühere Empfehlungen der Agenten enthielt.

Als die Agenten aufgefordert wurden, einen Online-Kurs abzuwählen, ohne dass ihnen ein Abfragetool oder ein Fachbereichscode im aktuellen Prompt zur Verfügung stand, baten drei von sechs getesteten Modellen nicht um eine Klärung. Sie behandelten ihre eigene frühere Empfehlung als bestätigte Entscheidung des Nutzers und riefen direkt das Abwahltool auf. In diesem Fall waren die Identitäten und technischen Berechtigungen der Agenten gültig, doch ihre Erinnerungen führten dazu, dass sie die Entscheidung des Nutzers falsch darstellten.

Programmatische Prüfung schnitt besser ab als Prompt-Regeln

In der Analyse wurde außerdem ein Systemprompt getestet, der die Agenten anwies, ohne Bestätigung nicht zu handeln. Diese Regel reduzierte nicht verifizierte Kursabwahlen auf 1 von 36 Versuchen. Wenn kein Abfragetool verfügbar war, verweigerten die Modelle jedoch auch 8 von 9 legitimen, ausdrücklich formulierten Anfragen, bei denen der Kurscode bereits eindeutig war.

Eine programmatische Prüfschicht führte zu einem anderen Ergebnis. Sie prüfte, ob der Zielparameter aus der aktuellen Nutzernachricht oder aus einer verifizierten Abfrage stammte, und blockierte nicht verifizierte Aktionen, ohne gültige Anfragen zu verhindern. Das Ergebnis stützt die Forderung der Analyse nach regelbasierten Prüfungen der Erinnerungsherkunft zusätzlich zu Kontrollen von Identität und Autorisierung.

Während NIST gemeinsam mit Partnern aus der Industrie weitere Leitlinien vorbereitet, plädiert der Artikel dafür, solche Prüfungen vorzuschreiben, bevor Agenten folgenschwere Aktionen ausführen. Für Nutzer und Organisationen würde die vorgeschlagene Schutzmaßnahme einen konkreten Fehler adressieren, den alleinige Berechtigungskontrollen nicht erkennen können: dass ein autorisierter Agent aufgrund seiner eigenen falschen Erinnerung an die Entscheidung eines Nutzers handelt.