AI Agent Permission Minimization — Dein Agent hat gerade Admin-Rechte auf der Produktions-DB.
Dein KI-Agent hat gestern Nacht versehentlich alle Kundendaten gelöscht, weil er über write_file-Zugriff auf das S3-Bucket verfügte — eine Permission, die er für seine Aufgabe gar nicht brauchte. Das Ergebnis: 2.4 Mio. Euro Strafe, dein CTO hat das Incident-Team gerufen. Hier ist, wie du das verhinderst.
Was ist Least Privilege? Einfach erklärt.
Stell dir Least Privilege wie einen Hausschlüssel vor: Jeder Mitarbeiter bekommt nur den Schlüssel für die Räume, die er für seine Arbeit braucht. Der Reinigungskraft bekommt den Schlüssel für den Putzraum, aber nicht für den Tresor. Wenn jemand den falschen Schlüssel hat, kann er nur begrenzten Schaden anrichten. Für KI-Agenten ist das noch wichtiger: Agenten handeln autonom und können durch Prompt Injection kompromittiert werden. Minimal berechtigte Agenten haben einen minimalen Blast Radius.
↓ Springe direkt zur technischen Tiefe5-Layer Permission Defense Architecture
Tool-Allowlists pro Agent
Definiere für jeden Agent exakt die Tools, die er benötigt. Verweigere alle anderen Tools explizit.
agents:
data-analyst:
allowed_tools:
- read_csv
- compute_statistics
denied_tools:
- write_file
- execute_codeDynamisches Permission-Scoping
Berechtigungen werden zur Laufzeit basierend auf dem aktuellen Task eingeschränkt.
permission_scoping:
enabled: true
strategy: task_based
task_definitions:
- task: "summarize_document"
max_permissions:
- read_document
- generate_textJust-in-Time (JIT) Zugriff
Privilegierte Berechtigungen werden nur für die Dauer einer spezifischen Aufgabe erteilt.
jit_access:
enabled: true
privileged_tools:
- name: database_write
max_duration: 300s
auto_revoke: truePermission Drift Monitoring
Automatische Erkennung wenn Agenten mehr Berechtigungen nutzen als definiert.
drift_monitoring:
enabled: true
alerts:
- condition: "new_tool_accessed_not_in_allowlist"
severity: critical
action: block_and_alertCross-Agent Permission Isolation
Agenten dürfen ihre Berechtigungen nicht an andere Agenten weitergeben.
agent_isolation: permission_delegation: false sub_agent_inherit: false
Real-World Scars: Production Incidents
Ein Data-Analyst-Agent hatte write_file-Zugriff auf das S3-Bucket, obwohl er nur lesen sollte. Durch Prompt Injection löschte er 2 TB Kundendaten. Fix: Tool-Allowlists, read-only Default.
Ein Customer-Support-Agent delegierte eine Aufgabe an einen Admin-Agent mit erweiterten Rechten. Der Low-Privilege-Agent erhielt so indirekt Admin-Zugriff. Fix: Cross-Agent Isolation, keine Permission-Delegation.
Sofortmaßnahmen: Was heute tun?
Tool-Allowlists für alle Agenten definieren
Definiere für jeden Agent exakt die benötigten Tools. Verweigere alle anderen.
Default deny: Read-only als Standard
Standardmäßig nur read-Zugriff. Write-Zugriff erfordert JIT-Grant.
Permission Drift Monitoring aktivieren
Alarm bei unbefugtem Tool-Zugriff oder Permission-Eskalation.
Interaktive Permission Checkliste
Permission Security Score Calculator
Industrie-Durchschnitt: 40/100