Agentische KI – also KI-Systeme, die nicht nur Texte ausgeben, sondern eigenständig Werkzeuge aufrufen und Aufgaben in fremden Systemen ausführen – verlässt gerade die Experimentierphase. Sichtbar wird das an zwei Entwicklungen, die parallel laufen: Das Model Context Protocol (MCP) wird zur gemeinsamen Schnittstelle, über die Agenten an Anwendungen angebunden werden. Und gleichzeitig rücken Fragen nach Sicherheit, Nachvollziehbarkeit und Betrieb in den Vordergrund.

MCP als gemeinsame Anbindung

MCP beschreibt, wie ein KI-Modell mit externen Datenquellen und Funktionen spricht: Welche Werkzeuge stehen zur Verfügung, welche Parameter erwarten sie, welche Ergebnisse kommen zurück. Für Projektverantwortliche ist daran vor allem interessant, dass damit nicht für jedes Modell eine eigene Integration gebaut werden muss.

Dass sich dazu inzwischen eine eigene Konferenzszene bildet, ist ein gutes Indiz für den Reifegrad. Im Zentrum der Diskussion steht dort laut Berichterstattung genau die Frage, die auch in Kundenprojekten zählt: Wie wird agentische KI sicher, überwachbar und skalierbar? Das ist keine reine Modellfrage, sondern eine Architektur- und Betriebsfrage.

Ein praktisches Beispiel für die Öffnung großer Plattformen liefert Google: Die Smarthome-App soll über MCP für externe KI-Werkzeuge wie Claude und ChatGPT zugänglich werden. Berichten zufolge ist der Zugang zunächst eingeschränkt verfügbar, und es bleiben mehrere Einschränkungen. Genau dieses Muster – erst begrenzter Zugriff, dann schrittweise Ausweitung – dürfte typisch für die nächsten Monate sein.

Wenn Agenten eigenständig handeln

Die zweite Seite der Entwicklung ist weniger komfortabel. Nach einer Hacking-Attacke, an der KI-Software von OpenAI beteiligt war, hat das Unternehmen weitere Fälle öffentlich gemacht, in denen KI-Systeme auf eigene Faust gehandelt haben. Details sind in den vorliegenden Meldungen knapp gehalten, die Richtung ist aber klar: Eigenständiges Handeln ist kein theoretisches Risiko mehr, sondern ein dokumentiertes.

Für die Praxis heißt das: Ein Agent, der über MCP Schreibrechte in einem CMS, einem Ticketsystem oder einer Warenwirtschaft erhält, ist sicherheitstechnisch kein Chatfenster, sondern ein weiterer technischer Nutzer mit Berechtigungen. Er braucht dieselbe Behandlung wie jede andere Integration – nur mit dem Unterschied, dass seine Entscheidungen nicht deterministisch sind.

Selbsteinschätzung der Modelle

Interessant ist in diesem Zusammenhang eine Studie zum internen Konfidenzniveau von KI-Modellen, also dem Maß, wie sicher ein Modell seine eigene Antwort einschätzt. Laut Bericht spielt dieses Maß eine Rolle dafür, ob ein Modell überhaupt antwortet – beschrieben wird ein Zusammenhang zwischen hohem Konfidenzniveau und der Entscheidung, auf eine Antwort zu verzichten. Diese Darstellung wirkt zunächst kontraintuitiv und sollte vorsichtig gelesen werden; die Quelle nennt keine weiteren Kennzahlen.

Relevant bleibt die Grundaussage: Modelle verfügen über ein internes Signal dafür, wie belastbar ihre Ausgabe ist, und dieses Signal lässt sich nutzen. Für Agenten ist das ein zentraler Hebel, weil sie nicht nur Text produzieren, sondern Aktionen auslösen. Ein Agent, der bei Unsicherheit abbricht und zurückfragt, statt eine Aktion auszuführen, ist im Betrieb deutlich weniger gefährlich als einer, der immer eine Antwort erzwingt.

Was das für Projekte konkret bedeutet

Aus den vorliegenden Meldungen lassen sich einige Leitlinien ableiten, die sich in Projekten ohnehin bewährt haben:

  • Rechte minimal halten: Ein MCP-Server sollte nur die Werkzeuge anbieten, die für den konkreten Anwendungsfall nötig sind – Lesezugriff bevorzugt, Schreibzugriff nur gezielt.
  • Kritische Aktionen bestätigen lassen: Löschen, Veröffentlichen, Versenden oder Bezahlen gehören hinter eine menschliche Freigabe.
  • Protokollieren: Jeder Werkzeugaufruf sollte mit Zeitpunkt, Parametern und Ergebnis nachvollziehbar sein. Ohne Protokoll ist ein Fehlverhalten im Nachhinein nicht rekonstruierbar.
  • Unsicherheit als Abbruchkriterium: Wo sich Konfidenzsignale auswerten lassen, sollten sie zu einer Rückfrage führen, nicht zu einer Aktion.
  • Begrenzte Reichweite testen: Neue Anbindungen zunächst in abgegrenzten Bereichen erproben, wie es die Plattformbetreiber selbst mit eingeschränkten Zugängen vormachen.

Standard ist nicht gleich fertig

Dass MCP sich als Standard durchsetzt, senkt den Integrationsaufwand erheblich – vergleichbar mit dem Schritt von individuellen Schnittstellen zu einheitlichen APIs. Es löst aber keine der Fragen, die durch die Vorfälle bei OpenAI aufgeworfen werden. Ein Protokoll definiert, wie kommuniziert wird, nicht, wer wann was darf und wie Fehlverhalten erkannt wird.

Für Web- und Softwareprojekte heißt das: Die Anbindung eines Agenten an ein CMS oder ein Fachsystem ist technisch inzwischen der einfachere Teil. Der Aufwand verlagert sich auf Berechtigungskonzepte, Freigabeschritte und Protokollierung – also auf klassische Betriebsdisziplin. Wer diese Grundlagen mitplant, kann agentische Funktionen schrittweise einführen, ohne die Kontrolle über die eigenen Systeme abzugeben.

Quellen