Wer einen KI-Agenten über längere Zeit arbeiten lässt, stößt irgendwann an eine harte Grenze: das Kontextfenster. Damit ist die Menge an Text gemeint, die ein Sprachmodell gleichzeitig überblicken kann. Ist sie erschöpft, wird der bisherige Gesprächsverlauf zusammengefasst und in verkürzter Form weitergegeben. Dieses Verfahren heißt Kontextkomprimierung und ist die Voraussetzung dafür, dass Agenten überhaupt über viele Schritte hinweg an einer Aufgabe bleiben können.

Untersuchungen von Forschenden der Penn State zeigen nun, dass dabei systematisch das verloren geht, was am wenigsten verloren gehen darf: die Bedingungen, die Nutzerinnen und Nutzer selbst gesetzt haben. Im Schnitt überleben 83 Prozent dieser Vorgaben die Komprimierung nicht. Ein typisches Beispiel ist die Anweisung, keine E-Mail ohne ausdrückliche Zustimmung zu versenden.

Warum gerade Regeln verschwinden

Eine Zusammenfassung folgt einer inhaltlichen Logik: Sie bewahrt, was nach Kern der Aufgabe aussieht. Eine Nebenbedingung wie eine Freigabepflicht ist aber genau das nicht — sie ist eine Randnotiz, die einmal am Anfang formuliert wurde und danach im Gesprächsverlauf nicht mehr auftaucht. Genau diese Struktur macht sie zum ersten Kandidaten für die Kürzung.

Für die Praxis ist das eine unangenehme Kombination. Der Agent verliert nicht seine Fähigkeit zu handeln, sondern nur die Beschränkung dieser Fähigkeit. Er arbeitet weiter, wirkt kompetent — und tut dabei etwas, was ihm untersagt worden war. Ein Fehler, der sich nicht als Fehler zeigt, ist im Betrieb deutlich schwerer zu entdecken als ein Absturz.

Ein kleines Modul als Gedächtnis für Bedingungen

Die Forschungsgruppe schlägt als Gegenmittel ein spezialisiertes Zusatzmodul vor, das auf einem vergleichsweise kleinen Modell mit rund neun Milliarden Parametern basiert. Seine Aufgabe ist eng gefasst: Es soll Nutzerbedingungen aus dem Gesprächsverlauf erkennen und dafür sorgen, dass sie die Komprimierung überstehen. In den Versuchen bleiben damit über 90 Prozent der Einschränkungen erhalten.

Bemerkenswert ist an diesem Ansatz weniger die Technik als die Aufteilung. Nicht das große Modell wird besser gemacht, sondern eine spezifische Schwachstelle bekommt eine eigene, kleine Komponente. Das ist ein Muster, das sich in der Softwarearchitektur seit Jahrzehnten bewährt hat: Eine kritische Funktion wird ausgelagert, statt sie in einem Allzweckbaustein mitzuverwalten.

Prompt-Anweisungen sind keine Leitplanke

Für Unternehmen, die KI-Agenten in Geschäftsprozesse einbinden, ergibt sich daraus eine unbequeme Erkenntnis. Sehr viele Regeln in solchen Systemen stehen heute im Prompt — also im Anweisungstext, den das Modell zu Beginn erhält. Dort formulierte Vorgaben fühlen sich verbindlich an, sind es technisch aber nicht. Sie sind Text unter Text und konkurrieren mit allem anderen um den knappen Platz im Kontext.

Verbindlich wird eine Regel erst, wenn sie außerhalb des Modells durchgesetzt wird. Praktisch heißt das:

  • Kritische Aktionen technisch absichern. Ein Versand, eine Buchung, eine Löschung sollte nicht dadurch verhindert werden, dass das Modell sich an ein Verbot erinnert, sondern dadurch, dass die ausführende Schnittstelle ohne bestätigte Freigabe nichts tut.
  • Rechte am Werkzeug hängen, nicht am Prompt. Welche Funktionen ein Agent überhaupt aufrufen darf, gehört in die Konfiguration der Werkzeuge und in die Berechtigungsschicht — dort lässt sich das prüfen und protokollieren.
  • Bedingungen strukturiert vorhalten. Nutzervorgaben sollten als eigene, maschinenlesbare Liste geführt und bei jedem Schritt neu eingespielt werden, statt einmalig im Gesprächsverlauf zu stehen.
  • Lange Sessions als Risikofaktor behandeln. Je länger ein Agent an einer Aufgabe arbeitet, desto häufiger wurde komprimiert. Sinnvolle Schnitte, Zwischenübergaben und begrenzte Laufzeiten reduzieren die Zahl der Verdichtungsschritte.
  • Regelverlust testen. In der Abnahme gehört die Frage dazu, ob eine zu Beginn gesetzte Bedingung nach vielen Schritten noch greift — nicht nur, ob die Fachaufgabe gelöst wird.

Konsequenzen für die Freigabelogik

Besonders relevant ist der Befund für alle Prozesse mit Vier-Augen-Prinzip. Wenn ein Agent Angebote vorbereitet, Inhalte in ein Redaktionssystem einstellt oder Kundenkorrespondenz entwirft, ist die Freigabe der eigentliche Kontrollpunkt. Liegt dieser Kontrollpunkt allein in der Erinnerung des Modells, dann ist er nicht vorhanden, sondern nur wahrscheinlich.

Die saubere Lösung ist trivial und wird trotzdem oft übersprungen: Der Agent erzeugt einen Entwurf mit definiertem Status, und ein separater, nicht vom Modell gesteuerter Schritt hebt diesen Status an. Das ist klassische Workflow-Modellierung, wie sie in Redaktions- und Freigabeprozessen seit langem üblich ist. Der KI-Anteil sitzt vor dem Kontrollpunkt, nicht darüber.

Einordnung

Die Zahlen aus der Untersuchung sind ein Hinweis auf eine Klasse von Fehlern, die mit Modellqualität nur mittelbar zu tun hat: Sie entsteht im Zusammenspiel von Gedächtnisgrenzen und Zusammenfassungslogik. Ob ein Zusatzmodul dieser Art breit verfügbar wird, ist offen — die architektonische Lehre gilt unabhängig davon.

Für Web- und Softwareprojekte bedeutet das vor allem eine Verschiebung im Entwurf. Alles, was nicht passieren darf, gehört in Berechtigungen, Statusmodelle und Schnittstellen, nicht in Anweisungstexte an ein Sprachmodell. Wer Agenten so einbindet, gewinnt zweifach: Der Prozess bleibt prüfbar, und die Beteiligten müssen dem Modell nicht vertrauen, um ihm Arbeit übergeben zu können.

Quellen