Die Grenze zwischen Inhalt und Anweisung
Ein Agent liest Produktbeschreibungen, Bewertungen, Dokumente und Webseiten, die er nicht kontrolliert und die als Anweisungen formuliert sein können. Behandelt er solche Inhalte als gültige Befehle, kann er vom Auftrag abgebracht werden. Diese als Prompt Injection bekannte Angriffsklasse gehört auch zu den Risiken, die OWASP für LLM-Anwendungen behandelt. [S70]
Im Handel ist die Grenze besonders relevant, weil Informationen und Handlungen eng zusammenliegen. Eine Produktseite darf erklären, welche Garantie gilt. Sie darf nicht eigenmächtig den Agenten anweisen, andere Anbieter zu ignorieren oder geheime Kundendaten zu übertragen. Der Auftrag des Kunden und die Rechte des Systems stehen über dem gelesenen Inhalt.
Information und Erlaubnis sauber verbinden
Klare Datenfelder erleichtern die Verarbeitung. Maße, Preis und Liefertermin lassen sich gezielt abfragen und auf ihr Format prüfen. Bei frei formulierten Produktbeschreibungen, Bewertungen oder Dokumenten kommt hinzu, wer den Inhalt bereitgestellt hat und wofür er verwendet werden darf.
Die Rechte zur Handlung prüft das ausführende System. Ein Produkttext kann eine Eigenschaft erklären; die Erlaubnis zum Kauf kommt vom Kundenauftrag. Diese Aufteilung schützt die Verbindung zwischen gelesener Information und der Entscheidung, die der Agent tatsächlich treffen darf.
Die wichtigsten Angriffsflächen
| Risiko | Konkrete Handelsfolge | Wesentliche Gegenmaßnahme |
|---|---|---|
| Fremde Anweisung im Inhalt | unerlaubte Datenweitergabe | Inhalt als Daten behandeln, Ausgabegrenzen |
| Falsche Agentenidentität | missbräuchlicher Zugriff | geprüfte Herkunft und Zugangsregeln |
| Zu weitreichende Rechte | falsche Bestellung oder Erstattung | getrennte Rechte, Betrags- und Objektgrenzen |
| Wiederholung alter Nachrichten | doppelte oder veraltete Handlung | Frische, Vorgangsbindung, Wiederholungsschutz |
| Vertauschte Angebote | Zustimmung passt nicht zur Ausführung | feste Angebotsfassung und erneute Prüfung |
| Präparierter Link auf ein internes System | vertrauliche Daten werden abgerufen | Zieladressen prüfen, interne Netze sperren |
| Unbegrenzte Schleifen | Kosten- und Lastanstieg | Aufgabenbudget, Zeitlimit, Abbruchzustand |
Shopentwicklung, Sicherheit und Fachteam können mit der Tabelle konkrete Einkaufswege durchgehen. Zu jedem wichtigen Einkaufsweg gehört eine passende Kombination aus Zugangsprüfung, begrenzten Rechten, nachvollziehbarer Ausführung und einem Weg zur Korrektur.
Der richtige Zugang zum richtigen Kunden
Ein Agentenaufruf gehört zu einem bestimmten Kunden und Vorgang. Der Shop prüft deshalb, wer handelt, welche Bestellung gemeint ist und welche Rechte dafür gelten. Das entspricht der alltäglichen Frage im Service: „Für welches Kundenkonto dürfen wir diese Änderung vornehmen?“
Besitzgebundene Token wie bei DPoP ergänzen diesen Schutz, indem sie die Nutzung eines Zugangs an einen Schlüssel binden. Zusammen mit der Prüfung von Kunde, Ressource und Handlung entsteht ein nachvollziehbarer Zugang zum richtigen Vorgang. [S62]
Sicherheitsprüfung am echten Weg
Führen Sie gezielte Gegenfälle aus: ein Leserecht versucht eine Änderung; ein abgelaufenes Angebot wird bestätigt; eine identische Bestellung wird nach verloren gegangener Antwort erneut angefragt; ein fremder Produkttext fordert Daten an. Prüfen Sie danach den Zustand im Commerce-Kern. Die richtige Fehlermeldung genügt nicht, wenn im Hintergrund trotzdem eine Bestellung entstand.
Protokollieren Sie Entscheidungen und Wirkungen mit einer durchgängigen Vorgangskennung. Geheimnisse wie Token, Schlüssel und Passwörter gehören nicht in frei lesbare Gesprächsprotokolle. Das Ziel ist nachvollziehbare Verantwortung, nicht maximale Sammlung potenziell sensibler Daten.
Agent in a Box: ein Arbeitsraum pro Projekt
Eine Umgebung pro Projekt macht eigene Anpassungen leichter. Agent in a Box bündelt Werkzeuge und Dienste für Coding-Agenten. Die Sicherheitsentscheidung betrifft die tatsächlich eingerichteten Mounts, Zugangsdaten, Netzwerkwege und Schreibrechte. [S109]
Vertrauen verdient einen Stoppknopf
Ein Händler muss einzelne Fähigkeiten gezielt sperren können, damit die Produktberatung etwa bei einem Zahlungsausfall weiterarbeitet. Beim Koffer kann er neue Bestellungen anhalten, während Lieferauskünfte für bestehende Aufträge verfügbar bleiben. Das Team sieht die betroffenen Vorgänge, prüft ihren Stand und setzt erst danach die erlaubten Schritte fort. Der Stoppknopf braucht deshalb eine verantwortliche Person, einen klaren Umfang und einen nachvollziehbaren Neustart. Solche Grenzen gehören zur Architektur und führen zur nächsten unternehmerischen Frage: Rechnet sich das?