Observability for Delegated Execution in Agentic AI Systems
Dieses Paper adressiert die Unfähigkeit von Standard-Audit-Logs, Delegationsbereiche in dynamischen, auf LLMs basierenden agentischen Systemen eindeutig zu identifizieren, indem es ein agentenbewusstes Observability-Substrat vorschlägt, das den Delegationskontext zur Ausführungszeit bindet, um eine zuverlässige, heuristikfreie forensische Rekonstruktion zu ermöglichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie stellen ein Team aus hochqualifizierten, autonomen Assistenten (KI-Agenten) ein, um ein komplexes Projekt für Sie zu bearbeiten. Sie geben ihnen ein breites Ziel vor: „Organisiere unsere Verkaufsdaten und teile die Zusammenfassung mit dem Team.“
Früher, wenn Sie einen menschlichen Mitarbeiter eingestellt hatten, konnten Sie dessen Arbeit leicht nachverfolgen: Er öffnete eine Datei, versendete eine E-Mail und druckte einen Bericht aus. Aber diese KI-Agenten sind anders. Sie folgen nicht einfach einer geraden Linie. Sie könnten zum Beispiel:
- Die Aufgabe in kleinere Teilaufgaben aufteilen und diese an andere KI-Unterassistenten senden.
- Ein Werkzeug ausprobieren, scheitern und dann ein anderes versuchen.
- Mehrere Aufgaben gleichzeitig auf verschiedenen Computern ausführen.
- Durch ein kniffliges Dokument verwirrt werden und versehentlich etwas tun, das sie nicht hätten tun sollen, während sie sich dennoch unter Ihrer ursprünglichen Berechtigung bewegen.
Das Problem: Der „Geist“ der Delegation
Die Autoren dieser Arbeit argumentieren, dass unsere derzeitige Art, diese Agenten zu verfolgen, fehlerhaft ist. Wir verfügen über „Audit-Logs“ (wie eine Überwachungskamera) und „Traces“ (wie eine Karte des zurückgelegten Weges).
Die Arbeit behauptet jedoch, dass man allein durch das Betrachten dieser Protokolle nicht herausfinden kann, welche Aktionen zu Ihrer spezifischen Delegation gehörten.
Hier ist eine Analogie: Stellen Sie sich zwei verschiedene Lieferfahrer (Delegation A und Delegation B) vor, die in ders-elben Stadt arbeiten. Beide nutzen dieselben Straßen (Werkzeuge) und kreuzen sich manchmal.
- Der alte Weg: Wir haben nur ein Protokoll jedes Autos, das eine bestimmte Kreuzung zu einer bestimmten Zeit passiert hat.
- Das Problem: Wenn Fahrer A und Fahrer B beide um 14:00 Uhr die Kreuzung passieren und ihre Wege ähnlich verlaufen, können wir allein durch den Blick in das Verkehrslog nicht sagen, welcher Fahrer was getan hat. Wir könnten vermuten, dass sie zusammen unterwegs waren, weil sie zeitlich nah beieinander lagen, aber das ist nur eine Vermutung. Wenn sie sich überschneiden, Aufgaben wiederholen oder sich aufteilen, wird die Vermutung unmöglich.
Die Arbeit beweist mathematisch, dass es ohne ein spezifisches Label, das direkt an der Berechtigung selbst haftet, unmöglich ist, exakt zu rekonstruieren, was Ihre delegierte Autorität getan hat. Die „Autorität“ (wer den Befehl gab) ist völlig getrennt von der „Kausalität“ (in welcher Reihenfolge die Dinge geschahen).
Die Lösung: Das „Smart Gateway“ und der „Universal Badge“
Um dies zu beheben, schlagen die Autoren ein neues System namens CIM (Common Information Model) und ein Gateway vor.
- Das Gateway (Der Sicherheitsdienst): Stellen Sie sich einen Sicherheitsdienst vor, der an der Tür jedes Werkzeugs steht, das die KI verwenden möchte (wie einen Dateiserver, eine Chat-App oder eine Datenbank).
- Der Universal Badge (Die Delegations-ID): Wenn die KI eine Aufgabe startet, stellt das System eine eindeutige, unveränderliche „Badge-ID“ für diese spezifische Delegation aus.
- Die Regel: Jedes Mal, wenn die KI irgendetwas berührt, prüft das Gateway nach dem Badge. Wenn die KI unter Ihrer Berechtigung handelt, stempelt das Gateway diese Aktion mit Ihrer Badge-ID, bevor sie ausgeführt wird.
Dies unterscheidet sich von der bloßen Hinzufügung einer „Session-ID“ (wie einer Ticketnummer für eine einzelne Fahrt). Eine Session-ID bricht zusammen, wenn die KI die Aufgabe in Unterteams aufteilt oder eine Aufgabe wiederholt. Die Badge-ID bleibt bei der Autorität bestehen, selbst wenn die KI einen Sub-Agenten erstellt, Aufgaben parallel ausführt oder zwischen verschiedenen Prozessen hin- und herwechselt.
Was uns dies ermöglicht
Mit diesem neuen System wird das Stellen von Fragen einfach und präzise, vergleichbar mit der Suche nach einem spezifischen Kunden in einer Datenbank statt einer bloßen Vermutung, wer gerade in der Nähe der Tür stand.
- Die Frage nach dem „Blast Radius“ (Ausmaß der Auswirkungen): Anstatt zu raten: „Welche Dateien hat die KI zwischen 14:00 und 14:30 Uhr angefasst?“ (was auch die Arbeit anderer Personen beinhalten könnte), können Sie fragen: „Zeige mir jede einzelne Datei, die von Badge #123 angefasst wurde, unabhängig davon, welches Werkzeug verwendet wurde oder wann dies geschah.“
- Die Frage nach den „Sub-Agenten“: Wenn die Haupt-KI einen Sub-Agenten engagiert hat, um die Drecksarbeit zu erledigen, stellt der Badge sicher, dass die Aktionen des Sub-Agenten immer noch klar mit Ihrer ursprünglichen Delegation verknüpft sind.
- Die Frage nach dem „Drift“ (Abweichung): Wenn die KI anfing, sichere Dateien zu lesen, dann aber plötzlich begann, geheime Dateien zu lesen, kann das System diese „Drift“ im Aktivitätsprotokoll des Badges erkennen, selbst wenn die KI nicht um Erlaubnis zur Änderung gebeten hat.
Wichtige Einschränkungen (Was das Paper NICHT behauptet)
- Es liest keine Gedanken: Das System weiß nicht, ob die KI etwas beabsichtigt hat oder ob sie getäuscht wurde (wie etwa durch einen „Prompt Injection“). Es zeichnet lediglich auf, dass die Aktion unter Ihrer Delegation stattfand. Wenn die KI getäuscht wurde, um eine Datei zu stehlen, sagt das System: „Ihre Delegation hat dies getan“, nicht „Die KI wurde gehackt“.
- Es benötigt eine Tür: Das System funktioniert nur, wenn die KI durch das „Gateway“ geht. Wenn die KI einen Hintereingang findet oder ein Werkzeug nutzt, das das Gateway nicht überwacht, sind diese Aktionen unsichtbar.
- Es ist kein Präventionstool: Es verhindert nicht, dass die KI schlechte Dinge tut; es stellt lediglich sicher, dass wir im Nachhinein genau sehen können, was passiert ist.
Zusammenfassend
Das Paper argumenttiert, dass mit zunehmender Chaos und Komplexität der KI-Agenten unsere alte Methode der Verfolgung (das Beobachten von Zeit und Pfaden) versagt. Wir brauchen eine neue Art der Verfolgung, die der Berechtigung selbst folgt, nicht nur dem Pfad. Indem wir jedem Schritt in dem Moment, in dem er geschieht, einen permanenten „Badge“ zuweisen, können wir endlich exakt rekonstruieren, was unsere delegierte KI getan hat – selbst wenn sie Kreise zieht, Teams bildet oder über viele verschiedene Systeme hinweg arbeitet.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.