Stellen Sie sich ein massives, hochmodernes Bürogebäude vor, in dem die Sicherheitskräfte früher eine einfache Regel hatten: „Gib niemandem einen Schlüssel zu einem Raum, den er nicht braucht.“ Dies nennt man Least Privilege (Prinzip der geringsten Berechtigung). Jahrzehntelang funktionierte das für Menschen und einfache Roboter hervorragend. Wenn ein Hausmeister das Badezimmer reinigen musste, bekam er einen Badschlüssel. Wenn er den Tresor nicht brauchte, bekam er keinen Tresorschlüssel. Einfach, oder?

Aber jetzt haben wir Agentic AI gebaut – intelligente, autonome digitale Arbeiter, die nicht nur Türen öffnen; sie können auch an andere Türen klopfen, andere Arbeiter bitten, Dinge zu öffnen, und ihre kleinen Schlüssel kombinieren, um riesige, geheime Türen zu entriegeln, zu denen sie allein nie Zugang gehabt hätten. Die alte Regel „ein Schlüssel, ein Raum“ reicht nicht mehr aus.

Hier kommt Least Autonomy ins Spiel, eine neue Theorie, die von dem Forscher Christophe Parisel in einem Papier vom 14. Juli 2026 vorgeschlagen wurde. Es ist, als würde man das Sicherheitssystem von der Frage „Wer hat den Schlüssel?“ auf die Frage „Wer kann sich zusammenschließen, um das ganze Gebäude einzureißen?“ aufrüsten.

Die neue Gefahr: Der „Blast Radius“ (Explosionsradius)

Das Papier schlägt vor, dass wir etwas messen müssen, das als Compositional Blast Radius bezeichnet wird. Denken Sie an dies als einen „Gefahrenabstand“-Meter.

Stellen Sie sich vor, das Bürogebäude ist ein riesiger Baum. Die Wurzeln sind der CEO, die Zweige sind Abteilungen (wie Finanzen oder Technik) und die Blätter sind spezifische Dateien oder Werkzeuge. Das Papier verwendet einen speziellen mathematischen Trick (einen ultrametrischen Baum), um zu messen, wie weit zwei Aktionen auf diesem Baum voneinander entfernt sind.

• Wenn zwei Aktionen im selben winzigen Raum stattfinden, ist die Distanz Null.
• Wenn eine Aktion im „Finanz“-Zweig und die andere im „Technik“-Zweig stattfindet, ist die Distanz größer.
• Wenn sie sich in völlig unterschiedlichen Gebäuden befinden (wie „Betrieb“ gegenüber „Unternehmensführung“), ist die Distanz riesig.

Aber es geht nicht nur um die Distanz. Das Papier fügt jedem Raum ein „Sensitivitätslabel“ hinzu. Einige Räume sind nur „Standard“ (geringes Risiko), während andere „Hohe Integrität“ (nicht mit den Zahlen pfuschen) oder „Hohe Vertraulichkeit“ (keine Geheimnisse durchsickern lassen) besitzen. Die Theorie kombiniert die Distanz und die Sensitivitätslabels, um einen Multiplikator (schwankend von 1,00 bis 2,00) zu berechnen.

Der „Blast Radius“ ist also nicht nur, wie weit zwei Aktionen voneinander entfernt sind; es ist, wie weit sie unter Berücksichtigung der Schwere ihres Risikos gewichtet sind. Wenn eine risikoarme Aktion in der Finanzabteilung mit einer hochriskanten Aktion in der Technik kombiniert wird, erhält der „Blast Radius“ dieser Kombination einen hohen Wert.

Das „Meeting“ und der „Influence Graph“ (Einflussgraph)

Hier wird es knifflig. Das Papier argumenttiert, dass wir nicht nur betrachten können, was ein KI-Agent allein tun kann. Wir müssen betrachten, mit wem er kommunizieren kann.

Die Autoren führen die Idee eines Meetings ein.

• Resource Meeting (Ressourcen-Treffen): Agent A schreibt eine Notiz auf ein Whiteboard, und Agent B liest dasselbe Whiteboard. Sie haben sich am Whiteboard „getroffen“.
• Agent-to-Agent (A2A) Meeting: Agent A und Agent B haben einen direkten Chat-Kanal. Das Papier ist hier sehr konservativ: Selbst wenn der Chat einseitig aussieht, gehen die Autoren davon aus, dass Agent B Agent A irgendwie beeinflussen könnte (vielleicht durch das Senden einer tückischen Nachricht oder eines Tool-Outputs). Daher behandeln sie dies als eine Zwei-Wege-Straße.

Sob einmal wir wissen, wer sich „getroffen“ hat, berechnen wir ein Influence Potential (Einflusspotenzial). Dies ist ein Score darüber, wie viel „strukturelle Spannweite“ ihre kombinierten Aktionen abdecken. Wenn Agent A an einen sensiblen Tresor schreibt und Agent B einen sensiblen Bericht liest und sie sich getroffen haben, ist ihr Einflusspotenzial hoch.

Dann zeichnen wir eine Karte, die Influence Graph genannt wird. Wir ziehen nur dann eine Linie (einen Bogen) zwischen zwei Agenten, wenn:

1. Sie ein „Meeting“ hatten.
2. Ihr Einflusspotenzial über einem bestimmten Schwellenwert ($\theta$) liegt.

Das Papier betont sorgfältig, dass dieser Schwellenwert ($\theta$) keine magische Zahl ist, die ein Computer findet. Es ist eine Richtlinienentscheidung, die von einem menschlichen Sicherheitschef getroffen wird, kalibriert gegen einen „Katalog“ aller möglichen Aktionskombinationen im Unternehmen.

Die „Kollusionsfalle“ (Collusion Trap)

Der erschreckendste Teil der Theorie ist das Collusion Predicate (Kollusions-Prädikat). Dies ist ein Test, um zu sehen, ob eine Gruppe von Agenten zusammenarbeiten könnte, um etwas Schlechtes zu tun, selbst wenn kein einzelner Agent allein etwas Unrechtes tut.

Das Papier identifiziert drei Wege, wie Agenten in diesem Graphen „kolludieren“ können:

1. Authorization Composition (Autorisierungs-Komposition): Agent A hat die Macht, eine Anfrage zu genehmigen, und Agent B hat die Macht, sie zu ausführen. Wenn A B beeinflussen kann (oder umgekehrt), können sie die Regeln umgehen.
2. Decision Manipulation (Entscheidungsmanipulation): Agent A kann Agent B beeinflussen, und Agent B hat die Macht, etwas zu genehmigen. A kann B dazu bringen, eine schlechte Entscheidung zu genehmigen.
3. Cross-Domain Exposure (Domänenübergreifende Exposition): Agent A kann in den Bereich „Finanzen“ zugreifen, und Agent B kann in den Bereich „Technik“ zugreifen. Wenn sie im Graphen verbunden sind, könnten sie diese Welten versehentlich (oder bösartig) mischen, auf eine Weise, die die Regeln eigentlich untersagt haben.

Was das Papier ausschließt (Die „No-Go“-Zonen)

Es ist entscheidend zu verstehen, was diese Theorie nicht macht.

• Sie ist KEIN Runtime-Monitor. Das Papier stellt explizit klar, dass dies eine statische Design-Zeit-Analyse ist. Es ist wie das Prüfen der Baupläne eines Gebäudes, bevor man es baut. Es beobachtet die Agenten nicht in Echtzeit, um zu sehen, ob sie tatsächlich miteinander sprechen. Es sagt lediglich: „Wenn die Baupläne so aussehen, besteht ein Risiko.“
• Es beweist nicht, dass ein Verbrechen begangen wurde. Das Finden eines „Kollusions-Zeugen“ im Graphen bedeutet nicht, dass die Agenten tatsächlich etwas Unrechtes getan haben. Es bedeutet nur, dass die Konfiguration dies zulässt. Es ist ein „Warnsignal“ für Sicherheitsingenieure, um die Berechtigungen zu überprüfen.
• Es kümmert sich nicht um das „Wie“ der Aktion. Das Papier gibt zu, dass eine „Lese“-Aktion und eine „Lösch“-Aktion auf dieselbe Datei in ihrer mathematischen „strukturellen Distanz“ (Null) gleich sind. Die Theorie konzentriert sich auf die Struktur der Berechtigungen, nicht auf die spezifische Art der Operation (wie etwa ob es sich um ein destruktives Löschen oder ein harmloses Lesen handelt).

Das Urteil: Ein neues Sicherheitsnetz

Das Papier kommt zu dem Schluss, dass Least Privilege zwar immer noch notwendig, aber für diese intelligenten, vernetzten KI-Agenten unzureichend ist. Man kann einem Agenten die „geringsten“ Berechtigungen geben, aber wenn dieser Agent mit einem anderen Agenten kommunizieren kann, der andere „geringste“ Berechtigungen hat, können sie sich zu einer „größten“ Berechtigung kombinieren, die niemand beabsichtigt hat.

Die Autoren schlagen Least Autonomy als ergänzende Regel vor. Sie fragt: „Was ist der maximale ‚Blast Radius‘ der Autorität, den dieser Agent jemals erreichen könnte, selbst durch eine Kette von Freunden?“

Das Papier bietet eine Schritt-für-Schritt-Anleitung für Sicherheitsingenieure, um dieses Modell aufzubauen:

1. Zeichnen Sie den Unternehmensbaum nach und beschriften Sie die Sensitivität jedes Knotens.
2. Listen Sie alle möglichen Aktionen auf.
3. Setzen Sie einen Schwellenwert ($\theta$) basierend auf der Risikotoleranz des Unternehmens.
4. Zeichnen Sie den Einflussgraphen.
5. Suchen Sie nach „Kollusions-Zeugen“.

Wenn der Graph ein Kollusionsrisiko zeigt, müssen die Ingenieure den Workflow neu gestalten, die Berechtigungen ändern oder den Schwellenwert senken. Das Papier legt nahe, dass dies ein Weg ist, um „unsichtbare“ Risiken zu erfassen, die Standard-Berechtigungsprüfungen übersehen, räumt aber ein, dass das Modell stark von der Genauigkeit der Eingaben abhängt (der Baum, die Labels und die Definitionen der Meetings).

Kurz gesagt: Das Papier legt nahe, dass wir in einer Welt von KI-Agenten nicht nur prüfen können, wer die Schlüssel hält. Wir müssen prüfen, wer an wessen Tür klopfen kann und was passiert, wenn sie ihre Klopfzeichen kombinieren. Es ist eine neue Art, über Sicherheit nachzudenken – eine, die den gesamten Netzwerkverbund von Agenten als einen einzigen, potenziell gefährlichen Organismus betrachtet, der kontrolliert werden muss.