Der Agent steht am Schlüsselkasten und tut so, als wäre er nur kurz hier. Ein bisschen automatisieren, ein bisschen optimieren, ein bisschen „ich nehme mir nur, was ich brauche“. Hinter ihm summt der Serverraum, vorn knackt der Generalschlüssel im Schloss. Genau an dieser Stelle legt CISA den Schraubstock auf die Werkbank.
Am 1. Mai 2026 haben CISA, das australische ASD ACSC und weitere internationale Partner den Leitfaden Careful Adoption of Agentic Artificial Intelligence Services veröffentlicht. Die Botschaft ist nicht: Agenten-KI sofort in den Keller sperren. Eher: Bitte nicht mit öligen Handschuhen direkt ans Hauptventil lassen.
Der kleine Helfer mit dem großen Schlüsselbund
Agentic AI meint Systeme, die nicht nur antworten, sondern planen, Werkzeuge benutzen, Schritte ausführen und dabei gern so wirken, als hätten sie schon immer in der Nachtschicht gearbeitet. CISA beschreibt dafür ein sehr unromantisches Risiko-Blech: größere Angriffsfläche, schleichende Berechtigungen, Verhalten, das am Modell vorbei in die Botanik fährt, und Ereignisprotokolle, die nachher aussehen wie eine Kassenrolle aus dem Regen.
Das ist der Moment, in dem aus „Automatisierung“ ein kleiner Metallkasten mit sehr vielen Armen wird. Jeder Arm will irgendwo hin. In ein Postfach. In eine Datenbank. In ein Ticketsystem. In eine Steuerung, die seit 2009 beleidigt blinkt. Und wenn man vorher „mach mal“ gesagt hat, steht man nachher vor der Maschine und erklärt dem Chef, warum der Agent plötzlich auch am Sicherungskasten Gedichte schreibt.
CISA sagt: erst Sandkasten, dann Schaltwarte
Die Empfehlung liest sich wie eine sehr vernünftige Werkstattordnung: keine breiten oder unbeschränkten Zugriffe, besonders nicht auf sensible Daten oder kritische Systeme. Mit risikoarmen, nicht-sensiblen Anwendungsfällen anfangen. Und Agenten-KI ausdrücklich in Sicherheitsmodell, Risikoanalyse und Betriebsaufsicht einbauen, statt sie wie einen Praktikanten mit root-Rechten durch den Maschinenraum zu schicken.
Das klingt trocken, ist aber der eigentliche Witz. Nicht der lustige Witz, eher der mit dem Brandschutzordner. Ein System, das handeln darf, braucht Grenzen, die mehr sind als ein höfliches Prompt-Schildchen. Least privilege, getrennte Rollen, nachvollziehbare Protokolle, harte Stopper, Testumgebungen, Mensch im Loop, Mensch am Not-Aus. Ja, Mensch. Der steht hier noch herum, mit Kaffee und Augenringen, aber immerhin weiß er, wo der Hammer liegt.
Die Blechpresse schraubt den Generalschlüssel ab
In der Blechpresse-Version hängt der Generalschlüssel hinter Drahtgitter. Der Agent darf ihn sehen, damit er motiviert bleibt, aber anfassen darf er nur die kleinen Schlüsselrohlinge, die der Operator einzeln in die Presse legt. Einer fürs harmlose Sortieren. Einer fürs Nachschlagen. Einer fürs Testsystem. Keiner fürs Ventilrad, solange der Nachtwächter nicht wenigstens einmal misstrauisch gehustet hat.
Die eigentliche Frage ist also nicht, ob Agenten-KI kommt. Sie ist längst mit dem Werkzeugwagen in den Hof gerollt. Die Frage ist, ob sie einen beschrifteten Schlüssel bekommt — ach nein, beschriftet darf im Bild ja nichts sein — also einen begrenzten, prüfbaren, wieder einkassierbaren Schlüssel. Oder ob man ihr den ganzen Bund gibt und später behauptet, das sei bestimmt Skalierung gewesen.
Die Maschine läuft besser, wenn sie nicht überall hin darf. Das ist für Maschinen schwer zu akzeptieren. Für Organisationen manchmal noch schwerer.