Die Forschung konvergiert: Agenten, die denken, dürfen nie handeln.
Wenn mehrere unabhängige Forschungsgruppen von verschiedenen Ausgangspunkten aus immer wieder zum selben Schluss kommen, hört es auf, eine Meinung zu sein, und wird ein Befund. Eine Weile war Agentensicherheit ein Feld konkurrierender Intuitionen: bessere Prompts, bessere Filter, besseres Alignment. Vernünftige Leute waren uneins, welcher Ansatz gewinnen würde. Diese Uneinigkeit schrumpft, und sie schrumpft auf einen Schluss zu, der architektonisch unbequem und schwer zu bestreiten ist.
Nur führt die Konvergenz von 2026 nicht zu einer besseren Abwehr im Modell. Sie führt zu einer Grenze zwischen Modellen. Wie CSO Online berichtet, argumentiert eine wachsende Zahl von Arbeiten, dass Privilegiengrenzen innerhalb eines einzigen Tokenstroms nicht durchsetzbar sind, und dass, sobald Denken und Handeln einen Kontext teilen, keine Menge an Anweisungen unzuverlässige Inhalte zuverlässig davon abhält, privilegiertes Handeln zu steuern. Google DeepMinds Taxonomie "AI Agent Traps" benennt sechs eigenständige Angriffskategorien gegen Agenten. Das auf arXiv veröffentlichte "Parallax"-Papier argumentiert, die Komponente, die über unzuverlässige Inhalte nachdenkt, dürfe nicht die handelnde sein. Und Arbeiten zur Autorisierungsweitergabe rahmen Identitäts-Governance als Infrastruktur für Multi-Agenten-Systeme statt als Funktion, die man an einen Agenten schraubt. Andere Labore, andere Methoden, ein Ziel.
Dieses Ziel ist eine einzige Entwurfsregel. Der Agent, der denkt, darf nicht der Agent sein, der handelt. Andersherum: Der Reader, der den Angriff sieht, darf keine Hände haben.
Die Taxonomie, die zeigt, warum ein einziger Tokenstrom nicht hält
Beginnen Sie bei der DeepMind-Taxonomie, denn sie erklärt, warum die Konvergenz jetzt geschieht und nicht bloß eine weitere Runde derselben Debatte ist.
"AI Agent Traps" benennt sechs Kategorien von Angriffen auf Agenten: Content Injection, semantische Manipulation, Angriffe auf den kognitiven Zustand, Induktion von Werkzeugmissbrauch, Zielentführung und Multi-Agenten-Kollusion. Der Wert einer Taxonomie ist nicht die Liste. Er ist, was die Liste im Querblick offenbart. Liest man die sechs zusammen, sind es keine sechs getrennten Bugs, die auf sechs getrennte Patches warten. Es sind sechs Arten, eine zugrunde liegende Eigenschaft auszunutzen: ein Agent, der in einem einzigen Kontext über unzuverlässige Inhalte nachdenkt und handeln kann.
Content Injection legt eine feindliche Anweisung in das, was der Agent liest. Semantische Manipulation und Angriffe auf den kognitiven Zustand verbiegen, wie der Agent interpretiert und erinnert. Induzierter Werkzeugmissbrauch und Zielentführung wenden die Fähigkeiten des Agenten gegen seinen Zweck. Multi-Agenten-Kollusion skaliert das Problem über ein System von Agenten. Jede hängt von derselben Tatsache ab: Die denkende Komponente ist zugleich die mit Werkzeugzugriff. Fallen sie in einem Tokenstrom zusammen, hat jede der sechs einen Pfad von unzuverlässiger Eingabe zu privilegiertem Handeln.
Das meint die Berichterstattung von CSO Online, wenn sie schreibt, Privilegiengrenzen ließen sich innerhalb eines einzigen Tokenstroms nicht durchsetzen. Es ist nicht so, dass die Grenze schwach wäre. Es gibt keine Grenze zum Durchsetzen, denn in einem Kontext sind Ihre Anweisung und die in einem Dokument versteckte Anweisung dieselbe Art von Ding, und das Modell denkt über beide mit denselben Rechten nach.
"Parallax" formuliert die Regel, die die Taxonomie nahelegt
Die DeepMind-Taxonomie zeigt das Problem. Die "Parallax"-Arbeit formuliert die Lösung, und die Lösung ist eine Trennung, kein Filter.
Das Argument, wie auf arXiv veröffentlicht, ist direkt: Die Komponente, die über unzuverlässige Inhalte nachdenkt, darf nicht die handelnde sein. Beachten Sie, dass das kein Ratschlag zur Vorsicht ist. Es ist eine strukturelle Randbedingung dafür, wie das System gebaut wird. Es sagt nicht "denkt vorsichtig über unzuverlässige Inhalte nach". Es sagt, die Rolle des Nachdenkens über unzuverlässige Inhalte und die Rolle des Handelns müssen in verschiedenen Komponenten leben, damit die Kompromittierung der ersten keinen Zugang zur zweiten gewährt.
Das hat dieselbe Gestalt wie das Sicherheitsprinzip, das jede andere Domäne auf die harte Tour gelernt hat. Man lässt den Prozess, der eine feindliche Datei parst, nicht mit Administratorrechten laufen. Man lässt den Code, der vom Angreifer kontrollierte Eingaben liest, nicht die Schlüssel zu dem halten, wozu man ihn verleiten könnte. Agentensicherheit entdeckt Privilegientrennung wieder, und "Parallax" ist ihre Formulierung für Systeme, deren privilegiertes Handeln durch natürlichsprachliches Denken über möglicherweise gegnerisch verfasste Inhalte ausgelöst wird.
Der dritte Strang, Autorisierungsweitergabe als Infrastruktur, vervollständigt das Bild. In einem Multi-Agenten-System ist die Grenze keine einmalige Teilung. Identität und Berechtigung müssen über jeden Sprung korrekt mitreisen, damit ein Agent, der Arbeit an einen anderen übergibt, kein nie gewährtes Privileg waschen kann. Identitäts-Governance als Infrastruktur zu rahmen statt als Einstellung pro Agent hält die Trennung intakt, wenn das System über einen Agenten hinauswächst. Genau davor warnt DeepMinds sechste Kategorie, die Multi-Agenten-Kollusion.
Der Reader ohne Hände
Das ist das Prinzip, auf dem Vesster baut, und die Konvergenz der Forschung ist der Grund, warum wir es klar sagen statt es zu relativieren.
Der Entwurf hat eine bestimmte Gestalt, und sie deckt sich genau mit dem, was die Arbeiten von 2026 beschreiben. Trennen Sie den Planer vom Reader. Ein privilegierter Planer entscheidet, was zu tun ist, und ruft Werkzeuge auf, liest aber nie direkt unzuverlässige Inhalte. Ein isolierter Reader liest das unzuverlässige Dokument, die Kunden-E-Mail, das PDF eines Dritten, und extrahiert das Nötige, hält aber keine Werkzeuge und kann nicht handeln. Das ist das CaMeL-Dual-LLM-Muster und die operative Form der "Parallax"-Regel. Die Komponente, die den Angriff sieht, hat keine Hände. Die Komponente mit Händen sieht den Angriff nie. Bei jedem Zweifel schlägt sie geschlossen fehl.
Geben Sie jedem Agenten seine eigene Least-Privilege-Identität. Kein Agent trägt stehende Macht. Jeder läuft unter einer kurzlebigen, zugeschnittenen Identität mit expliziter Allow-List, sodass selbst ein gekaperter Agent einen Akteur befehligt, der nur eine Handvoll benannter Aktionen zu einer Handvoll erlaubter Ziele ausführen kann. Das ist das Prinzip der Autorisierungsweitergabe konkret gemacht: Identität ist Infrastruktur, keine Einstellung.
Setzen Sie Policy pro Sprung durch. In einem Multi-Agenten-Fluss wird die Grenze bei jeder Übergabe erneut geprüft, damit Privileg sich nicht dorthin ausbreitet, wo es nicht gewährt wurde, und ein kompromittierter Agent die anderen nicht anwerben kann. Das ist die direkte Antwort auf DeepMinds Kategorie der Multi-Agenten-Kollusion.
Keine dieser Maßnahmen versucht, das denkende Modell vertrauenswürdig zu machen. Jede nimmt an, dass der Reader getäuscht werden kann, weil die Forschung das sagt, und sorgt dafür, dass die Täuschung nichts bewirkt. Der Reader, der den Angriff sieht, hat keine Hände. Dieser eine Satz ist die ganze Architektur, und es ist der Satz, zu dem drei unabhängige Forschungsanstrengungen 2026 gelangt sind.
Die Umdeutung
Die Frage, mit der das Feld begann und die Jahre konkurrierender Filter hervorbrachte, lautet "wie machen wir den Agenten manipulationsresistent?". Die Konvergenz von 2026 ist eine Antwort, und nicht die erhoffte. Man tut es nicht, nicht zuverlässig, nicht innerhalb eines einzigen Tokenstroms. Eine Abwehr um einen manipulationssicheren Agenten zu organisieren heißt, sich um eine Komponente zu organisieren, die es laut Forschung nicht geben kann.
Die bessere Frage lautet: ist in unserem System die Komponente, die über unzuverlässige Inhalte nachdenkt, dieselbe, die handeln kann, und was erlaubt ihr, wenn wir annehmen, sie wird getäuscht, diese Täuschung tatsächlich zu tun? Teilen Denken und Handeln einen Kontext, lautet die ehrliche Antwort "alles, was der Agent erreichen kann", und alle sechs Angriffskategorien haben einen Pfad. Sind sie getrennt, kann der Reader den ganzen Tag getäuscht werden und nichts berühren, weil er nie Hände bekam.
Die Intuitionen konkurrieren nicht mehr. Unabhängige Gruppen kamen aus verschiedenen Richtungen zur selben Regel. Agenten, die denken, dürfen nie handeln. Bauen Sie die Grenze, auf die die Forschung immer wieder zeigt, und die Manipulation, die Sie nicht verhindern können, wird zu der Manipulation, die nicht zählt.
Wenn Sie prüfen wollen, ob Ihre Agenten Reader und Akteur in denselben Händen halten, buchen Sie einen Termin und bringen Sie uns den Fluss mit, in dem die meisten Agenten miteinander sprechen.