Ein KI-Agent, der nur Antworten formuliert, kann irren. Ein Agent, der selbstständig auf Daten zugreift, Werkzeuge benutzt und Aktionen ausführt, kann zusätzlich Schaden anrichten. Wer solche Systeme in die Arbeit integriert, braucht deshalb mehr als gute Prompts: Er braucht Grenzen, die auch dann gelten, wenn der Agent anders handelt als erwartet.
Das ist die interessante Frage hinter NVIDIAs am 28. September 2026 vorgestellter Open Agent Safety Platform. Nicht: Macht eine neue Plattform KI-Agenten sicher? Sondern: Wer entscheidet, was ein Agent darf – und wer kann ihn tatsächlich stoppen?
Sicherheit muss außerhalb des Modells greifen
NVIDIA kombiniert in seiner Ankündigung zwei Ebenen. Die quelloffene Laufzeitumgebung OpenShell soll Zugriffe und Aktionen von Agenten durch technische Regeln begrenzen und nachvollziehbar machen. OpenShell existierte bereits vor der Plattformankündigung. Hinzu kommt Sentry: ein Referenzdesign für einen unabhängigen Monitor auf BlueField-4-Hardware. Laut NVIDIA soll er Abweichungen von gesetzten Grenzen erkennen und Agenten innerhalb von Millisekunden isolieren.
Das ist ein Architekturansatz und zunächst eine Herstellerbehauptung über seine Leistungsfähigkeit. Daraus folgt weder, dass jeder Agent zuverlässig gestoppt wird, noch, dass die Lösung im Unternehmensalltag schon umfassend erprobt ist. Aber der Ansatz trifft einen wunden Punkt: Eine Anweisung an ein Modell ist noch keine belastbare Zugriffssperre.
Zwei Fragen, die Unternehmen nicht verwechseln dürfen
Wie wichtig die Trennung ist, zeigt die angekündigte Zusammenarbeit von SAP und NVIDIA. SAP arbeitet daran, OpenShell mit der eigenen Business-AI-Plattform und der Governance im Joule-Studio-Laufzeitumfeld zu verbinden. Die Geschäftsebene soll vor einer Aktion prüfen, ob sie zur Rolle, Berechtigung und zum Prozess passt. Die technische Laufzeit soll begrenzen, wie ein Agent die erlaubte Aktion ausführt und worauf er dabei zugreifen kann.
Das sind unterschiedliche Entscheidungen. Wenn ein Agent eine Kundendatei verändern möchte, muss zuerst geklärt sein: Darf er das in diesem Vorgang überhaupt? Welche Daten darf er sehen, und wer muss freigeben? Erst danach stellt sich die technische Frage, wie diese Grenzen durchgesetzt und Verstöße erkannt werden.
Ein Monitor kann einen nicht definierten Unternehmensprozess nicht nachträglich in einen verantwortlichen Prozess verwandeln. Umgekehrt hilft die sauberste Freigaberegel wenig, wenn der Agent technisch mehr Rechte besitzt als vorgesehen.
Die Stopp-Taste ersetzt keine Sicherheitsarbeit
Auch eine Laufzeitumgebung ist nicht unfehlbar. NVIDIA dokumentiert in einem eigenen Sicherheitsbulletin Schwachstellen in OpenShell und dazu veröffentlichte Updates. Das ist kein Argument gegen technische Sicherheitsgrenzen; es ist ein Argument gegen die Vorstellung, mit ihrer Einführung sei das Thema erledigt.
Für Entscheider heißt das: Vor dem Rollout eines Agenten müssen wir nicht nur seine Aufgabe beschreiben. Wir müssen festlegen, auf welche Daten und Werkzeuge er zugreifen darf, welche Aktionen eine menschliche Freigabe verlangen, was protokolliert wird und wer bei einer Abweichung eingreifen kann. Rechte müssen überprüft, Software aktualisiert und Vorfälle behandelt werden können.
Die eigentliche Stopp-Taste ist deshalb kein einzelner Knopf. Sie ist das Zusammenspiel aus klarer Verantwortlichkeit, begrenzten Rechten, durchsetzbaren technischen Grenzen und der Fähigkeit, eine Ausführung anzuhalten.
Wer KI-Agenten als Teil eines Teams einsetzen will, sollte diese Architektur nicht als spätere IT-Nacharbeit behandeln. Sie gehört an den Anfang des Arbeitsdesigns. Denn der entscheidende Unterschied zwischen einer beeindruckenden Demo und einem verantwortbar betriebenen Agenten liegt nicht in der Qualität seines Prompts. Er liegt darin, dass seine Handlungsfreiheit gestaltet wurde – und begrenzt werden kann.
Quellen: NVIDIA, Plattformankündigung vom 28. September 2026; SAP, Einordnung der Zusammenarbeit vom 28. September 2026; NVIDIA, Sicherheitsbulletin zu OpenShell.