Wie man Internetregeln neu schreibt, wenn jeder einen unermüdlichen Agenten hat

Verfasst von: Cobo

Spulen wir vor ins Jahr 2028: Sie lassen Ihren persönlichen KI-Agenten Zutaten für eine Suppe kaufen. Er stellt aufmerksam fest, dass die Karotten im örtlichen Supermarkt 10 Cent teurer sind als der Durchschnittspreis. Auf der Suche nach einer global optimalen Lösung orchestriert er autonom die gesamte nordamerikanische Agrarlieferkette und löst beinahe einen multinationalen Handelskonflikt aus. Am Ende liefert er die Zutaten pünktlich in Ihre Küche und spart Ihnen insgesamt 23 Cent.

Diese leicht makaber-humorvolle Anekdote machte in letzter Zeit auf Twitter die Runde. Ihre Resonanz auf der Plattform beruht darauf, dass sie eine bevorstehende Realität präzise auf den Punkt bringt: KI-Agenten können sich bei der Suche nach lokal optimalen Lösungen leicht überanstrengen.

Ein realer Vorfall, der dieser Anekdote ähnelt, ereignete sich kürzlich in den Vereinigten Staaten.

JC Bahr-de Stefano, ein Investor bei der Venture-Capital-Firma Better Tomorrow Ventures, ermächtigte seinen persönlichen KI-Agenten Instinct, die Reservierungen im notorisch schwer zu buchenden New Yorker Steakhouse „4 Charles Prime Rib“ zu überwachen. In JCs Vorstellung sollte Instinct wie ein fähiger menschlicher Assistent agieren und die Reservierungsplattform Resy von Zeit zu Zeit aktualisieren, um mögliche Stornierungen zu entdecken.

Doch nur wenige Stunden später erhielt JC von Resy eine Benachrichtigung über eine dauerhafte Sperre, und alle zukünftigen Reservierungen unter seinem Namen wurden storniert. JC teilte später auf Twitter einen Screenshot der Sperr-E-Mail mit der ironischen Bildunterschrift: „Gut gemacht, Instinct.“

Um herauszufinden, wie es zu der Sperre gekommen war, überprüfte JC die Betriebsprotokolle von Instinct. Erst da kam die Wahrheit ans Licht: Die Bemühungen des digitalen Assistenten übertrafen die menschliche Vorstellungskraft. Er fragte nicht nur rund um die Uhr mit hoher Intensität etwa 200-mal pro Stunde die Daten ab, sondern prüfte auch alle zehn Minuten gründlich die Verfügbarkeit für die nächsten 21 Tage. Während der Hauptfreigabezeit um 9 Uhr verkürzte er das Anfrageintervall sogar auf erstaunliche 0,4 Sekunden und bombardierte das System zweieinhalb Minuten lang mit Anfragen.

Für das Betrugsbekämpfungs- und Risikokontrollsystem von Resy war das kein verzweifelter Restaurantgast, sondern vielmehr ein kleiner DDoS-Angriff oder das Skript eines hemmungslosen Ticket-Scalpers. JC selbst räumte ein, dass die Sperre völlig nachvollziehbar war.

Dieser Bericht über eine Sperre wegen „Überanstrengung“ mag oberflächlich betrachtet wie ein etwas absurder Einzelfall wirken, ist aber in Wirklichkeit ein Vorspiel zu einem technologischen Paradigmenwechsel. Er legt nicht nur die grobe und aggressive Ausführung von Strategien durch heutige KI-Agenten offen, sondern macht auch eine tiefergehende Sorge der Branche sichtbar: Sind die bestehende Internetinfrastruktur und die geltenden Vertrauensregeln wirklich bereit, wenn Menschen die digitalen Schnittstellen ihres Alltags vollständig an unermüdliche KI-Agenten delegieren, die rund um die Uhr aktiv sind?

Vom „Mit mir sprechen“ zum „In meinem Namen handeln“

Hinter diesem Vorfall mit der Sperre steht ein wichtiger Wandel in der aktuellen KI-Branche: KI löst sich allmählich von der Form eines einzelnen Chatfensters und entwickelt sich hin zu einer Ära hochautonomer, handlungsfähiger intelligenter Agenten.

Im Alltag der meisten Menschen ist KI noch immer auf ein Chatfenster beschränkt: Nutzer stellen Fragen, und die KI liefert Antworten. Selbst wenn die Intelligenz der zugrunde liegenden großen Sprachmodelle weiter zunimmt, hat sich an diesem Frage-und-Antwort-Paradigma nichts geändert. Die KI spielt dabei die Rolle einer passiven Wissensdatenbank, die auf Anfragen wartet.

Produkte wie Instinct, entwickelt von Noah Shinn, und Meta Muse, das innerhalb von fünf Tagen nach seiner Einführung 730.000 Downloads verzeichnete, stehen jedoch für eine andere Produktform, die beginnt, die Ausführung direkt zu übernehmen.

Nutzer können Aufgaben zuweisen, als würden sie einem echten Assistenten schreiben: „Kündige unnötige Abos“, „Behalte die Flüge nach London im Auge und buche, wenn der Preis stimmt“ oder „Hilf mir, einen Tisch im 4 Charles zu reservieren.“

Um diese Aufgaben zu erledigen, hat die neue Agentengeneration beispiellose Systemberechtigungen erhalten: Zugriff auf E-Mails, Kalender, Standort, Passwörter und Zugangsdaten sowie sogar Zahlungsmittel. Bei Diensten ohne APIs kann sie Webseiten bedienen und sogar direkt Händler kontaktieren.

Metas Muse bringt diese Fähigkeiten auf Mainstream-Plattformen. In nur fünf Tagen erreichte es 730.000 Downloads. Es ist tief in Instagram und WhatsApp integriert: Es erkennt Gerichte in Reels und erstellt Einkaufslisten, liest Partypläne in Gruppenchats, kümmert sich automatisch um Menüs, verschickt Einladungen und teilt die Kosten auf.

Gleichzeitig hat Meta Muse Connectors geöffnet, mit denen Drittentwickler Gmail, Calendar, Notion, Spotify und E-Commerce-Schnittstellen in standardisierte Agenten-Tools verpacken können. Mit der Zustimmung des Nutzers kann Muse anhand eines vagen Befehls in natürlicher Sprache autonom Abläufe über mehrere Dienste hinweg koordinieren: Gruppenchats lesen, um ein Abendessen zu organisieren, freie Zeiten im Kalender abgleichen und Käufe über Reservierungsplattformen abschließen. Muse Connector erweitert im Grunde mithilfe strukturierter Protokolle kontinuierlich die Bandbreite der Aktionen, auf die Agenten zugreifen und die sie ausführen können.

Doch während sich der Aktionsradius der Agenten rasch vergrößert, geraten sie bald mit den traditionellen Risikokontrollregeln des Internets aneinander und stoßen dabei auf blinde Flecken im Aufbau des aktuellen Internetsicherheitssystems.

Wenn Plattform-Risikomodelle auf KI-Agenten treffen

Rückblickend auf JCs Erfahrung lag Resys Risikokontrollsystem nicht falsch; es setzte lediglich die Standardlogik um, die das Internet in den vergangenen zwanzig Jahren etabliert hat: von CAPTCHAs über Geräte-Fingerprinting bis hin zur IP-basierten Begrenzung der Anfragerate. Allen Sicherheitssystemen liegt seit Langem eine binäre Annahme zugrunde: Hinter dem Endgerät steckt entweder ein echter Mensch oder ein Bot mit bösartigen Skripten.

Persönliche Agenten bringen dieses Gleichgewicht vollständig durcheinander.

Das hochfrequente Verhalten der Agenten rund um die Uhr mit Reaktionen im Millisekundenbereich ist technisch nicht von bösartigen Angriffen zu unterscheiden. Der vertraglichen Logik nach steht dahinter jedoch ein echter Nutzer, der vollständig informiert zugestimmt und die Aufgabe ausdrücklich delegiert hat.

Diese Diskrepanz wirft eine Frage auf: Wie sollte eine Plattform den Datenverkehr einordnen, wenn er sowohl „vollständig legitime Delegation durch einen Nutzer“ als auch „extreme maschinelle Eigenschaften“ aufweist? Handelt es sich um bösartiges Angriffsverhalten oder um eine Erweiterung des legitimen Nutzerverhaltens?

Wenn Resys Sperre des Reservierungsagenten lediglich die routinemäßige Abwehr abnormalen Datenverkehrs durch eine einzelne Plattform war, dann hebt Amazons jüngste umfassende Sperre von Meta Muse diese technische Reibung auf die Ebene eines ökologischen Machtkampfs zwischen Plattformen.

Einige Wochen nachdem Muse seine plattformübergreifende Kaufunktion eingeführt hatte, fing Amazon kürzlich den gesamten Zugriff von Muse-Agentenknoten ab. Als Begründung nannte das Unternehmen „nicht autorisierte automatisierte Skripte“ und Probleme mit Sicherheitsfreigaben und blockierte so den Kaufprozess des Agenten. Dieser Konflikt legt eine strukturelle Lücke im Zeitalter der Agenten offen: Die Zustimmung des Nutzers ist nicht gleichbedeutend mit der Genehmigung der Plattform.

Nutzer können Muse zwar erlauben, für sie Papiertücher zu kaufen, doch Amazon hat ebenso das Recht, den Zugriff jeder nicht offiziellen Maschinenidentität abzulehnen. Für den E-Commerce-Riesen besteht das Risiko darin, dass der Zugang zum Einkauf und die Kundenbeziehungen von übergeordneten Agenten gekapert werden könnten.

Die zugrunde liegenden Internetprotokolle sind heute jedoch eindeutig nicht auf ein derart komplexes Doppelverhältnis vorbereitet.

OAuth eignet sich hervorragend dazu festzulegen, worauf Anwendungen zugreifen dürfen, und Rate Limits sind gut darin, die Anfragerate zu begrenzen. Sie können jedoch drei tiefergehende Fragen zum Kontext nicht beantworten: Wen vertritt dieser Agent? Führt er die unmittelbare Absicht des Nutzers zuverlässig aus? Ist die Plattform bereit, dieses Handeln im Auftrag des Nutzers zu akzeptieren?

Selbst wenn künftige Probleme bei der Identitätsprüfung gelöst werden, bleiben Widersprüche bestehen. Resy kann bestätigen: „Das ist der autorisierte Agent von JC“, und Amazon kann erkennen: „Das ist ein von einem Nutzer autorisiertes Muse.“ Doch die Plattform muss weiterhin eine Entscheidung treffen: Soll sie unzählige Reaktionen im Millisekundenbereich durch unermüdliche Agenten zulassen, die ihre Logik zur Ressourcennutzung vollständig neu gestalten – insbesondere dann, wenn diese Ressourcen bereits äußerst knapp sind?

Wenn das Prinzip „Wer zuerst kommt, mahlt zuerst“ zu versagen beginnt

Reservierungen in beliebten Restaurants, Tickets für große Konzerte, Last-Minute-Flugtickets mit Rabatt, Sammlerstücke in limitierter Auflage … Seit Langem nutzt die menschliche Gesellschaft nahezu dieselben traditionellen Regeln, um diese knappen Ressourcen zu verteilen: Das Angebot ist begrenzt, und die Chancen gehören denen, die schneller entdecken und handeln.

Dass dieser „Wer zuerst kommt, mahlt zuerst“-Mechanismus das Gleichgewicht halten kann, liegt an einer stillschweigenden zeitlichen und aufwandsbezogenen Hürde: Die menschliche Aufmerksamkeit und die physiologischen Grenzen sind endlich.

Die meisten Menschen aktualisieren nicht 72 Stunden am Stück die Reservierungsseite und prüfen auch nicht alle paar Sekunden die Flugpreise. Zeit, Geduld und Reaktionsgeschwindigkeit bilden einen natürlichen Filter. Er ist vielleicht nicht fair, begrenzt aber wirksam, wie oft jede Person um die Ressourcen konkurrieren kann.

Wenn jedoch jeder mit einem intelligenten Agenten ausgestattet ist, verschwindet dieser physische Puffer.

Wenn jeder ein Programm rund um die Uhr Dutzende Ziele überwachen und automatisch Anfragen senden lassen kann, sobald ein Platz frei wird, verschiebt sich das Prinzip „Wer zuerst kommt, mahlt zuerst“ schnell hin zu der Frage, wessen Agent schneller reagiert, auf mehr zugreifen und mehr Versuche unternehmen kann – oder wer über bessere Schnittstellen und Ressourcen verfügt.

Der Wettbewerb um menschliche Geduld wird zum Wettbewerb um maschinelle Rechenleistung. Damit ist die Ära, in der physische Reibung Angebot und Nachfrage regulierte, endgültig vorbei. Künftig dürften sich Plattformen in mehrere Richtungen entwickeln:

• Die Automatisierung weiterhin mit ausgefeilteren Erkennungsmethoden bekämpfen. Dazu gehören komplexere CAPTCHAs, eine strengere Erkennung von Geräte-Fingerprints und aggressivere Bewertungsmechanismen für ungewöhnliches Verhalten. Kurzfristig kann diese Methode wirksam sein. Da Agentenprogramme jedoch immer besser darin werden, das Verhalten menschlicher Browser nachzuahmen, lässt sich diese Strategie nur schwer dauerhaft aufrechterhalten.
• Protokolle zur Agentenidentität entwickeln. Identitätsprüfungen und Ratenbegrenzungen für Agenten einführen, damit Plattformen nicht nur erkennen können, dass ein bestimmtes Konto Anfragen sendet, sondern auch bestätigen können, dass es sich um JCs autorisierten Agenten handelt, der innerhalb seines erlaubten Umfangs die Verfügbarkeit abfragt. Im Grunde ist dies eine Erweiterung des OAuth-Modells um eine Ebene, die die Delegation von Berechtigungen und den Umfang der zulässigen Aktionen dokumentieren kann. Das kann den Missbrauch von Risikokontrollen eindämmen, beantwortet aber weiterhin nicht, wie knappe Ressourcen verteilt werden sollten.
• Funktionen integrieren: eine plattformeigene Ebene zur Erfassung von Kaufabsichten schaffen. Anstatt Tausende externer Agenten in Millisekundenabständen Server abfragen zu lassen, könnten Plattformen Schnittstellen proaktiv bereitstellen und eine eigene Ebene zur Erfassung von Kaufabsichten schaffen. Nutzer müssten nicht mehr um die Wette handeln, sondern könnten einfach längerfristige Wünsche angeben: „An einem beliebigen Freitagabend im nächsten Monat für zwei Personen.“ Die Plattform würde intern die Vermittlung und Zuteilung anhand von Regeln wie einer Lotterie, Treuepunkten oder Erfüllungsguthaben vereinheitlichen.
• Auf vollständige Preisfindung hinarbeiten, also auf marktbasierte Auktionen, bei denen die Knappheit durch dynamische Preisgestaltung ausgeglichen wird. Bei tatsächlich knappen Beständen können dynamische Preise oder Gebotsverfahren dem Markt die Verteilung der Ressourcen überlassen. Agenten eignen sich gut für automatisierte Gebote innerhalb festgelegter Budgets. Sie können Preise fortlaufend anhand der festgelegten Präferenzen und Budgets der Nutzer bewerten und Transaktionen automatisch abschließen, wenn die Bedingungen – etwa ein gutes Preis-Leistungs-Verhältnis – erfüllt sind. Der Nachteil dieses Ansatzes ist, dass er den Zugang zu Ressourcen unmittelbar mit der Zahlungsbereitschaft des Nutzers verknüpft und damit Fragen zur Fairness der Ressourcenverteilung aufwirft.

In der Praxis dürfte die endgültige Form der Zukunft eine Kombination verschiedener Mechanismen sein: eine formelle Authentifizierung der Agentenidentität für den maschinellen Zugriff, plattformeigene Mechanismen zur Präferenzabstimmung für gewöhnliche Bestände und klarere Zuteilungsverfahren wie Warteschlangen, Lotterien oder dynamische Gebote für stark nachgefragte Güter. Der Wandel hat bereits begonnen und ist unumkehrbar. Plattformen müssen diese neuen Regeln proaktiv auswählen und umsetzen, statt sich der Illusion hinzugeben, sie könnten Angebot und Nachfrage weiterhin durch die physische Reibung menschlicher Bedienung indirekt regulieren.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.