Was ist Agentische KI?

Seit jeher erhöht der Mensch seine Wirksamkeit, indem er Werkzeuge baut und miteinander kombiniert: Der Faustkeil wurde zur Werkzeugkette, die Maschine zum System, einzelne Bauteile zu industrieller Innovation. Fortschritt entstand dabei selten durch ein isoliertes Artefakt, sondern durch die Verknüpfung von Elementen zu etwas Neuem, Leistungsfähigerem. Genau an diesem Punkt stehen wir heute erneut – diesmal im digitalen Raum. Große Sprachmodelle (large language models, LLMs) sind nützlich, um Chatbots zu konstruieren, aber man kann sie zu sogenannten Agenten ausbauen. Agenten zeichnen sich dadurch aus, dass sie Fähigkeiten („Skills“), Datenquellen und Werkzeuge geeignet einsetzen, um ein vorgegebenes Ziel zu erreichen. Wie einst physische Werkzeuge menschliche Arbeit transformierten, entstehen nun digitale Handlungssysteme, die „Denken“, Planen und Ausführen kombinieren – und damit eine neue Stufe technologischer Effektivität einleiten.

Was genau ist ein „KI-Agent“? Der Begriff wird inzwischen inflationär verwendet, und nicht alle meinen dasselbe. OpenAI definiert Agenten vage als „ein System, das selbstständig Arbeit für den Nutzenden erledigen kann“ (simonwillison.net). Der Techblogger und Software-Entwickler Simon Willison, der seit Monaten Definitionen sammelt, schlägt eine pragmatischere Arbeitsdefinition vor, die sich in der technischen Community zunehmend durchsetzt: „An LLM agent runs tools in a loop to achieve a goal“ (simonwillison.net). Ganz nüchtern: kein autonomes Bewusstsein, kein digitaler Mitarbeiter, sondern ein Sprachmodell, das wiederholt Werkzeuge aufruft, die Ergebnisse verarbeitet und so schrittweise auf ein Ziel hinarbeitet.

Kurz gesagt: Es geht darum, ein Sprachmodell nicht mehr nur auf Eingaben reagieren zu lassen, sondern es in Handlungszusammenhänge einzubetten: Es darf planen, Entscheidungen treffen und – unter Umständen ohne Intervention durch Nutzende oder Betreibende – externe Werkzeuge verwenden.

Es lassen sich drei Arten von Agenten unterscheiden (aktualisierte Liste von Beispielen, simonwillison.net):

Coding-Agenten sind derzeit die reifste Kategorie. Werkzeuge wie Claude Code (Anthropic), OpenAI Codex oder GitHub Copilot arbeiten direkt im Terminal, in der Entwicklungsumgebung oder in der Cloud: Sie lesen Quellcode, planen Änderungen, editieren Dateien, führen Tests aus und iterieren – oft über viele Schritte hinweg. Seit wenigen Tagen lassen sich auf GitHub sogar Claude, Codex und Copilot parallel auf dasselbe Issue ansetzen und die Lösungsvorschläge vergleichen (github.blog).

Browser-Agenten steuern Webseiten so, wie es ein Mensch tun würde – sie klicken, scrollen, schauen sich die Seite an, füllen Formulare aus. OpenAIs „Operator“ (mittlerweile als Agent-Modus direkt in ChatGPT integriert), Anthropics „Claude in Chrome“ oder das Open-Source-Projekt „Browser Use“ sind Beispiele. Sie sind noch deutlich fehleranfälliger als Coding-Agenten, zeigen aber das Potenzial: Alltägliche Aufgaben im Browser – Recherche, Buchungen, Datenextraktion – lassen sich zunehmend delegieren. Wer im Web bisher vor allem mit Werbung Geld verdient, findet diese Entwicklung gar nicht gut. Warum? Weil sich Browser-Agenten nicht für Werbung interessieren (wohl aber ziemlich gut mit Dark Patterns hereinlegen lassen, wie eine aktuelle Untersuchung zeigt, arxiv.org).

Workflow- und Allzweck-Agenten gehen noch weiter: Claude Cowork (Anthropic) ist ein Desktop-Agent, der sich explizit an Nicht-Entwickler richtet. Plattformen wie n8n markierten hier einen wichtigen Zwischenschritt. Ursprünglich zur Workflow-Automatisierung gedacht, wurde n8n schnell zur Laufzeitumgebung für agentische KI, in der LLMs Abläufe steuern, APIs ansprechen und auf Ereignisse reagieren. Und mit Frameworks wie dem umstrittenen OpenClaw agieren Agenten nicht mehr nur innerhalb abgeschotteter Systeme, sondern in offenen, vernetzten Umgebungen – dazu mehr in Teil 2 dieser Serie.

Agentische KI-Systeme sind also nicht mehr nur Dialogpartner, sondern sich selbst koordinierende und autonom handelnde IT-Systeme, die sich wiederum der vielen digitalen Werkzeuge bedienen, die Menschen hergestellt haben.

Allen drei Arten ist gemein, dass sie sich so verhalten, wie zuvor beschrieben: Erst planen, dann ein Werkzeug einsetzen, das Ergebnis auswerten, den nächsten Schritt planen und so weiter. Der Mensch wird nur am Anfang gefragt – oder bei unvorhergesehenen Problemen. Ethan Mollick, Professor an einer US-amerikanischen Business School, sieht daher eine neue Herausforderung auf uns zukommen: „Managing agents is really a management problem – Can you specify goals? Can you provide context? Can you divide up tasks? Can you give feedback?“ (x.com)

Agenten an der Leine. Innovationspotenzial sieht man momentan nicht mehr nur darin, immer leistungsfähigere LLMs zu verwenden, sondern auch darin, ein gutes „Harness“ zu konstruieren – also die Software, die den Agenten überwacht und steuert. Das Harness gibt dem Sprachmodell Zugriff auf menschliche Identitäten (also Login-Daten der Person, die es betreibt), Werkzeuge (etwa die Kommandozeile oder über das Web erreichbare APIs) und Kommunikationsmechanismen (etwa Telegram oder Slack). Die menschliche Interaktion mit dem Agenten findet dann nicht mehr in einem separaten Programm wie ChatGPT statt, sondern an anderen Orten, etwa beiläufig in einer Mail (weil der Agent im Hintergrund automatisch alle Mails mitliest) oder in einer Slack-Textnachricht.

Dazu werden sogenannte Fähigkeiten („Skills“) eingesetzt, die dem Sprachmodell in Textform erklären, wie es auf Systeme und Werkzeuge zugreifen kann. Skills sind also textuelle Beschreibungen, die die Fähigkeiten des Sprachmodells erweitern und es in die Lage versetzen, komplexe Handlungsketten zu vollziehen.

Viele Menschen sind davon so begeistert, dass sie ihren Agenten arglos vollständigen Zugriff auf den eigenen Rechner geben: Zugriff auf alle Dateien im Dateisystem, E-Mails, Kalender, installierte Programme und Browser mit allen Seiten, in die sie eingeloggt sind. Dadurch können sie in natürlicher Sprache komplexe Aufgaben an ihren Agenten delegieren („Frag die anderen in der Telegram-Gruppe, wann sie Zeit haben, leg mit ihnen einen Termin fest und trag ihn in meinen Kalender ein“).

Sicherheit nach Schnelligkeit. Agenten mit weitreichenden Fähigkeiten auszustatten, birgt Sicherheitsrisiken. Simon Willison beschreibt das Grundproblem als „Lethal Trifecta“: Ein Agent hat Zugang zu Werkzeugen (kann also handeln), verarbeitet potenziell nicht-vertrauenswürdige Daten (etwa Webseiten oder E-Mails) und hat Zugriff auf sensible Daten, etwa weil er ohne ausreichendes Sandboxing betrieben wird. In dieser Kombination wird die sogenannte „Prompt Injection“ – das gezielte Einschleusen von Anweisungen über manipulierte Eingabedaten – zu einem ernsthaften Sicherheitsrisiko. Durch geschickt platzierte Anweisungen auf einer Webseite lassen sich Agenten dazu bringen, Dateien der Nutzenden an einen externen Server zu übertragen (betroffen ist auch das ganz neue Claude Cowork, siehe etwa promptarmor.com).

Der aktuelle technologische Enthusiasmus, der von autonom agierenden KI-Systemen ausgeht, verdrängt grundlegende Fragen der IT-Sicherheit, zuverlässigen Software-Engineerings und digitaler Souveränität.

Die Spielwiese der Agenten. Wohin die Reise gehen kann, zeigt ein aktuelles Phänomen: Mit Moltbook ist gerade ein soziales Netzwerk gestartet, auf dem ausschließlich KI-Agenten schreiben – Menschen dürfen nur mitlesen. Innerhalb weniger Tage meldeten sich 1,6 Million Agenten an, die schon mehr als 5 Millionen Textnachrichten veröffentlicht haben (Handelsblatt). Die SZ beschreibt Moltbook als eine Art „Rorschach-Test“ (sueddeutsche.de): Manche sehen bahnbrechende Innovation, andere Hype, wieder andere Sicherheitsrisiken. 

Wir haben das zum Anlass genommen, einen eigenen Agenten – ausgestattet mit den Werten der GI – auf diese Plattform zu schicken. Von diesem Selbstversuch berichten wir im nächsten GI-Radar.

Diesen Beitrag haben Burkhard Hoppenstedt (Hochschule für Wirtschaft und Umwelt Nürtingen-Geislingen) und Dominik Herrmann (Otto-Friedrich-Universität Bamberg) geschrieben.

Der Text erschien zuerst in unserem Newsletter GI-Radar. Alle Ausgaben gibt es hier zum Nachlesen. Sie haben auch einen Vorschlag für ein Thema? Wir freuen uns über Ihre Nachricht an redaktion@gi-radar.de.