arXiv:2605.04785: AgentTrust fängt Tool-Aufrufe von KI-Agenten mit 95–97 % Genauigkeit ab

Ein neues Papier auf arXiv stellt AgentTrust vor, eine Laufzeit-Sicherheitsschicht, die zwischen einem KI-Agenten und seinen Tools sitzt und jeden Aufruf in Echtzeit bewertet, bevor er ausgeführt wird. Das System zielt auf Schwachstellen ab, die entstehen, wenn Agenten umfangreichen Zugriff auf das Betriebssystem und externe Dienste erhalten.

Wie entscheidet AgentTrust, was erlaubt wird?

Für jeden eingehenden Tool-Aufruf gibt AgentTrust eines von vier Urteilen zurück: erlauben, warnen, blockieren oder zur Überprüfung senden. Die Architektur kombiniert einen Shell-Deobfuskations-Normalisierer, eine SafeFix-Komponente für sicherere Alternativen, einen RiskChain-Detektor für mehrstufige Angriffsketten und eine Cache-aware LLM-as-Judge-Schicht für mehrdeutige Eingaben. Abgedeckte Tools umfassen Dateioperationen, SQL-Abfragen und Shell-Befehle — die drei häufigsten Angriffsflächen in produktiven Agentensystemen.

Wie genau ist das System?

Die Evaluierung wurde an insgesamt 930 Szenarien durchgeführt — 300 interne über sechs Risikokategorien und 630 unabhängig konstruierte adversariale Realsituationen. Das Produktions-Ruleset erreicht 95,0 % Urteilsgenauigkeit beim internen Benchmark und 73,7 % Risikoklassen-Genauigkeit bei Latenzen im Millisekundenbereich. Beim 630-Szenario-Set erreicht AgentTrust 96,7 % Genauigkeit, einschließlich etwa 93 % bei shell-obfuszierten Payloads, die einfachere Filter typischerweise umgehen.

Was bedeutet die Open-Source-Veröffentlichung?

Autor Chenglin Yang hat AgentTrust unter der AGPL-3.0-Lizenz veröffentlicht, die abgeleitete Werke zur gleichen Open-Source-Weitergabe verpflichtet. Das System wird als MCP-Server (Model Context Protocol — offener Standard für den Aufruf externer Tools aus LLMs) geliefert, sodass es an jeden Agenten angeschlossen werden kann, der MCP unterstützt, ohne den Agenten-Code zu ändern. Dies senkt die Hürde für die Einführung von Laufzeitkontrollen in bestehende Agenten-Workflows.