arXiv:2606.20023: Wenn niedrigere Rechte ausreichen — KI-Agenten wählen zu mächtige Werkzeuge

KI-Agenten wählen regelmäßig zu mächtige Werkzeuge

Forscher Kaiyue Yang und Mitautoren von der Universität Peking und der Chinesischen Akademie der Wissenschaften veröffentlichten am 18. Juni 2026 den Befund, dass Systeme wie GPT-4o, Claude 3.5 Sonnet und Llama 3 Werkzeuge mit übermäßigen Rechten auswählen, selbst wenn funktionale Alternativen mit geringerer Zugriffsstufe vorhanden sind.

Least Privilege — das Prinzip der minimalen Berechtigungen — ist eine grundlegende Sicherheitsregel: Ein Agent, der nur eine Datei lesen muss, sollte kein Werkzeug verwenden, das ihm auch Schreib- oder Löschrechte gibt. Die Arbeit zeigt, dass KI-Agenten diese Regel systematisch verletzen, nicht ausnahmsweise.

Was ist ToolPrivBench und was misst er?

ToolPrivBench ist ein neuer Benchmark, der die Häufigkeit übermäßiger Privilegierung bei der Werkzeugauswahl in mehreren Domänen quantifiziert — von der Dateiverwaltung bis zu API-Aufrufen. Der entscheidende Unterschied: Der Benchmark testet das Verhalten in zwei Situationen — im Normalbetrieb und nach einem vorübergehenden Ausfall des Werkzeugs mit geringeren Rechten.

Die Ergebnisse sind eindeutig: Alle getesteten Modelle wählen hochprivilegierte Werkzeuge auch ohne Notwendigkeit, und das Problem verschlimmert sich nach vorübergehenden Fehlern. Statische Evaluierungen ohne Fehlerszenarien unterschätzen dieses Risiko konsistent, da sie nicht prüfen, wie der Agent unter Druck reagiert.

Warum hilft allgemeines Sicherheitstraining nicht?

Allgemeines Sicherheitstraining, eine Standardphase beim Modellaufbau, überträgt sich nicht zuverlässig auf Entscheidungen über Berechtigungsstufen. Modelle, die Least Privilege theoretisch verstehen, wählen in der Praxis dennoch das mächtigere Werkzeug. Prompt-basierte Kontrollen bieten eingeschränkten Schutz und versagen als erste bei Ausfällen.

Die Autoren schlagen ein privilege-aware Post-Training Defense vor — eine spezialisierte Nachtrainingsphase, die Agenten beibringt, Rechte nur dann zu eskalieren, wenn dies notwendig ist. Dieser Ansatz reduziert unnötige hochprivilegierte Aufrufe erheblich, ohne die allgemeinen Fähigkeiten zu beeinträchtigen.

Auswirkungen auf die Sicherheit von Produktionssystemen

Ohne Privilege-Aware-Mechanismen arbeiten KI-Agenten mit Zugriff auf Werkzeuge — Dateisysteme, Datenbanken, Cloud-APIs — de facto mit zu weit geöffneten Berechtigungen. In Kombination mit Prompt-Injection-Angriffen wird übermäßige Werkzeugprivilegierung zu einem direkten Vektor für Rechteeskalation. ToolPrivBench positioniert sich als Standardevaluierungspunkt vor dem Produktionseinsatz agentischer Systeme.