KI-Werkzeuge aus einem begrenzten Auftrag ableiten

Beschreiben Sie zuerst das gewünschte Arbeitsergebnis. Daraus ergeben sich die Funktionen, die ein KI-Assistent benötigt. Ein vorhandener Zugang zu einem Ticketsystem ist noch kein Grund, dessen gesamten Funktionsumfang für das Modell verfügbar zu machen.

Einen Auftrag in Funktionen übersetzen

Im fiktiven Beispiel lautet der Auftrag: Erstellen Sie zum Ticket T-62 einen internen Antwortentwurf. Das Ticket gehört zum Kundenkonto K-18 und verweist auf ein Projekt. Der Assistent darf den Eingang lesen, den zugehörigen Projektstatus abfragen und einen Entwurf speichern. Das Versenden gehört nicht zu diesem Auftrag.

Die Werkzeugnamen sind eigene Beispielbezeichnungen. Die folgende Matrix beschreibt den geplanten Umfang:

OWASP empfiehlt, Werkzeugfunktionen und deren Berechtigungen auf das notwendige Maß zu begrenzen. Ein eigener, eng umrissener Aufruf ist dafür leichter abzugrenzen als ein allgemeines Werkzeug, das beliebige Befehle ausführt oder beliebige Zieladressen aufruft.

Den Kontext auf dem Server prüfen

Der Server ermittelt den zulässigen Kundenkontext anhand der angemeldeten Person und des geprüften Tickets. Eine frei vom Modell gelieferte Kundenkennung darf diesen Kontext nicht erweitern. Auch das Projekt muss nachweislich zum freigegebenen Vorgang gehören.

Jeder Werkzeugaufruf prüft Rechte und erlaubte Felder erneut. Die sichtbare Werkzeugliste hilft bei der Steuerung; die eigentliche Zugriffskontrolle bleibt im ausführenden Dienst. Ein passend formuliertes Argument oder eine Anweisung im Tickettext erteilt keine zusätzlichen Rechte.

Ergebnisse als Zustände weitergeben

Ein erfolgreich gespeicherter Entwurf braucht eine Bestätigung des Ticketsystems. Der erzeugte Text allein beweist keine Speicherung. Scheitert der Schreibvorgang oder bleibt sein Ausgang unbekannt, zeigt die Oberfläche diesen Zustand. Sie darf dies nicht als versandte Kundennachricht ausweisen.

Soll später auch Versand möglich sein, ist dies eine eigene Erweiterung mit festgelegten Empfängern, Rechten und gegebenenfalls Freigaben. Sie wird nicht nebenbei durch einen zusätzlichen Modellwunsch aktiviert.

Die Grenzen vor dem Einsatz testen

Prüfen Sie den erlaubten Ablauf bis zum gespeicherten Entwurf und zusätzlich einen fremden Kundenkontext, einen Versandwunsch im Tickettext sowie eine fehlgeschlagene Speicherung. Erwartet werden entsprechend ein interner Entwurf, eine Zugriffsablehnung, kein Versand und ein sichtbarer Fehlerzustand.

Halten Sie für jeden Fall erlaubte Funktionen, erwarteten Systemzustand und tatsächliches Ergebnis fest. So lässt sich erkennen, ob die technische Begrenzung den Auftrag auch dann einhält, wenn das Modell einen unpassenden Aufruf vorschlägt.

Quellen

• OWASP — LLM06:2025 Excessive Agency