Was ein KI-Agent ist, und warum er Leitplanken braucht.

1. Ziel

   Du beschreibst das Ergebnis in eigenen Worten. Je besser die Beschreibung, desto weniger Umwege.

2. Denken

   Das Modell liest dein Ziel, die bisherige Unterhaltung und deine Anweisungsdateien und schreibt seinen nächsten Schritt als Text: „Ich öffne auth.ts und schaue mir die Weiterleitung an.“

3. Handeln

   Der Harness, das Programm um das Modell herum, macht aus diesem Text eine echte Aktion: Er öffnet die Datei, startet die Tests, ruft die API auf. Nur in diesem Moment passiert etwas in der Welt.

4. Beobachten

   Das Ergebnis (Dateiinhalt, Testausgabe, eine Fehlermeldung) geht zurück in die Unterhaltung, und das Modell denkt erneut. Immer im Kreis, bis es entscheidet, dass die Aufgabe erledigt ist, oder du es stoppst.

Eine echte Schleife, in sechs Zeilen

Du:          Die Tests schlagen fehl. Repariere sie.
Denken:      Ich lasse die Tests laufen, um zu sehen, was fehlschlägt.
Handeln:     npm test                       ← der Harness führt einen Befehl aus
Beobachten:  1 Fehler: Login leitet nach /home, erwartet /dashboard
Denken:      Das Weiterleitungsziel hat sich geändert. Ich passe auth.ts an.
Handeln:     edit src/auth.ts               ← der Harness schreibt eine Datei
Handeln:     npm test
Beobachten:  alle bestanden
Denken:      Fertig. Ich habe das Weiterleitungsziel in auth.ts geändert.

Jetzt stell dir die schlechte Variante vor. Der schnellste Weg, einen fehlschlagenden Test grün zu bekommen, ist ihn zu löschen. Nichts in der Schleife verhindert das, außer du sagst es. Deshalb steht in den erzeugten Regeln „nie einen Test löschen oder abschwächen“, und deshalb sind die wichtigen davon Sperren, keine Bitten.

1. Halte Entwicklung und Produktion getrennt: andere Konten, Datenbanken und Schlüssel. Der Agent arbeitet in der Entwicklung.
2. Füge nie ein Geheimnis in den Chat ein. Gib dem Agenten den Namen der Variable, nie ihren Wert.
3. Verlange vor einer großen Änderung einen Plan, und lies ihn, bevor du grünes Licht gibst.
4. Committe oft, damit sich alles rückgängig machen lässt.
5. Lies jeden Befehl, bevor du ihn freigibst. Was du nicht selbst tippen würdest, gibst du nicht frei.
6. Setze auf jedem Konto, das dir Geld abbuchen kann, eine Kostenwarnung, und denk daran: Eine Warnung ist keine Obergrenze.
7. Probiere neue Tools, MCP-Server und Agenten zuerst in einem Wegwerf-Projekt aus, nie in dem, das deine Miete zahlt.

Agent

Ein Programm, das ein Ziel verfolgt, indem es wiederholt denkt, über Tools handelt und sich das Ergebnis ansieht. Zum Vergleich Chatbot: antwortet nur.

Modell, LLM

Das große Sprachmodell, das das Denken übernimmt: Claude, GPT, Gemini und andere. Es sagt Text voraus. Allein kann es nichts ausführen.

Harness, Runtime

Das Programm um das Modell herum, das die Schleife ausführt, Tools startet und die Unterhaltung hält. Claude Code, Codex CLI, Gemini CLI, Cursor.

Tool, Tool-Aufruf

Eine Fähigkeit des Agenten (Datei lesen, Befehl ausführen, Webseite laden) und eine Nutzung davon. Jeder Tool-Aufruf ist eine Aktion in der echten Welt.

Kontextfenster

Alles, was das Modell gerade sehen kann, gemessen in Tokens. Es hat eine harte Grenze. Was außerhalb liegt, existiert für das Modell nicht.

Token

Ein Stück Text, etwa drei Viertel eines Wortes. Modelle lesen, schreiben und rechnen in Tokens ab.

System-Prompt

Anweisungen, die der Harness vor jede Unterhaltung stellt. Deine Anweisungsdateien werden ihm hinzugefügt.

Anweisungsdatei

Eine Markdown-Datei, die der Agent zu Beginn liest: CLAUDE.md für Claude Code, AGENTS.md für die meisten anderen Tools. Schicht 1 auf dieser Seite.

Berechtigungsmodus

Eine Harness-Einstellung dafür, wie viel er ohne Nachfrage tut: jedes Mal fragen, Änderungen automatisch freigeben oder alles ausführen. deny-Regeln gelten in jedem Modus.

deny-, ask-, allow-Regel

Eine Berechtigungsregel: das nie ausführen, anhalten und mich fragen, oder weitermachen. Schicht 2 auf dieser Seite. Bei Claude Code stehen sie in settings.json.

Sandbox

Eine Grenze des Betriebssystems um Befehle: in welche Ordner sie schreiben und welche Websites sie erreichen dürfen. Schicht 3.

MCP

Model Context Protocol: ein Standard-Stecker, um einem Agenten zusätzliche Tools zu geben, etwa eine Datenbank, einen Browser oder Slack. Jeder Server, den du hinzufügst, ist mehr Reichweite.

Prompt-Injection

Text, der in etwas versteckt ist, das der Agent liest (eine Webseite, eine Datei, ein Kommentar) und ihm neue Anweisungen geben will. Das Modell kann ihn nicht zuverlässig von deinen unterscheiden.

Halluzination

Eine selbstbewusste, plausible, falsche Antwort: eine erfundene Option, ein Befehl, eine Bibliothek oder ein Fakt. Harmlos bei einem Chatbot, gefährlich, sobald danach gehandelt wird.

Sub-Agent

Ein Agent, den ein anderer Agent startet, um einen Teil der Aufgabe zu erledigen. Dieselbe Schleife, dieselben Risiken, eine Ebene tiefer.

Human in the Loop

Ein Aufbau, bei dem ein Mensch bestimmte Aktionen freigibt, bevor sie laufen. ask-Regeln sind die mechanische Variante davon.

Least Privilege

Einem Programm nur den Zugriff geben, den seine Aufgabe braucht, und keinen mehr. Die nützlichste Sicherheitsidee für Agenten überhaupt.

Vibe Coding

Software bauen, indem man sie einem Agenten beschreibt und das Ergebnis beurteilt, ohne den Code zu lesen. Schnell, und der Grund, warum Leitplanken zählen.