„Darf ich fortfahren?“ ist keine Freigabe

Agenten fragen höflich nach Erlaubnis. „Darf ich diese Datei ändern?“ oder „Möchten Sie fortfahren?“ klingt kontrolliert. Oft bleibt aber offen, was das Ja technisch erlaubt.

Eine Freigabe trägt nur, wenn der Mensch und die Durchsetzungsschicht dieselbe Aktion, dasselbe Ziel und dieselbe Wirkung meinen.

Ein Ja braucht ein Objekt

„Darf ich fortfahren?“ benennt weder die nächste Aktion noch ihren Scope. Eine brauchbare Frage macht sichtbar, ob der Agent lesen, schreiben, löschen, senden oder veröffentlichen will. Sie nennt das konkrete Ziel und die Daten, die eine Grenze passieren.

Auch Gültigkeit und erwartete Wirkung gehören dazu. Ein einmaliger Schreibvorgang ist etwas anderes als ein Recht für den restlichen Lauf. Ein lokaler Entwurf ist etwas anderes als eine veröffentlichte Seite.

Dialog und Policy müssen zusammenpassen

Der Preprint How Agents Ask for Permission trennt Anzeige, interne Repräsentation, Ableitung und Laufzeitdurchsetzung. Die Arbeit ist eine Taxonomie, kein Wirksamkeitsbeweis für eine bestimmte Oberfläche.

Die Trennung ist trotzdem nützlich. Ein verständlicher Dialog kann auf eine zu breite interne Policy zeigen. Eine saubere Policy kann umgekehrt unverständlich dargestellt sein. Das Modell darf die Anfrage lesbar formulieren. Eine deterministische Schicht muss entscheiden, ob der Tool-Aufruf tatsächlich in den freigegebenen Scope fällt.

Freigaben dürfen nicht mit dem Plan wachsen

Wenn ein Schritt fehlschlägt, ändern Agenten ihren Plan. Daraus darf keine stillschweigende Erweiterung entstehen. Die Erlaubnis für lokale HTML-Änderungen deckt keinen Upload. Die Freigabe für einen E-Mail-Entwurf deckt nicht das Senden.

Ändern sich Aktion, Ziel, Datenklasse oder externe Wirkung, braucht der Agent eine neue Entscheidung. Ob eine ältere Freigabe beim späteren Seiteneffekt noch gilt, ist die getrennte Frage aus Episode 10.

Eine kleine technische Form

Praktisch genügt ein strukturiertes Freigabeobjekt mit Kennung, erlaubter Aktion, Ziel, Datenklasse, Gültigkeit und erwarteter Wirkung. Die Oberfläche fasst diese Felder verständlich zusammen. Die Durchsetzungsschicht nutzt die präzise Form vor dem Tool-Aufruf.

So fragt das System seltener, aber konkreter. Harmlose Schritte können in einem engen Scope laufen. Neue Empfänger, produktive Ziele und irreversible Wirkungen bleiben sichtbar getrennt.

Kurz gesagt

Eine gute Freigabe beschreibt den wirklichen Seiteneffekt und wird außerhalb des Modells erzwungen. Ein pauschales „Fortfahren“ ist dafür zu breit.

Quellen

How Agents Ask for Permission: User Permissions for AI Agents, from Interfaces to Enforcement

RFC 9396: OAuth 2.0 Rich Authorization Requests