Zero-Trust-Werkzeugkontrolle für KI-Agenten
Agenten lesen Dokumente, Tickets und Webseiten und handeln anschließend auf deren Grundlage. Alles, was sie lesen, kann eine Anweisung enthalten. Promtact sitzt zwischen dem Agenten und seinen Werkzeugen und entscheidet bei jedem Aufruf: zulassen, zur menschlichen Freigabe anhalten oder ablehnen. Danach wird die Entscheidung in einem Protokoll festgehalten, das selbst Ihre Administratoren nicht unbemerkt verändern können.
Der Agent besitzt niemals Ihre Zugangsdaten. API-Schlüssel und Token verbleiben im Gateway und werden erst angefügt, nachdem ein Aufruf erlaubt wurde. Ein manipulierter Agent kann sie weder preisgeben noch wiederverwenden. Bei einem abgelehnten Aufruf wird das Geheimnis gar nicht erst gelesen.
Die Pflichten bestehen bereits. Der EU AI Act verlangt für Hochrisikosysteme automatische Aufzeichnungen über ihren gesamten Lebenszyklus (Artikel 12) und eine wirksame menschliche Aufsicht (Artikel 14). DORA verlangt nachweisbare Kontrollen für ICT-Komponenten von Drittanbietern – dazu gehört auch ein Agent, der Werkzeuge über einen MCP-Server aufruft.
Beweismittel lassen sich nicht rückwirkend erzeugen. Das Protokoll entsteht im Moment des Aufrufs – oder es existiert nicht. Wer erst in sechs Monaten bereitstellt, hat für die vorherigen sechs Monate keinerlei Aufzeichnung.
Mit jedem verbundenen Werkzeug wächst das Risiko. Ein Agent mit Lesezugriff ist eine Frage der Vertraulichkeit. Ein Agent, der E-Mails senden, Tickets schließen, APIs aufrufen oder Geld bewegen kann, ist eine Frage realer Folgen.
Dreißig Minuten genügen, um zu sehen, welche aktuellen Aufrufe Ihrer Agenten heute zugelassen, angehalten oder abgelehnt würden.
Das ist kein Argument dafür, genau dieses Produkt heute zu kaufen. Es ist ein Argument dafür, dass die Aufzeichnung heute beginnt – unabhängig vom Anbieter.
Die Entscheidung fällt, bevor das Werkzeug läuft: Die Nachricht wird nicht gesendet, der Datensatz nicht gelöscht und die Zahlung nicht ausgelöst. Ein nachträglicher Logeintrag ist ein Vorfallsbericht, keine Kontrolle.
Jede Entscheidung ist per Hash mit der vorherigen verkettet. Der Kopf dieser Kette wird von einer externen Instanz gegengezeichnet. Selbst Root-Zugriff reicht nicht aus, um eine Entscheidung unbemerkt zu entfernen.
Promtact läuft dort, wo Ihre Agenten laufen. Es gibt keinen Anbieter-Endpunkt, keine Telemetrie und kein Konto. Dokumente, Argumente und Zugangsdaten bleiben in Ihrer Umgebung.
Promtact spricht das Model Context Protocol und wird vor Ihre bestehenden Werkzeugserver geschaltet. Der Agent ruft sie weiterhin wie gewohnt auf.
Ein Werkzeugaufruf wird anhand der Richtlinie bewertet und entweder ausgeführt, zur Freigabe angehalten oder abgelehnt.
Kontrolliert wird nur, was Promtact durchläuft. Ein anderer Zugriffsweg bleibt außerhalb dieser Kontrolle.Die Antwort wird untersucht, bevor der Agent sie liest: unsichtbare Zeichen, Bild-URLs mit ausgehenden Daten oder typische Zugangsdaten. Eine vergiftete Antwort wird zurückgehalten.
Prompt Injection lässt sich nicht zuverlässig erkennen – und Promtact behauptet das auch nicht.Hat eine Sitzung nicht vertrauenswürdige Inhalte gelesen, wird ihre nächste nach außen wirkende Aktion von einem Menschen geprüft – unabhängig davon, ob etwas erkannt wurde.
Die Markierung läuft ab und betrifft nur nach außen wirkende Aktionen.Jede Entscheidung ist per Hash mit der vorherigen verbunden. Der Kettenkopf wird an eine Instanz außerhalb des Hosts veröffentlicht.
Ohne diese externe Bezeugung erkennt die Kette nur versehentliche Beschädigungen.Das erste sinnvolle Gespräch dauert dreißig Minuten und ist technisch: Welche Systeme erreichen Ihre Agenten heute, welche Aufrufe würden angehalten und wie sähe das Protokoll anschließend aus? Bringen Sie eine technische Fachperson mit.
Sie erhalten eine schriftliche Antwort darauf, welche Aufrufe zugelassen, angehalten oder abgelehnt würden, was ein Auditor sechs Monate später sähe und was für den Betrieb vor Ihrem eigenen Stack nötig ist.
Unabhängige Prüfung, klar benannt: Es gab noch keinen externen Penetrationstest und kein SOC-2- oder ISO-27001-Audit. Dies ist Version 0.5 eines Produkts eines kleinen Teams. Prüfungen, Befehle und Ergebnisse sind reproduzierbar veröffentlicht.
Jede Aussage in technical-claims.md enthält den Befehl zu ihrer Überprüfung und nennt die eigenen Grenzen. verify-it-yourself.md enthält reproduzierbare Prüfschritte. security-findings.md dokumentiert gefundene Probleme und Korrekturen.
Der Quellcode ist öffentlich. Er enthält keine Exploit-Logik und greift keine Ziele an.