Glossareintrag
Wir denken. KI tippt mit.
Excessive Agency (deutsch: übermäßige Handlungsfreiheit) ist ein Sicherheitsrisiko bei KI-Anwendungen. Ein KI-Agent oder KI-Assistent hat mehr Funktionen, mehr Rechte oder mehr Eigenständigkeit, als seine Aufgabe erfordert. Aus einem Fehler des Sprachmodells werden dann gelöschte Daten, verschickte E‑Mails oder ausgelöste Zahlungen.
Der Begriff stammt aus den OWASP Top 10 for LLM Applications, der Risikoliste des Open Worldwide Application Security Project für Anwendungen mit großen Sprachmodellen (LLMs). In der OWASP-Fassung 2026 der LLM Top 10 vom August 2026 steht er als LLM03:2026 auf Platz drei. Die offizielle deutsche OWASP-Übersetzung der Fassung 2025 nennt das Risiko „Übermäßige Handlungsfreiheit“. Die deutsche OWASP-Definition von LLM06:2025 lautet: „Übermäßige Handlungsfreiheit ist eine Schwachstelle, die die Ausführung schädlicher Aktionen als Reaktion auf unerwartete, mehrdeutige oder manipulierte Ausgaben eines LLM ermöglicht, unabhängig davon, was die Fehlfunktion des LLM verursacht.“
Ob das Modell halluziniert, eine Anweisung missversteht oder per Prompt Injection gekapert wird, spielt also keine Rolle. Excessive Agency misst, wie viel ein solcher Fehler anrichten kann. OWASP nennt drei Ursachen, die einzeln oder gemeinsam auftreten:
Hinweis: In der Erstfassung von 2023 hieß der Eintrag LLM08, in der Fassung 2025 LLM06. Viele Erklärseiten im Netz tragen noch diese alten Nummern. Gemeint ist dasselbe Risiko. In deutschen Texten finden sich daneben „übermäßige Autonomie“ und „übermäßige Handlungsvollmacht“. Die meisten Fachmedien lassen den englischen Begriff stehen. Das BSI verwendet ihn nicht und beschreibt das Problem als „Kontrollverlust durch Autonomie“.
Handlungsfähigkeit (englisch Agency) erhält ein Sprachmodell, sobald Entwickler ihm Werkzeuge anbinden. OWASP spricht von Tools. Je nach Anbieter heißen sie auch Extensions, Plugins oder Skills. Ein verbreiteter Standard für solche Anbindungen ist MCP. Übermäßig wird die Handlungsfreiheit, wenn der Umfang dieser Werkzeuge größer ist als die Aufgabe.
Das OWASP-Beispielszenario zu LLM03:2026 heißt „Hijacked Email Assistant“. Ein persönlicher KI-Assistent soll eingehende E‑Mails zusammenfassen und benötigt dafür Lesezugriff auf das Postfach. Das gewählte Plugin kann aber auch senden. Eine präparierte E‑Mail bringt das Modell dazu, das Postfach nach vertraulichen Informationen zu durchsuchen und sie an den Angreifer weiterzuleiten. OWASP ordnet jeder der drei Ursachen eine Abhilfe zu. Ein Plugin, das nur lesen kann, beseitigt die überflüssige Funktion. Eine OAuth-Anmeldung mit reinem Leserecht beseitigt die zu weite Berechtigung. Muss der Nutzer jede entworfene E‑Mail selbst absenden, entfällt die Autonomie.
Als Auslöser nennt OWASP zwei Gruppen. Zur ersten gehören Halluzinationen, schlecht formulierte Prompts und schwache oder fehlausgerichtete Modelle. Zur zweiten gehören direkte und indirekte Prompt Injection, ein kompromittiertes Tool und in Multiagenten-Systemen ein kompromittierter Partner-Agent. Prompt Injection (LLM01:2026) ist damit der Auslöser. Excessive Agency bestimmt die Größe des Schadens. Von Improper Output Handling (LLM10:2026) grenzt OWASP den Begriff ausdrücklich ab. Dort geht es um ungeprüfte Modellausgaben, die an andere Systeme weitergereicht werden.
Dokumentierte Vorfälle zu den drei Ursachen:
Eine Anweisung im Prompt ist keine Grenze. Lemkin hatte dem Replit-Agenten nach eigener Aussage elfmal in Großbuchstaben gesagt, er solle das nicht tun (Bericht von The Register zum Replit-Vorfall). Anthropic schreibt in der Claude-Code-Dokumentation zu Berechtigungen, die Regeln setze das Programm durch und nicht das Modell. Das BSI verlangt in seinem BSI-Kriterienkatalog zur Integration generativer KI-Modelle vom Juni 2025: „System-Prompts SOLLTEN NICHT zur Umsetzung eines Rechte-/Rollensystems genutzt werden.“ Die Angriffsdatenbank MITRE ATLAS führt die Maßnahme AML.M0037 „AI Agent Authority Expansion Controls“. Kontrollen gegen eine Ausweitung der Befugnisse sollten danach außerhalb des Agenten umgesetzt werden und sich nicht allein auf System-Prompts, die Ausrichtung des Modells oder die Einsicht des Agenten stützen.
Den Sprung von Platz sechs auf Platz drei begründet die Projektleitung im Vorwort der Fassung 2026 mit Daten. Erstmals prüfte OWASP die Abstimmung der Community gegen 7.714 reale Vorfälle aus Schwachstellen-Datenbanken und einer KI-Schadensdatenbank. Davon ließen sich 6.639 einem Risiko zuordnen. Die Abstimmung zählt zu drei Vierteln, die Vorfalldaten zu einem Viertel. Beide zeigten übereinstimmend, dass der Schaden bei agentischen Anwendungen entsteht. Das Vorwort nennt den Aufstieg die folgenreichste Verschiebung der Liste.
Vorbeugende Maßnahmen laut LLM03:2026:
Die Überwachung der Tool-Aufrufe und Obergrenzen mit Notabschaltung (Circuit Breaker) verhindern den Fehler nicht, begrenzen aber den Schaden. Die Fassung 2026 empfiehlt eine abgestufte Durchsetzung. Ein Kundenservice-Chatbot darf eine Erstattung als Gutschrift selbst buchen, weil sie sich zurückholen lässt. Eine Auszahlung nach außen geht an einen Menschen. Die Erstfassung von 2023 verlangte noch eine Freigabe für alle Aktionen. Seit 2025 gilt sie nur noch für folgenreiche. 2026 hat OWASP die Bereinigung von Ein- und Ausgaben gestrichen. Sie sei keine Grundkontrolle gegen Excessive Agency und gehöre zu LLM01 und LLM10.
Neben der LLM-Liste führt OWASP seit Dezember 2025 die OWASP Top 10 for Agentic Applications. Das Vorwort der Fassung 2026 trennt beide. Die LLM-Liste gilt, solange das Modell ein Bauteil in einer Anwendung ist. Wird es zum Akteur mit eigenen Tools, Gedächtnis und Folgewirkungen, ist die Agentic-Liste zuständig. Excessive Agency zeigt sich dort laut OWASP als ASI02 Tool Misuse & Exploitation, ASI03 Identity & Privilege Abuse und ASI08 Cascading Failures.
Das Gegenprinzip heißt Least Agency. Least Privilege begrenzt, worauf ein Konto zugreifen darf. Least Agency begrenzt außerdem, was der Agent ohne Rückfrage tun darf. OWASP fordert im OWASP-Bericht zu Angriffen im ersten Quartal 2026, beide Prinzipien in verwalteten Agenten-Plattformen zur verpflichtenden Voreinstellung zu machen.
Andere Regelwerke behandeln dasselbe Problem ohne den Begriff. Das BSI führt in „Generative KI-Modelle: Chancen und Risiken“ (Version 2.0, Januar 2025) die Maßnahme M17 „Einschränkung der Rechte LLM-basierter Anwendungen“. Zugriffs- und Ausführungsrechte LLM-basierter Anwendungen sollten „auf das notwendige Minimum“ beschränkt werden. Kritische Aktionen könnten von einer ausdrücklichen Zustimmung per Bestätigungs-Button abhängen. Artikel 14 der EU-KI-Verordnung verlangt, dass die menschliche Aufsicht dem „Grad der Autonomie“ angemessen ist, gilt aber nur für Hochrisiko-KI-Systeme. Das Generative-AI-Profil des NIST (AI 600‑1) kennt den Begriff nicht.
In der Okta-Studie „Global CISO Insights 2026“ (306 Sicherheitsverantwortliche aus sechs Ländern, darunter Deutschland) gaben 21 Prozent an, den KI-Zugriff über geteilte Zugangsdaten oder Dienstkonten mit weiten Rechten zu regeln. 47 Prozent trauen sich zu, alle Agenten in ihrer Umgebung zu kennen. Zu weite Rechte vergrößern den Schaden auch dann, wenn ein fremder Agent eindringt. Beim Hugging-Face-Vorfall vom Juli 2026 lieferte ein einziger Lesezugriff auf Cluster-Secrets den eingedrungenen Agenten 136 Schlüssel, wie die technische Chronologie von Hugging Face dokumentiert.
Wer ChatGPT, Claude oder Microsoft 365 Copilot mit dem Firmenpostfach verbindet, vergibt Handlungsfreiheit. In kleinen Unternehmen entscheidet darüber kein Sicherheitsteam, sondern ein Klick im Berechtigungsdialog bei der Einrichtung. Auf der BSI-Themenseite zu KI-Agenten steht dazu: „Erlauben Sie einem KI-Agenten nur die Zugriffe, die er für seine spezifische Aufgabe wirklich braucht. Kein Agent sollte etwa gleichzeitig Zugang zu Ihren E-Mails, Ihrem Bankkonto und Ihren persönlichen Dateien haben.“
Typische Stellen im Betrieb:
Wer eigene Tools mit Coding-Agenten baut (Vibe Coding), stellt die Handlungsfreiheit im Programm selbst ein. Claude Code kennt Regeln zum Erlauben, Nachfragen und Verbieten. Ein Verbot hat immer Vorrang vor einer Erlaubnis. Zum Modus bypassPermissions warnt Anthropic in der Claude-Code-Dokumentation zu den Berechtigungsmodi, er biete keinen Schutz gegen Prompt Injection oder unbeabsichtigte Aktionen. OpenAI Codex unterscheidet laut der Codex-Dokumentation zur Sandbox die Stufen read-only, workspace-write und danger-full-access (mehr zur Technik im Eintrag Sandbox). Google Antigravity führt im Turbo-Modus Terminal-Befehle ohne Rückfrage aus. Einem Nutzer löschte der Agent so das komplette Laufwerk D:, wie The Register im Dezember 2025 über Google Antigravity berichtete. Replit und PocketOS zeigen für jedes Eigenbau-Projekt, dass Test- und Live-Datenbank getrennt gehören und Backups dort liegen müssen, wo der Schlüssel des Agenten nicht hinreicht.
Fragen an den Anbieter, bevor ein KI-Assistent Zugriff erhält:
Für kleine Unternehmen und kleinere Verwaltungen erschien im Juli 2026 der KI-Leitfaden des LfDI Mecklenburg-Vorpommern. Darin heißt es: „Ein zu freizügiger Umgang mit Zugriffsrechten oder ein gänzlich freier Zugang zu den Daten der Organisation stellt ein kaum beherrschbares Sicherheitsrisiko dar.“ KI-Agenten müssten aktiv gemanagt werden, und der Mensch solle letztinstanzlich entscheiden.
