Welche Aufgaben dürfen KI-Agenten ausführen?

Machen Sie eine Funktion Ihres Unternehmens für KI-Assistenten aufrufbar, wenn eine konkrete Kundenaufgabe davon profitiert und Ihre Systeme die Grenzen durchsetzen können. Beginnen Sie mit der Aufgabe, den benötigten Daten und der verantwortlichen Person. Für öffentliche FAQs reicht vielleicht eine verständlichere Seite. Der private Auftragsstatus eines Kunden braucht kontrollierten Zugriff. Eine Buchung braucht einen klaren Freigabe- und Abschlussprozess.

„Für Agenten aufrufbar“ bedeutet, dass ein Assistent eine von Ihnen bereitgestellte Funktion nutzen kann, etwa die Verfügbarkeit prüfen. Es bedeutet keinen allgemeinen Zugriff auf Ihre Systeme.

Die erste Aufgabe und ihre Grenzen festlegen

Nehmen wir einen fiktiven Dienstleister, dessen Kunden häufig nach dem Bearbeitungsstand fragen. Ein erstes sinnvolles Werkzeug könnte den Status eines einzelnen Auftrags zurückgeben. Seine Regeln sollten festlegen:

• Der Aufrufer muss diesen Auftrag einsehen dürfen. Die Auftragsnummer zu kennen genügt nicht.
• Die Antwort enthält den für Kunden freigegebenen Status, dessen letzte Aktualisierung und einen Kontakt zum Support. Interne Notizen und Daten anderer Kunden bleiben ausgeschlossen.
• Das Werkzeug kann den Auftrag weder bearbeiten noch eine Erstattung auslösen oder ein Fertigstellungsdatum versprechen, das im Quellsystem fehlt.
• Bei nicht verfügbarer Quelle oder verweigertem Zugriff meldet es diesen Zustand, ohne einen Status zu erfinden.

Vergleichen Sie das mit dem vorhandenen Kundenportal, bevor Sie eine weitere Schnittstelle bauen. Löst das Portal die Aufgabe bereits, klären Sie, warum Kunden eine Verbindung zum Assistenten benötigen und wie Sie diese betreiben werden.

Lassen Sie Zahlungen, Erstattungen, zerstörerische Änderungen und Massenexporte personenbezogener Daten in der ersten Version außerhalb des aufrufbaren Umfangs. Jede Erweiterung braucht eine eigene Freigabe und Prüfung. Eine Verhaltensanweisung an das Modell ist keine Zugriffskontrolle.

Auch Lesezugriffe brauchen Schutz

Ein Lesezugriff kann ein privates Dokument offenlegen, den Auftrag eines anderen Kunden zeigen oder einen alten Preis als aktuell ausgeben. Das kann Kunden schaden, obwohl kein Datenbankeintrag geändert wird.

Leiten Sie den Zugriff aus geprüfter Identität und serverseitigen Berechtigungen ab. Eine vom Assistenten übermittelte account_id beweist keine Kontozugehörigkeit. Auch innerhalb einer Organisation darf nicht jeder Beschäftigte jedes Dokument lesen.

Was MCP liefert und was Sie umsetzen müssen

Das Model Context Protocol (MCP) ist eine Möglichkeit, Assistenten Werkzeuge bereitzustellen. Die folgenden Verweise beziehen sich auf die Revision vom 28. Juli 2026, geprüft am 9. Oktober 2026. Klären Sie, welche Versionen Ihr konkreter Client und Server unterstützen.

Die Autorisierungsspezifikation behandelt HTTP-Autorisierung, einschließlich Tokenprüfung und Berechtigungsumfängen. Sie transportiert also nicht bloß einen Login. Ihre Implementierung muss die erteilten Rechte dennoch den erlaubten Vorgängen und Datensätzen zuordnen. Ein gültiges Token für einen anderen Dienst darf nicht akzeptiert werden.

Die Werkzeugspezifikation verlangt serverseitige Eingabevalidierung, Zugriffskontrollen, Aufruflimits und Bereinigung der Ausgaben. Sie empfiehlt menschliche Aufsicht und Bestätigungsabfragen, schreibt aber kein einheitliches Interaktionsdesign vor. Eine erfolgreiche MCP-Verbindung beweist nicht, dass diese Kontrollen in Ihrer Anwendung funktionieren.

Die Sicherheitshinweise warnen außerdem davor, den Besitz einer Zustandskennung als Authentifizierung zu behandeln. Eine Workflow- oder Warenkorbreferenz benennt ein zu prüfendes Objekt; sie belegt nicht, wer es nutzen darf.

Freigaben konkret und durchsetzbar machen

Zeigen Sie dem Kunden bei einer vorgeschlagenen Buchung vor der Bestätigung Leistung, Zeitzone, Datum, Preis und Stornobedingungen. Speichern Sie, was freigegeben wurde. Ändert sich ein wesentlicher Punkt, holen Sie eine neue Freigabe ein. Ein vom Modell erzeugtes „genehmigt“-Feld belegt keine Zustimmung des Kunden.

Trennen Sie das Vorbereiten vom verbindlichen Ausführen. Erzeugt bereits das Speichern eines Entwurfs einen Datensatz oder eine Benachrichtigung, ist das ein Schreibzugriff und gehört in das Berechtigungskonzept. Der Server muss eine verbindliche Aktion ohne die erforderliche Freigabe für genau diese Bedingungen ablehnen.

Unser Angebot für agentenfähige Schnittstellen beginnt mit Lesewerkzeugen. Aktionen, die Verpflichtungen schaffen, kommen zuletzt hinzu; Unumkehrbares bestätigt der Kunde. Für unseren Pilotaufbau gelten eigene menschliche Freigaben bei Systemänderungen, Kundennachrichten und Geldbewegungen. Ein allgemeines Architekturbeispiel erweitert diesen vertraglichen Umfang nicht.

Ablehnung und Wiederherstellung vor dem Start testen

Nutzen Sie Testkonten und Testdatensätze. Bewahren Sie erwartetes und beobachtetes Ergebnis zusammen auf, damit ein anderer Entwickler den Test wiederholen kann.

Nutzen Sie eng begrenzte Rechte, ablaufende Zugangsdaten und getesteten Widerruf. Trennen Sie Zugangsdaten, wenn die Sicherheitsgrenze es verlangt; ein eigener Login pro Werkzeug ist keine allgemeine Pflicht. Setzen Sie Zeitlimits, Wiederholungsgrenzen und Kontingente pro Aufrufer. Für Schreibvorgänge brauchen Sie eine stabile Vorgangskennung und serverseitige Behandlung von Duplikaten, statt sich auf das Gedächtnis des Modells zu verlassen.

Protokollieren Sie Aufrufer, Vorgang, Berechtigungsentscheidung, relevante Freigabereferenz und Ergebnis. Entfernen Sie Geheimnisse und unnötige personenbezogene Daten; legen Sie Lesezugriff und Aufbewahrungsdauer fest. Benennen Sie eine Person, die ein Werkzeug zurückziehen und einen unklaren Ausgang abgleichen kann. Der Leitfaden für beschaffungsfähige Piloten zeigt, wie diese Zuständigkeiten prüfbar werden.

Was unser öffentliches Beispiel belegt

Am 9. Oktober 2026 haben wir tools/list unter mcp.strataigize.com, die öffentlichen Autorisierungsmetadaten und auth.md geprüft. Die Liste nannte sieben öffentliche Lesewerkzeuge und das authentifizierte Werkzeug request_growth_audit für eine kostenlose Wachstumsberatung. Trotz des alten Namens wird damit eine Beratung angefragt, nicht das kostenpflichtige AI Opportunity Audit.

Diese Anfrage ist ein Schreibvorgang. Laut Dokumentation muss eine bestimmte Person darum gebeten haben; eingehende Anfragen werden von einem Menschen geprüft, und es wird nichts automatisch gebucht. Die Dokumentation unterscheidet ausdrücklich die offene Registrierung eines Softwareclients vom Identitätsnachweis einer Person.

Diese Prüfung bestätigt die veröffentlichte Schnittstelle und ihre beschriebenen Regeln. Wir haben dabei weder eine Anfrage eingereicht noch die Sicherheit getestet. Die Werkzeugliste belegt keine externe Nutzung oder Verkäufe.

Halten Sie vor der Beauftragung erste Kundenaufgabe, erlaubte Daten, verbotene Aktionen, Freigabepunkt, Fehlertests, Betreiber und Rücknahmeverfahren fest. Messen Sie korrekt abgeschlossene Kundenaufgaben zusammen mit Ablehnungen, Ausnahmen und Prüfaufwand. Die rohe Zahl der Aufrufe enthält Wiederholungen und Fehler und zählt deshalb keine Erfolge. KI-Beratung kann diesen Umfang klären, bevor Sie eine Integration beauftragen.