Wenn Agenten miteinander sprechen, muss jemand verantwortlich sein
Ein Kunde fragte, ob sein Agent direkt mit dem Agenten seines Lieferanten sprechen kann. Technisch ja — und die interessante Frage ist nicht das Protokoll. Sie lautet, wer antwortet, wenn der Auftrag, der aus diesem Austausch entsteht, falsch ist.
Die Anfrage
Zwei Unternehmen, eine wiederkehrende Beschaffungsbeziehung und eine wirklich vernünftige Idee: Statt dass ein Mensch dem Lieferanten wegen Lieferzeiten schreibt und dann bestellt, soll auf jeder Seite ein Agent den Austausch übernehmen.
Die Menge rechtfertigt es, die Aufgabe ist begrenzt, und die Parteien vertrauen einander kaufmännisch. Unsere Antwort war ja, unter Bedingungen — und die Bedingungen sind der ganze Inhalt dieses Beitrags.
Der neue Fehlermodus
In einer normalen Integration hat ein falsches Ergebnis eine auffindbare Ursache: ein falsch gelesenes Feld, eine falsche Regel, eine Versionsabweichung. Zwischen zwei Agenten kann das falsche Ergebnis aus einem Austausch entstehen, in dem sich beide Seiten plausibel verhalten haben und keine zeigen kann, warum.
Unser Kunde sieht Prompt, Modell und inneren Zustand des Lieferanten nicht, und der Lieferant sieht seine nicht. Jeder hat ein Protokoll des Gesagten — eine Aufzeichnung des Gesprächs, keine Aufzeichnung der Überlegung. In dieser Lücke verschwindet die Verantwortlichkeit, wenn niemand sie einplant.
Die Forschung zum sicheren Vorgehen
Habler und Kollegen veröffentlichten im April 2025 eine Arbeit zum Bau einer sicheren agentischen Anwendung über ein Agent-zu-Agent-Protokoll, die Authentifizierung, Autorisierung und die Vertrauensgrenze zwischen den Parteien behandelt statt allein das Nachrichtenformat.
Diese Gewichtung entspricht unserer. Die Protokollfrage ist die leichte; die interessante Entwurfsarbeit liegt an der Grenze, wo zwei Systeme mit verschiedenen Eignern, verschiedener Risikoneigung und verschiedenen Prüfern eine gemeinsame Aufzeichnung des Vereinbarten erzeugen müssen.
| Was die Grenze überquert | Was nicht |
|---|---|
| Eine strukturierte Anfrage mit Kennung | Freies Gespräch |
| Eine strukturierte Antwort mit Referenz | Überlegungen oder innerer Zustand |
| Ein signierter Nachweis des Vereinbarten | Alles Unprotokollierte |
| Eskalation an eine benannte Person | Autonome Bindung über einem Limit |
Was wir stattdessen gebaut haben
Kein Gespräch. Jede Seite stellt wenige Operationen mit strukturierten Anfragen und Antworten bereit, und die Agenten nutzen diese Operationen. Der Agent entscheidet, was und wann er fragt; über die Leitung geht eine Anfrage nach der Lieferzeit zu einer Teilenummer, kein Absatz natürlicher Sprache.
Damit ist der Austausch konstruktionsbedingt prüfbar. Jede Nachricht ist ein Datensatz mit Feldern, beide Seiten halten denselben Datensatz, und ein Streit über das Vereinbarte wird durch den Vergleich zweier Protokolle entschieden statt durch die Auslegung zweier Gesprächsmitschriften.
Das Limit, das es akzeptabel machte
Ein Agent darf sich unterhalb einer Wertgrenze und innerhalb vorab vereinbarter Teile binden. Darüber erzeugt er einen Vorschlag, den eine benannte Person auf der Käuferseite bestätigt. Das ist keine technische, sondern eine kaufmännische Beschränkung, und sie wurde zwischen den beiden Unternehmen vereinbart, bevor wir irgendetwas gebaut haben.
Die Grenze leistet die meiste Arbeit. Der autonome Weg trägt die Routinemenge, in der ein Fehler billig und behebbar ist, und die Ausnahmefälle — dort, wo ein Agent, der die Lage falsch liest, teuer würde — betreffen weiterhin jemanden, den man nach seiner Absicht fragen kann.
Was beide Seiten festhalten
Drei Dinge, und beide Seiten halten alle drei fest: was angefragt wurde, was geantwortet wurde und welche Version des jeweiligen Systems es erzeugt hat. Das Letzte wird üblicherweise vergessen und zählt sechs Monate später, wenn ein Streit ein Verhalten betrifft, das sich inzwischen geändert hat.
Wir verlangen außerdem, dass jede Seite einen vergangenen Austausch gegen ihr heutiges System wiederholen und sehen kann, ob die Antwort abweichen würde. Das ist am Anfang billig zu bauen und praktisch unmöglich nachzurüsten — deshalb steht es in der ersten Fassung und nicht auf einer Roadmap.
Wo wir abgelehnt haben
Bei dem Vorschlag, Agenten über Preise verhandeln zu lassen. Beide Unternehmen waren begeistert, und es ist der klarste Fall, den wir gesehen haben, von einer Aufgabe, die technisch machbar und organisatorisch unklug ist: Das Ergebnis ist von Natur aus strittig, die Überlegung unsichtbar, und die Aufzeichnung zeigt, was vereinbart wurde, ohne zu zeigen, warum jemand zustimmte.
Wir haben eine engere Fassung vorgeschlagen, in der Agenten Mengen und Termine austauschen und ein Mensch den daraus folgenden Preis freigibt. Das ist weniger beeindruckend und belässt die Entscheidung bei jemandem, der sie erklären kann — die Eigenschaft, auf die es ankommt, wenn die Beziehung belastet ist, und nicht, wenn die Vorführung gut läuft.
Was wir nicht behaupten
Wir behaupten nicht, Agent-zu-Agent-Austausch sei unsicher. Unserer läuft seit Monaten in der Routinebeschaffung und ist unauffällig, was das beabsichtigte Ergebnis ist. Die Behauptung lautet, dass die Sicherheit aus begrenzten Operationen, Wertgrenzen und gemeinsamen Aufzeichnungen kommt, nicht aus dem Protokoll.
Wir behaupten auch nicht, unsere Anordnung skaliere auf viele Parteien. Sie beruht darauf, dass zwei Unternehmen bilateral Bedingungen vereinbaren, und ein Marktplatz mit Dutzenden Gegenparteien bräuchte etwas anderes, das wir nicht gebaut haben und zu dem wir keine Meinung vortäuschen.