Der Agent sollte nicht die Schlüssel besitzen
Der Pitch ist verführerisch: ein KI-Agent, der den Mempool beobachtet, einen günstigen Swap entdeckt und ausführt, bevor du die Schlagzeile zu Ende gelesen hast. Geschwindigkeit, Hebel, Autonomie. Jede Crypto-KI-Demo endet gleich – der Agent klickt auf „Bestätigen” und der Raum applaudiert.
Niemand zeigt die nächsten fünf Minuten. Das geleerte Wallet. Die Vertragsinteraktion, die der Agent nicht sehen sollte. Der Signierschlüssel, der zu allem Ja sagte.
Das Problem ist nicht Autonomie. Es ist Autonomie ohne Grenzen.
Berechtigungsumfang: Der Agent sollte nicht die Schlüssel besitzen
Ein menschlicher Wallet-Besitzer kann über einen seltsamen Vertragsaufruf nachdenken. Ein Agent kann das nicht. Er sieht einen Prompt, ordnet ihn einem Tool zu und signiert. Das ist der gesamte Denkprozess. OWASPs LLM06 zu übermäßiger Handlungsmacht markiert genau dieses Muster: Wenn die Berechtigungen eines Agenten breiter sind als seine Fähigkeit, Konsequenzen zu bewerten, ist das System von Natur aus fragil.
Die Lösung ist langweilig, aber notwendig. Der Agent besitzt nicht den privaten Schlüssel. Er besitzt eine eingeschränkte Signiersitzung – eine vorautorisierte Menge von Aktionen, Vertragsadressen und Wertebereichen. Die Wallet-Ebene erzwingt den Umfang, nicht der Agent. Wenn der Agent einen Aufruf an einen Vertrag halluziniert, der nicht auf der Erlaubnisliste steht, verweigert die Signierebene einfach. Keine Ausnahmen, kein Überschreiben durch das LLM.
Dies ist keine technische Debatte. Es ist eine architektonische Entscheidung. Entweder lebt die Signiergrenze im Speicher des Agenten, wo sie überschrieben werden kann, oder sie lebt in der Wallet-Ebene, wo sie das nicht kann.
Ausgabenlimits: Eine harte Obergrenze ist kein Vorschlag
Das Erste, was ein Produktionsagent tun sollte, ist, an eine Grenze zu stoßen. Keine weiche Warnung. Ein harter Stopp.
Ein Limit pro Transaktion ist das absolute Minimum. 0,1 ETH, 500 USDC, je nach Anwendungsfall. Das schwierigere Problem sind kumulative Limits – was passiert, wenn der Agent fünfzig kleine Transaktionen ausführt, die jeweils harmlos aussehen, aber in einer Entleerung enden. Die Sitzung des Agenten sollte eine Gesamtausgabenobergrenze haben, die mit jeder signierten Transaktion abnimmt und sich erst zurücksetzt, wenn ein Mensch die Sitzung erneut autorisiert.
Eine Transaktionsgrenze sieht so aus: ein Limit pro Transaktion, eine Obergrenze für die gesamte Sitzung und eine Erlaubnisliste der Verträge, die der Agent überhaupt berühren darf. Alles außerhalb dieser Grenzen erfordert eine menschliche Gegensignatur. Der Agent verhandelt nicht. Er wartet.
Simulationsschichten: Trockentest vor der Ausstrahlung
Eine Transaktionsgrenze ist nur nützlich, wenn das System weiß, was die Transaktion tut, bevor sie signiert. Das bedeutet einen Simulationsschritt – einen Trockentest gegen einen geforkten Chain-Zustand – der das Ergebnis bewertet, bevor der Agent sich festlegt.
Die Simulation prüft: Überträgt dieser Vertragsaufruf Wert an eine nicht genehmigte Adresse? Genehmigt er eine unbegrenzte Freigabe? Interagiert er mit einem Vertrag, der vor drei Stunden deployed wurde? Wenn eine Prüfung fehlschlägt, wird die Transaktion verworfen und der Fehler protokolliert. Der Agent sieht nie den Signier-Prompt.
Dies ist kein Performance-Problem. Es ist ein Sicherheitstor. Die Simulation läuft in Millisekunden. Die Kosten, sie zu überspringen, ist das gesamte Wallet.
Prüfprotokolle: Unveränderliche Aufzeichnungen für die Nachkontrolle
Jede signierte Transaktion, jede fehlgeschlagene Simulation, jede Berechtigungsverweigerung – geschrieben in ein unveränderliches Protokoll, das der Agent nicht ändern kann. Dies ist nicht für den Agenten. Es ist für den Menschen, der mit einem geleerten Wallet aufwacht und genau wissen muss, wo die Grenze versagt hat.
Das Protokoll zeichnet auf: den Prompt, der die Aktion ausgelöst hat, den Tool-Aufruf, das Simulationsergebnis, die Signierentscheidung und den On-Chain-Hash. Wenn der Agent kompromittiert wurde, zeigt das Protokoll den Moment der Kompromittierung. Wenn die Grenze gehalten hat, zeigt das Protokoll, was sie gestoppt hat.
Das Grenzengerüst
Ein produktionsreifer Crypto-KI-Agent benötigt vier Schichten, in dieser Reihenfolge:
- Berechtigungsumfang – eine Signiersitzung, die das Wallet erzwingt, nicht der Agent
- Ausgabenlimits – harte Einzeltransaktions- und kumulative Obergrenzen, die eine menschliche Reautorisierung erfordern
- Simulation – ein Trockentest gegen geforkten Zustand vor jedem Signier-Prompt
- Prüfprotokoll – eine unveränderliche Aufzeichnung jeder Aktion und Entscheidung
Jeder Agent, der ohne diese vier Schichten ausgeliefert wird, ist nicht autonom. Es ist eine geladene Waffe mit einer Prompt-Schnittstelle.
Der Markt wird das irgendwann herausfinden. Die Frage ist, ob die erste Produktionspanne die Lektion lehrt oder das erste Produktionsdesign.
