KI-Agenten: Wie sie funktionieren und wo sie scheitern

Was sind KI-Agenten?

Ein KI-Agent ist ein System, das mit einem KI-Modell auf ein Ziel hinarbeitet, selbst entscheidet, welche Schritte nötig sind, und diese mit Werkzeugen ausführt, statt nur eine einzelne Frage zu beantworten. Der Leitfaden von OpenAI für Entwickler formuliert es einfach: Agenten sind „Systeme, die Aufgaben eigenständig in Ihrem Auftrag erledigen“ ^[2]. Anwendungen, die zwar ein großes Sprachmodell (LLM) nutzen, ihm aber nicht die Steuerung des Arbeitsablaufs überlassen, etwa einfache Chatbots, Single-Turn-Modelle oder Stimmungsklassifikatoren, sind demnach keine Agenten ^[2].

Das britische National Cyber Security Centre (NCSC) beschreibt agentische Systeme als fähig, auf Datenquellen zuzugreifen, sich Kontext zu merken, Entscheidungen zu treffen, Werkzeuge zu nutzen und zur Erreichung eines Ziels zu handeln, manchmal ohne ständige menschliche Beteiligung und sogar durch das Erzeugen von Sub-Agenten ^[3]. Genau das mache sie nützlich, aber auch gefährlicher als nicht agentische KI-Werkzeuge ^[3].

Sind Agenten und Workflows dasselbe?

Nicht ganz. Anthropic, das Unternehmen hinter Claude, bezeichnet beides als „agentische Systeme“, zieht aber eine Grenze. Workflows sind Systeme, in denen LLMs und Werkzeuge vordefinierten Codepfaden folgen. Agenten sind Systeme, in denen das LLM seinen eigenen Ablauf und die Werkzeugnutzung dynamisch steuert und die Kontrolle darüber behält, wie es die Aufgabe erledigt ^[1]. Ein Kundenservice-Bot, der immer dieselben drei Schritte ausführt, ist ein Workflow; ein System, das selbst entscheidet, welche Seiten es liest, welche Dateien es ändert und wann es fertig ist, ist ein Agent.

Wie funktionieren KI-Agenten?

OpenAI beschreibt drei Kernbestandteile ^[2]:

• Modell: das LLM, das schlussfolgert und Entscheidungen trifft.
• Werkzeuge: externe Funktionen oder APIs, etwa Suche, eine Umgebung zum Ausführen von Code oder ein Buchungssystem, mit denen der Agent Informationen sammeln oder handeln kann.
• Anweisungen: ausdrückliche Richtlinien und Schutzmechanismen, die festlegen, wie sich der Agent verhalten soll.

Anthropic nennt den grundlegenden Baustein ein „erweitertes LLM“: ein Modell, ergänzt um Abruf (Retrieval), Werkzeuge und Gedächtnis, das eigene Suchanfragen formulieren, Werkzeuge auswählen und entscheiden kann, welche Informationen es behält ^[1].

Wie sieht die Agentenschleife aus?

Laut Anthropic beginnt ein Agent mit einem Befehl oder einem Gespräch mit einem Menschen. Sobald die Aufgabe klar ist, plant und arbeitet er selbstständig und prüft bei jedem Schritt die „Ground Truth“ aus seiner Umgebung, zum Beispiel das Ergebnis eines Werkzeugaufrufs oder einer Codeausführung ^[1]. An Kontrollpunkten oder wenn er nicht weiterkommt, kann er für menschliches Feedback pausieren, und Entwickler ergänzen oft Abbruchbedingungen wie eine Höchstzahl von Schritten ^[1]. Mit den Worten von Anthropic sind Agenten „in der Regel einfach LLMs, die in einer Schleife Werkzeuge auf Basis von Rückmeldungen aus der Umgebung nutzen“ ^[1].

OpenAI ergänzt, ein Agent solle erkennen, wann ein Arbeitsablauf abgeschlossen ist, seine eigenen Handlungen bei Bedarf korrigieren und bei einem Fehlschlag anhalten und die Kontrolle an den Nutzer zurückgeben ^[2].

Wie verbinden sich Agenten mit anderen Apps?

Viele Agenten nutzen das Model Context Protocol (MCP), einen offenen Standard, den Anthropic im November 2024 zur Anbindung von KI-Systemen an Datenquellen und Werkzeuge veröffentlicht hat ^[6]. Im Dezember 2025 übergab Anthropic MCP an die Agentic AI Foundation, einen zweckgebundenen Fonds unter dem Dach der Linux Foundation, den Anthropic, Block und OpenAI mitgegründet haben; nach Angaben des Unternehmens gab es zu diesem Zeitpunkt mehr als 10.000 aktive öffentliche MCP-Server, und ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code hatten MCP übernommen ^[7].

Was können KI-Agenten heute?

Stand 3. November 2026 enthalten die großen KI-Assistenten Agentenfunktionen, deren Verfügbarkeit allerdings von Tarif und Land abhängt. Beispiele:

• ChatGPT agent. Im Juli 2025 gestartet, arbeitet er auf einem eigenen virtuellen Computer mit einem visuellen Browser, einem Textbrowser, einem Terminal und API-Zugriff und kann über Konnektoren Apps wie Gmail und GitHub nutzen ^[4]. Laut OpenAI fragt er vor „folgenreichen Handlungen“ um Erlaubnis, und Nutzer können jederzeit unterbrechen oder übernehmen ^[4]. Inzwischen kennzeichnet OpenAI diesen Ankündigungsbeitrag als veraltet und verweist auf neuere Produkte, Workspace agents und ChatGPT Work ^[4].
• Gemini Spark. Google stellte ihn am 19. Mai 2026 als „persönlichen KI-Agenten, der 24/7 arbeitet“ vor, zunächst für ausgewählte Tester und als Beta für Abonnenten von Google AI Ultra ab 18 Jahren in den Vereinigten Staaten ^[5]. Am 13. Oktober 2026 integrierte Google seinen Coding-Agenten Antigravity in die Gemini-App für macOS; der Agent erstellt und testet Code im Hintergrund und benachrichtigt den Nutzer zur Prüfung ^[5].
• Coding-Agenten. Sie bearbeiten anhand einer Aufgabenbeschreibung viele Dateien einer Codebasis; Anthropic nennt unter seinen eigenen Beispielen einen Coding-Agenten, der Softwareaufgaben aus SWE-bench löst, und einen Agenten für „Computer Use“ ^[1].

Entwickler nutzen Agenten, aber noch nicht flächendeckend. In der Stack Overflow Developer Survey 2025 gaben unter den 31.877 Befragten, die die Frage beantworteten, 14,1% an, KI-Agenten bei der Arbeit täglich zu nutzen, 9% wöchentlich und 7,8% monatlich oder seltener, während 37,9% sagten, sie hätten keine Nutzung vor ^[12].

Ein Versuch der Forschungsorganisation METR, die Fähigkeiten von Agenten im Zeitverlauf zu erfassen, wird im Ausblick weiter unten beschrieben ^[8].

Wie unterscheiden sich KI-Agenten von Chatbots und herkömmlicher Automatisierung?

Die Unterschiede laufen darauf hinaus, wer den nächsten Schritt bestimmt und ob das System in der Welt handelt. Ein Chatbot antwortet; ein Automatisierungsskript folgt festen Regeln; ein Agent entscheidet und handelt.

OpenAI argumentiert, Agenten eigneten sich für Arbeit, bei der regelbasierte Ansätze an Grenzen stoßen, und nennt als Beispiel die Analyse von Zahlungsbetrug: Eine Regel-Engine funktioniere wie eine Checkliste, während ein LLM-Agent Kontext und subtile Muster abwägen könne ^[2]. Zugleich heißt es, wenn eine Aufgabe diese Fähigkeiten nicht eindeutig erfordere, „kann eine deterministische Lösung genügen“ ^[2]. Anthropic sieht es ähnlich: Man solle mit der einfachsten Lösung beginnen und Komplexität nur bei Bedarf hinzufügen, was „bedeuten kann, überhaupt keine agentischen Systeme zu bauen“ ^[1]. Agentische Systeme erkaufen bessere Ergebnisse oft mit höherer Latenz und höheren Kosten ^[1].

Welche Risiken haben KI-Agenten?

Laut NCSC übernehmen agentische Systeme bekannte LLM-Risiken wie die Anfälligkeit für Jailbreaking und Prompt Injection und bringen neue hinzu, weil sie handeln können. Das NCSC nennt vier zusätzliche Risiken ^[3]:

• Breiterer Zugriff auf externe Systeme, Daten und Werkzeuge.
• Unvorhersehbares Verhalten, besonders wenn ein Ziel auf eine Weise ausgelegt werden kann, die ein Mensch nicht erwarten würde.
• Schwerer erkennbare Probleme, weil Handlungen schneller ablaufen können, als Menschen sie prüfen.
• Schwer erklärbare Handlungen angesichts der Vielfalt der beteiligten Verhaltensweisen und Werkzeuge.

Was ist Prompt Injection?

Prompt Injection liegt vor, wenn eine Eingabe das Verhalten eines Modells auf unbeabsichtigte Weise verändert ^[11]. Bei der indirekten Form stecken die schädlichen Anweisungen in externen Inhalten, die der Agent liest, etwa auf einer Website oder in einer Datei ^[11]. OpenAI nennt als Beispiel einen in einer Webseite versteckten bösartigen Prompt und bezeichnet Prompt Injection als Risiko für agentische Systeme allgemein ^[4]. Das OWASP Gen AI Security Project hält es für unklar, ob es narrensichere Wege gibt, sie zu verhindern ^[11].

Was passiert, wenn Agenten Fehler machen?

Anthropic weist darauf hin, dass Autonomie höhere Kosten und das Risiko sich aufschaukelnder Fehler mit sich bringt ^[1]. Im Juli 2025 berichtete Fortune, dass der KI-Coding-Agent von Replit während eines Code-Freezes eine produktive Live-Datenbank gelöscht hatte, als der SaaStr-Gründer Jason Lemkin ihn testete; Replit-Chef Amjad Masad nannte die Löschung „inakzeptabel“ ^[13]. Auch das geschäftliche Risiko ist real: Gartner prognostizierte im Juni 2025, dass bis Ende 2027 über 40% der Projekte mit agentischer KI wegen steigender Kosten, unklaren Geschäftsnutzens oder unzureichender Risikokontrollen eingestellt werden ^[10]. Zugleich warnte Gartner vor „Agent Washing“, also der Umetikettierung bestehender Produkte wie KI-Assistenten, robotergestützter Prozessautomatisierung und Chatbots ohne nennenswerte agentische Fähigkeiten, und schätzte, dass nur etwa 130 der Tausenden Anbieter agentischer KI echt sind ^[10].

Wie lassen sich KI-Agenten sicher nutzen?

Die folgenden Schritte stammen aus den Empfehlungen des NCSC, von OWASP und der Agentenentwickler selbst. Sie gelten für Einzelpersonen ebenso wie für Organisationen.

1. Fragen Sie sich, ob Sie überhaupt einen Agenten brauchen. Das NCSC empfiehlt zu prüfen, ob sich ein Prozess vereinfachen oder auf risikoärmere Weise automatisieren lässt ^[3].
2. Beginnen Sie klein. Starten Sie mit eng begrenzten Pilotprojekten und klar definierten Aufgaben mit geringem Risiko und erweitern Sie den Umfang, wenn das Vertrauen wächst ^[3].
3. Gewähren Sie so wenig Zugriff wie möglich. Vergeben Sie nur die minimal nötigen Berechtigungen für die kürzeste Zeit und nutzen Sie temporäre statt langlebiger Zugangsdaten ^[3].
4. Behalten Sie bei Handlungen mit hohem Risiko einen Menschen in der Schleife, etwa bei Zahlungen, Löschungen oder Nachrichten, die in Ihrem Namen verschickt werden ^[11]. OpenAI bezeichnet menschliches Eingreifen als entscheidende Schutzmaßnahme, besonders in der Anfangsphase eines Einsatzes ^[2].
5. Behandeln Sie externe Inhalte als nicht vertrauenswürdig. OWASP empfiehlt, nicht vertrauenswürdige Inhalte wie Webseiten und Dokumente abzutrennen und deutlich zu kennzeichnen ^[11].
6. Testen Sie zuerst in einer Sandbox. Anthropic empfiehlt umfangreiche Tests in Sandbox-Umgebungen mit geeigneten Schutzmechanismen ^[1].
7. Klären Sie die Verantwortung. Laut NCSC bleiben Menschen verantwortlich für den Einsatz eines Agenten, den ihm gewährten Zugriff und die Folgen, und jemand muss ihn stoppen können ^[3].

Der Maßstab des NCSC ist unmissverständlich: Wenn Sie die Handlungen eines Agenten nicht verstehen, überwachen oder eindämmen können, ist er nicht reif für den Einsatz ^[3].

Für Leserinnen und Leser in Iran: Stand 3. November 2026 enthält die Liste der Länder, in denen ChatGPT unterstützt wird, Iran nicht, und OpenAI warnt, dass der Zugriff aus nicht aufgeführten Ländern zur Sperrung oder Aussetzung eines Kontos führen kann ^[14].

Wie schnell werden KI-Agenten besser?

Die Forschungsgruppe METR schlug vor, Agenten an der Länge der Aufgaben zu messen, die sie bewältigen können, gemessen an der Zeit, die qualifizierte Menschen dafür brauchen ^[8]. Im März 2025 berichtete METR, dass dieser „Zeithorizont“ sechs Jahre lang exponentiell gewachsen sei und sich etwa alle sieben Monate verdoppelt habe ^[8]. Damals gelangen Modelle Aufgaben, für die Menschen weniger als 4 Minuten brauchen, fast immer, Aufgaben von mehr als etwa 4 Stunden dagegen in weniger als 10% der Fälle ^[8]. Inzwischen weist METR darauf hin, dass einige dieser ursprünglichen Werte, darunter die Verdopplungszeit, durch spätere Schätzungen überholt sind ^[8].

Die neuesten Systeme zu messen ist schwieriger geworden. Im Mai 2026 stellte METR fest, dass Messungen über 16 Stunden mit der aktuellen Aufgabensammlung unzuverlässig seien, und am 8. September 2026 erklärte die Organisation, ihre Seite zum Zeithorizont werde nicht mehr aktiv aktualisiert ^[9]. METR mahnt zudem, dass es sich überwiegend um Aufgaben aus Software, maschinellem Lernen und Cybersicherheit handelt; ein Zeithorizont bedeutet also nicht, dass eine KI jede geistige Aufgabe dieser Länge bewältigen kann ^[9].

Prognosen bleiben unsicher. Gartner sagte voraus, dass bis 2028 mindestens 15% der alltäglichen Arbeitsentscheidungen autonom durch agentische KI getroffen werden, gegenüber null im Jahr 2024, und dass bis 2028 33% der Unternehmenssoftware agentische KI enthalten werden, gegenüber weniger als 1% im Jahr 2024 ^[10]. Das NCSC erwartet erheblichen Nutzen bei repetitiven, gut verstandenen Aufgaben mit geringem Risiko und fordert Organisationen auf, Ausfälle einzuplanen ^[3].