Entwurfsprinzipien
Acht Thesen leiten jede Abwägung in Agent NAS; sieben Wetten sagen, worauf es setzt und was passiert, wenn die Wette falsch ist. Ein Entwurf, der jahrelang halten soll, sollte sagen, wann er falsch liegen wird.
1. Die Einheit des Zugriffs ist die Ausführung, nicht das Konto
Heute gibt man einem Agenten üblicherweise ein langlebiges Token oder ein Konto eines Menschen: Das Token im Vorfall vom April 2026 war „zum Verwalten von Domains gemacht, konnte aber alles“. Eine Ausführung hat einen Anfang, ein Ende, einen Zweck und einen Verantwortlichen und ist damit eine natürliche Einheit für Autorisierung und Zurechenbarkeit.
Schließt aus: gemeinsame Schlüssel, langlebige Tokens und geliehene Konten von Menschen.
2. Rückgängigmachen ist billiger als Verhindern
Verhinderung (Freigaben, Klassifikatoren, Regeln in Prompts) wird immer Lücken haben: Klassifikatoren übersehen etwas, Menschen sind schlechter, und Modelle brechen Grundsätze, die in ihren Prompts stehen. Fehler umkehrbar zu machen (Branches, Soft Delete, Snapshots) ist viel einfacher, als jede Aktion richtig zu machen, und leichter zu überprüfen. Eine Folgerung: Der Wiederherstellungspfad muss außerhalb des Schadensradius dessen liegen, was er schützt; deshalb liegen Snapshots beim Eigentümer und außerhalb der Macht jeder Lease.
Schließt aus: „eine Zeile im Prompt, die um Bestätigung bittet“ als Schutzmaßnahme zu behandeln.
3. Befugnis wird pro Aufgabe geliehen, nicht pro Identität gewährt
Eine Ausführung erhält eine enge, befristete Lease mit Budgets; langlebige Schlüssel bleiben beim Orchestrator oder beim Eigentümer, und das Modell sieht sie nie.
Schließt aus: langlebige, weit gefasste, dauerhafte Berechtigungen.
4. Notizen sind die Wahrheit, Intelligenz ist Cache
Gedächtnis sollten Dateien sein, die Menschen lesen und bearbeiten können; Indizes, Embeddings und Zusammenfassungen sind verwerfbare, wiederaufbaubare Ableitungen. So kann sich der Retrieval-Algorithmus ändern, ohne Gedächtnis zu verlieren, und Vergiftung und Löschen werden beherrschbar.
Schließt aus: undurchsichtige Gedächtnisspeicher, die sich nicht einsehen oder mitnehmen lassen.
5. Provenienz ist das Rückgrat
Jede Erinnerung, jede Ableitung und jeder Merge kann beantworten: „Woher kommt das, und was hat es beeinflusst?“. Provenienz ist die Grundlage des Prüfpfads und ebenso der Kontrolle von Vergiftung, der Vertrauenslabels und des Vergessens.
Schließt aus: Gedächtnis ohne Provenienz.
6. Richtlinien sind deterministisch, und Modelle können sie nur verschärfen
Autorisierungsentscheidungen trifft Code, nicht die „Meinung“ eines Modells. Ein Klassifikator oder ein LLM darf vorschlagen, dass „dieser Schritt eine Freigabe braucht“, aber nie freigeben.
Schließt aus: ein Modell selbst entscheiden zu lassen, ob etwas durchgeht.
7. Speicher langweilig halten, Innovation in den Vertrag legen
Keine neue Engine; zuerst Dateien, denn die Schnittstelle, die Modelle am besten kennen, ist die Datei; Protokolle werden sich ändern, die sechs Kernbegriffe nicht.
Schließt aus: im Namen der KI eine neue Speicher-Engine zu erfinden.
8. Knapp sind Tokens und menschliche Aufmerksamkeit
Lesen bekommt ein Budget; Freigaben sind selten und konkret und sitzen dort, wo ein Mensch wirklich urteilen kann: bei Plänen und Merges, nicht bei jeder Aktion.
Schließt aus: standardmäßig ganze Dateien zurückzugeben; ein Pop-up für jede Aktion.
Sieben Wetten und was sie widerlegen würde
Ein Entwurf, der jahrelang halten soll, sollte sagen, worauf er setzt und wann er falsch läge.
| Wette | Grundlage | Falls falsch |
|---|---|---|
| B1 Agenten werden Dateisystem und Git weiter als wichtigstes Arbeitsmedium nutzen | Mehrere gängige Laufzeitumgebungen sind bereits auf Dateien umgestiegen. | Wechseln sie zu eigenen „Gedächtnis-APIs“, wird Agent Home zu einem Exportformat; die anderen Konzepte hängen nicht von Dateien ab und bleiben bestehen. |
| B2 Die „Ausführung“ bleibt die natürliche Einheit für Autorisierung und Zurechenbarkeit | Orchestratoren starten in der Regel pro Aufgabe oder pro Sitzung Sandboxes. | Kommen langlebige autonome Prozesse auf, werden Leases zu fortlaufenden Verlängerungen mit Budgets, und das Konzept bleibt. |
| B3 Prompt Injection wird auf absehbare Zeit auf Modellebene nicht beseitigt | Metas eigene Formulierung; Fehlerquoten von Klassifikatoren; mehrere Angriffsstudien. | Wird sie beseitigt, werden Trust Labels zu einer billigen zusätzlichen Verteidigungsschicht. |
| B4 Menschliche Aufmerksamkeit bleibt knapp | Von Anthropic veröffentlichte Daten. | Wird Vollautomatisierung zuverlässig genug, weicht ein Human Gate einer vorab autorisierenden Richtlinie, und der Prüfpfad bleibt. |
| B5 Die Speicherschicht ist der richtige Ort, um Provenienz und Kontamination durchzusetzen | Die Forschung zur Gedächtnissicherheit betont Provenienz beim Schreiben; OpenClaw hat dasselbe innerhalb einer Laufzeitumgebung getan. | Wenn jede Laufzeitumgebung das selbst gut macht, muss das NAS nur noch Labels speichern, und seine Rolle wird dünner. |
| B6 Gedächtnis, das über Laufzeitumgebungen und Agenten hinweg geteilt wird, wird zu einem echten Bedarf | Zusammenarbeit mehrerer Agenten; die Kosten eines Framework-Wechsels. | Bleibt Gedächtnis ein privates Merkmal jedes Frameworks, liegt der Wert von Agent Memory vor allem in der Portabilität für Einzelne und kleine Teams. |
| B7 Protokolle werden sich ändern, aber „Dateien plus Tools“ als zwei Anschlüsse bleiben stabil | Versionswechsel bei MCP; A2A 1.0. | Die Adapter austauschen; deshalb isolieren Adapter die Protokolle. |
Was voraussichtlich stabil bleibt und was sich ändern wird
| Voraussichtlich stabil | Voraussichtlich veränderlich |
|---|---|
| Die sechs Kernbegriffe | Konkrete Protokolle und Transporte |
| Die Verzeichniskonvention eines Home | Embedding-Modelle und Retrieval-Algorithmen |
| Die vier Versprechen | Token-Formate |
| Die Garantie „Export heißt Ausstieg“ | Agenten-Frameworks und Mensch-Computer-Schnittstellen |
Diese Seite zitieren
Stabile Adressen und ein Zitiervorschlag für Menschen, Suchmaschinen und Agenten.
- Kanonische URL
- https://agentnas.com/de/principles/
- Markdown-Version
- https://agentnas.com/de/principles/index.md
- Zitiervorschlag
- Agent NAS project. “Entwurfsprinzipien.” agentnas.com, 2026-11-11. https://agentnas.com/de/principles/