Michael JohnsonEin KI-Agent kann feststellen, warum eine Netzwerkverbindung ausfällt, und anschließend eine Korrektur vorschlagen, die die Produktionsinfrastruktur betrifft. In einem technischen Artikel vom 13. Oktober beschreibt Microsoft eine mehrschichtige Architektur, in der separate Programmregeln den Zugriff des Agenten einschränken und seine Aktionen überprüfen.
Der Autor des Beitrags, Arun Malik, leitender Ingenieur für Azure Networking bei Microsoft, erläutert das Szenario einer instabilen Verbindung in einem Rechenzentrum. Der Agent erfasst den Zustand der Geräte und Telemetriedaten, gleicht jüngste Änderungen ab, klassifiziert den Ausfall und erstellt eine Zusammenfassung. Anschließend kann das System zur Behebung übergehen – etwa eine BGP-Sitzung auf einem Gerät mit Nutzerdatenverkehr zu deaktivieren – und dabei die in der Architektur vorgesehenen Kontrollmechanismen nutzen.
Microsoft beschreibt vier Grenzen: Identität, Werkzeuge, Änderungen und Zeit. Der Agent handelt im Rahmen der Berechtigungen der Person, die ihn aufgerufen hat, greift über eine kontrollierte Schnittstelle auf Systeme zu, hält vor Änderungen am Zustand von Produktionssystemen zur menschlichen Bestätigung an, und erfolgreiche, wiederholbare Verfahren lassen sich mit der Zeit als deterministische Routinen festschreiben.
Die Berechtigungen des Agenten richten sich nach denen des Nutzers
Die erste Grenze betrifft die Zugangsdaten. Im vorgeschlagenen Modell handelt der Agent im Namen des Nutzers und erhält keine weitergehenden Berechtigungen. Ist ein Dienstkonto erforderlich, sollten dessen Berechtigungen noch enger gefasst sein. So werden die Folgen eines Fehlers oder bösartigen Textes in Protokollen und Werkzeugantworten begrenzt: Das Modell kann keine Berechtigungen erlangen, über die weder der Nutzer noch das eigens eingerichtete Konto verfügt.
Die zweite Grenze betrifft die Werkzeuge. Jeder Vorgang wird über eine typisierte Schnittstelle ausgeführt, separat autorisiert, nimmt strukturierte Eingabedaten entgegen und wird protokolliert. Malik präzisiert, dass nicht die Befehlszeile an sich eingeschränkt wird, sondern der unkontrollierte Zugriff auf eine Shell: Ein eng begrenzter Befehl kann als kontrolliertes Werkzeug bereitgestellt werden, während eine frei nutzbare Shell die Abgrenzung von Berechtigungen und die Überprüfung erschwert.
Für Lese- und Änderungsvorgänge gelten unterschiedliche Regeln
Diagnosen können in der beschriebenen Architektur automatisch ausgeführt werden. Eine Aktion, die den Zustand eines Produktionssystems verändert, wird bis zur Zustimmung eines Menschen angehalten. Laut Autor muss diese Einschränkung durch den Code der Ausführungsumgebung und nicht nur durch eine Anweisung an das Modell gewährleistet werden. Das Modell kann unstrukturierte Geräteausgaben analysieren, doch die Entscheidung über eine Aktion und die Prüfung der Berechtigungen bleiben der Programmlogik vorbehalten.
Der Artikel nennt ein Beispiel mit einer Netzwerkschnittstelle: Das Modell wandelt die Ausgabe eines Befehls in strukturierte Felder um, ein Validator gleicht diese mit einem Schema ab, und eine deterministische Bedingung wählt den nächsten Schritt. Verändert dieser Schritt die Konfiguration, wartet die Ausführung auf eine Genehmigung. So bleibt der Aufgabentext von den Berechtigungen zur Änderung des Netzwerks getrennt.
Die vierte Grenze betrifft die Wiederholbarkeit. Microsoft schlägt vor, geprüfte Diagnosepfade als deterministische Routinen festzuschreiben, die in bekannten Fällen ohne einen erneuten Modellaufruf ausgeführt werden können. Nach Angaben des Unternehmens senkt dies die Kosten für wiederholte Schlussfolgerungen, erhöht die Reproduzierbarkeit und verringert die Angriffs- und Fehlerfläche. Der Beitrag enthält keine quantitativen Ergebnisse eines industriellen Einsatzes.
Was bei der Einführung geprüft werden sollte
Der Beitrag von Microsoft ist eine technische Beschreibung einer Architektur und eines Szenarios, keine unabhängige Bewertung der Zuverlässigkeit eines fertigen Produkts. Für Teams, die eigene Agenten entwickeln, bietet sich folgendes Vorgehen an: Aktionen an die Identität des Nutzers binden, erlaubte Vorgänge auflisten, Aufrufe typisieren und protokollieren, Lese- und Schreibvorgänge trennen und für Änderungen eine ausdrückliche Bestätigung verlangen. Wiederkehrende Fälle lassen sich nach Prüfung der Ausführungsbedingungen und Ergebnisse in reguläre Routinen überführen.
Die zentrale Schlussfolgerung betrifft die Aufgabenteilung: Das Modell hilft dabei, unbekannte Vorfälle zu analysieren und strukturierte Ergebnisse zu erstellen; das Ausführungssystem bestimmt, welche Vorgänge zulässig sind und wann eine Bestätigung erforderlich ist. Genau diese Trennung schlägt Microsoft vor, um von Hinweisen für Bedienpersonal zu einer begrenzten Automatisierung der Netzwerkinfrastruktur überzugehen.