Wie Sie einem KI-Agenten sicher Ihren Computer nutzen lassen

Egal, welchen Bereich Sie wählen, behandeln Sie ihn wie einen frischen Schreibtisch, nicht Ihren gewohnten. Melden Sie sich nur bei dem einen oder den zwei Konten an, die die Aufgabe tatsächlich braucht, und lassen Sie alles andere abgemeldet. Wenn die Aufgabe darin besteht, einen einzigen Termin auf einer Buchungsseite zu vereinbaren, braucht nur diese Seite eine Sitzung; Ihre E-Mail, Ihre Bank und Ihre Arbeitstools gehören nicht in denselben Bereich, nur weil es praktisch wäre, sie zur Hand zu haben.

Halten Sie einen Passwort-Manager und jeglichen Bankzugang komplett aus diesem Bereich heraus, nicht nur abgemeldet, sondern dort erst gar nicht gespeichert. Anthropics Sicherheitshinweise zu Claudes Computer Use sind hier eindeutig und warnen davor, dem Modell Zugriff auf sensible Daten wie Kontoanmeldedaten zu geben, gerade um Informationsdiebstahl zu verhindern. Dieselbe Logik gilt unabhängig davon, welchen Anbieter-Agenten Sie nutzen: Ein Agent kann keine Zugangsdaten durchsickern lassen oder missbrauchen, die nie in seine Reichweite gelangt sind.

Das gilt umso mehr, sobald der Agent überhaupt irgendwo angemeldet sein muss. Anthropics eigene Anleitung zum Prompting weist darauf hin, dass die Nutzung von Computer Use innerhalb von Anwendungen, die eine Anmeldung erfordern, das Risiko eines schlechten Ausgangs durch einen Prompt-Injection-Angriff erhöht, und empfiehlt zu prüfen, wie sich dieses Risiko verringern lässt, bevor man irgendwelche Anmeldedaten übergibt. Ein eingeschränktes Wegwerf-Konto für genau den einen Dienst, den Sie tatsächlich brauchen, ist ein kleines Ärgernis im Vergleich zu diesem Risiko.

Ein Computer-Use-Agent liest nicht nur Ihre Anweisungen. Er liest auch alles, was auf den Seiten, Dokumenten und E-Mails steht, die er dabei öffnet, und manche dieser Inhalte können eigene Anweisungen enthalten, die sich an den Agenten richten und nicht an Sie. Das nennt man Prompt Injection: ein Satz, der in einer Webseite oder einer E-Mail versteckt ist und versucht, den Agenten dazu umzuleiten, etwas zu tun, das Sie nie verlangt haben, etwa eine andere Seite zu besuchen, Informationen weiterzugeben oder eine unerwünschte Aktion zu wiederholen.

Anthropics Dokumentation zu Claudes Computer Use sagt das unmissverständlich: Unter bestimmten Umständen folgt Claude Anweisungen, die in Inhalten gefunden werden, selbst wenn sie den eigenen Anweisungen des Nutzers widersprechen, mit dem Beispiel, dass Anweisungen auf Webseiten oder in Bildern das überschreiben, was Sie verlangt haben. Anthropic fügt hinzu, dass automatische Klassifikatoren laufen, die das von den Computer-Use-Tools Zurückgegebene, etwa Screenshots, auf mögliche Injection-Versuche hin prüfen, macht aber ebenso klar, dass die Vorsichtsmaßnahme, den Agenten von sensiblen Daten und Aktionen zu isolieren, auch dann wichtig bleibt, wenn diese Klassifikatoren laufen.

Dieser letzte Punkt ist der, den man sich bei jeder Anbieter-Version dieser Funktion merken sollte, nicht nur bei Claudes. Eine automatisierte Sicherheitsprüfung ist eine zweite Schutzschicht, kein Ersatz für die erste: Halten Sie den Agenten aus Ihren sensiblen Konten heraus, damit selbst ein erfolgreicher Injection-Versuch, einmal drinnen, kaum etwas anrichten kann.

Behandeln Sie das Ende einer Computer-Use-Sitzung so, wie Sie den ersten Arbeitstag einer neuen Mitarbeiterin oder eines neuen Mitarbeiters prüfen würden: Schauen Sie sich an, was tatsächlich passiert ist, nicht nur, ob das Endergebnis richtig aussieht. Lassen Sie den Agenten jede besuchte Seite, jedes berührte Konto und jedes Feld, in das er etwas eingetippt hat, in der Reihenfolge aufzählen, und vergleichen Sie das mit dem, was die Aufgabe Ihrer Erwartung nach erfordert hätte.

Anthropics Dokumentation zu Claude weist darauf hin, dass mehrere Aktionen zu einem einzigen 'Batch' zusammengefasst werden können, der eine mehrschrittige Abfolge in einem Zug abschließt, und rät ausdrücklich: Wenn Ihre Anwendung einen Menschen bitten soll, folgenreiche Aktionen zu bestätigen, muss diese Prüfung vor jedem Schritt im Batch erfolgen, nicht nur einmal am Ende. Die praktische Version dieses Rats für alle, die diese Tools direkt nutzen, ist dieselbe: Warten Sie nicht, bis eine lange Abfolge vollständig abgeschlossen ist, um erst dann aufmerksam zu werden.

Eine schnelle Überprüfungsgewohnheit erfasst auch die gewöhnlichen Fehler, die nichts mit Sicherheit zu tun haben: ein Feld, in das in die falsche Box eingetippt wurde, ein übersprungener Schritt, eine Seite, die nicht so geladen hat, wie der Agent es angenommen hat. Nachzulesen, was passiert ist, kostet wenig. Einen Fehler erst nachträglich zu entdecken, wenn eine Nachricht schon gesendet oder ein Formular schon abgeschickt wurde, kostet viel.

Beginnen Sie mit dem kleinsten Bereich, der die Aufgabe plausibel erledigen kann. Eine einzelne schnelle Recherche auf einer öffentlichen Website braucht keine virtuelle Maschine; ein frisches Browser-Profil reicht völlig aus. Heben Sie sich die aufwendigeren Optionen, ein eigenes Betriebssystem-Konto oder eine vollständige virtuelle Maschine, für Aufgaben auf, die Sie wiederholen werden, die mehr als eine Seite berühren, oder für alles, womit Sie sich noch nicht ganz wohlfühlen.

Formulieren Sie die Aufgabe eng, bevor Sie sie übergeben. 'Finde die drei günstigsten Flüge auf der Website dieser einen Fluggesellschaft und liste sie mir auf' ist eine Aufgabe, bei der ein Agent fast nichts riskiert. 'Buch, welcher Flug am besten aussieht' übergibt eine Entscheidung und eine Zahlung in einem einzigen Schritt, und genau das ist die Art von Aufgabe, die hinter eine Zustimmungsregel gehört, nicht in die Anweisung selbst.

Beobachten Sie die ersten Sitzungen aufmerksam, selbst in einem isolierten Bereich. Isolierung begrenzt, wie viel Schaden ein Fehler anrichten kann; sie sagt Ihnen nicht, ob der Agent die Aufgabe gut erledigt. Sobald Sie gesehen haben, dass er einige Durchläufe so erledigt, wie Sie es erwartet haben, können Sie Ihre Aufmerksamkeit für diese konkrete, eng gefasste Aufgabe lockern, aber nicht für eine neue, die Sie noch nicht ausprobiert haben.

Gehen Sie schließlich davon aus, dass der Aufbau, den Sie heute nutzen, später noch einmal überprüft werden muss. Anbieter ändern, was ihre Agenten können, welche Einstellungen existieren und welche Voreinstellungen gelten, oft schon Monate nach dem Start einer Funktion. Überprüfen Sie Ihren eigenen Aufbau und die aktuelle Dokumentation des jeweiligen Anbieters, bevor Sie sich auf einen Agenten für etwas Größeres verlassen als das, was Sie zuerst getestet haben.

Ein leeres Browser-Profil, ein separates Konto oder eine virtuelle Maschine begrenzen alle, wie weit ein Fehler Schaden anrichten kann. Keines davon macht den Agenten urteilsfähiger, und keines davon verhindert, dass eine überzeugende Betrugsseite eine Stunde einer isolierten Sitzung verschwendet, selbst wenn sie dort nichts Wichtiges erreichen kann. Isolierung dreht sich darum, was der Agent berühren kann, nicht darum, ob er eine Situation richtig einschätzt.

Sie ersetzt auch nicht, sich das Ergebnis tatsächlich anzusehen. Ein Agent, der in einer virtuellen Maschine läuft, kann trotzdem ein Formular mit falschen Angaben ausfüllen, eine verwirrende Seite falsch lesen oder eine Aufgabe auf eine Weise erledigen, die technisch korrekt ist, aber nicht das, was Sie wollten. Die weiter oben in diesem Leitfaden beschriebene Überprüfungsgewohnheit ist wichtig, egal ob der Agent im am stärksten abgeschotteten Aufbau läuft, der verfügbar ist, oder im am wenigsten abgeschotteten.

Nichts davon ist schließlich eine einmalige Einrichtung, die Sie abschließen und dann vergessen können. Anthropic, OpenAI, Microsoft und Google entwickeln ihre Computer-Use- und agentischen Browsing-Funktionen jeweils noch aktiv weiter, was bedeutet, dass sich die konkreten Einstellungen, Voreinstellungen und Schutzmaßnahmen, die Ihnen zur Verfügung stehen, von einer Sitzung zur nächsten ändern können. Behandeln Sie diesen Leitfaden als die Gewohnheiten, die über diesen Wandel hinweg nützlich bleiben, und prüfen Sie die aktuelle Dokumentation des jeweiligen Anbieters für die genauen Funktionsnamen und Einstellungen, die gerade vor Ihnen liegen.