Wenn der Agent eine eigene E-Mail-Adresse bekommt
Google gibt Agenten eigene Konten, und Microsoft will, dass Wächter sie beobachten. Agenten werden zu Kollegen mit Namen, Rechten und Protokoll.
Zwei Jahre lang hat sich ein Agent bei der Arbeit meist die Identität eines anderen geliehen. Er meldete sich als die Person an, die ihn gestartet hatte, nutzte deren Zugriffe und hinterliess deren Namen in den Protokollen. Diesen Monat haben sich die beiden grössten Büroplattformen davon verabschiedet. Google gab seinen Agenten eigene Konten. Microsoft erklärte, Agenten sollten wie Insider behandelt und von anderen Agenten überwacht werden. Zusammen beschreiben sie eine neue Art von Kollegen und eine neue Aufgabe für alle, die ein Unternehmen führen.
Google: ein Agent mit Posteingang
Am 8. Oktober stellte Google an seinem Anlass Gemini at Work den Gemini-Agenten vor, den es «Ihren neuen, einzigen und universellen Agenten für die Arbeit» nennt. Teil davon sind Coworker-Agenten. In Googles Worten: «Der Agent erhält ein eigenes Workspace-Konto, einschliesslich E-Mail-Adresse, Kalender, Drive und Präsenz im Verzeichnis Ihres Unternehmens.» Kolleginnen und Kollegen fügen ihn einem Chat-Bereich hinzu oder erwähnen ihn mit Namen. Er kann in Dokumenten kommentieren und erscheint im Versionsverlauf unter seinem eigenen Namen.
Der wichtige Satz betrifft den Zugriff: «Ein Coworker-Agent handelt unter seiner eigenen Identität statt unter Ihrer, und er sieht nur, was Sie mit ihm teilen.» Darum herum nennt Google Audit-Trails, die dem Agenten zugeordnet sind, Berechtigungen, die von den Sicherheitsadministratoren eines Unternehmens freigegeben werden, und Ausgabenlimits pro Projekt, die einen Agenten pausieren, sobald sie erreicht sind. Die Zahlen zeigen, wie schnell das geht: Laut Google hat SOMPO, ein japanischer Versicherer, mehr als 10'000 eigene Agenten für 34'000 Mitarbeitende gebaut.
Futurum, ein Analysehaus, las darin ein Modell für die Belegschaft: Unternehmen würden «Agenten über dieselben Identitätsprozesse bereitstellen, berechtigen und prüfen, die sie für Mitarbeitende nutzen», was «Sicherheitsteams im Audit-Log eine klare Trennlinie zwischen menschlichen Aktionen und Aktionen von Agenten gibt». Ein Vertreter von Google sagte Futurum, es sei nicht geplant, für jeden Coworker-Agenten eine Lizenz pro Arbeitsplatz zu verrechnen. Wie die Arbeit von Agenten stattdessen abgerechnet wird, ist noch offen.
Microsoft: Agenten als Insider behandeln
Elf Tage später nahm Microsoft die andere Seite derselben Idee ein. In einem Beitrag mit dem Titel «Securing the agentic insider» schrieb Hayete Gallot, die Microsoft Security leitet, dass man «Frontier-Modellen, unabhängig von ihrer Herkunft, nicht vertrauen kann», und zwar «nicht, weil Modelle von Natur aus bösartig sind». Agenten, schrieb sie, seien «häufig mit zu vielen Rechten ausgestattet». Microsofts Antwort sind Guardian Agents, die «jede Aktion jedes Agenten beobachten und moderieren, bevor sie geschieht, 24/7», auf Grundlage einer Risikobewertung dessen, was ein Agent jeweils zu tun versucht.
Jeder Agent, der in einem Unternehmen gefunden wird, erhält eine Identität, einen Container sowie Richtlinien und Berechtigungen. TechCrunch berichtete, dass Microsoft Defender nun bis zu 60 Arten von Agenten erkennen kann, die Mitarbeitende zur Arbeit mitbringen, darunter Claude Code, Codex und OpenClaw, und dass eine Person zustimmen muss, wenn ein Agent offenbar eine riskante Entscheidung trifft. Satya Nadella fasste das Prinzip in einem Satz: «Wir können die Verantwortung für das, was Intelligenz in unserem Auftrag tut, schlicht nicht auslagern.»
Was sich ändert, wenn Agenten Namen haben
Ein Agent mit eigener Identität lässt sich leichter steuern als einer, der sich hinter einer Person versteckt. Sie sehen, was er getan hat, können ihm genau den Zugriff geben, den seine Aufgabe braucht, und ihn abschalten, ohne jemanden auszusperren. Unternehmen behandeln Menschen und Servicekonten bereits so. Für Agenten ist es überfällig.
Es verändert auch die Fragen, die ein Unternehmen beantworten muss. Wer stellt einen Agenten ein, und wer genehmigt seine Rolle? Welche Ordner sieht er, und wer hat das entschieden? Wer liest sein Protokoll, und wer steht dafür ein, wenn er etwas falsch macht? Ein Name im Verzeichnis macht einen Agenten sichtbar. Verantwortlich macht er ihn nicht. Dafür braucht es weiterhin einen Menschen.
Was jetzt zu tun ist
Drei Dinge lohnen sich, bevor Agenten in grosser Zahl ankommen. Erstellen Sie eine Liste der Agenten, die bereits arbeiten, auch derjenigen, die Mitarbeitende selbst installiert haben. Geben Sie jedem eine eigene Identität und den schmalsten Zugriff, den seine Aufgabe braucht, nie das Login einer Person. Und halten Sie fest, wer für jeden einzelnen verantwortlich ist, wie Sie es bei einer Neueinstellung tun würden.
Geben Sie den Agenten dann etwas, das sich zu wissen lohnt. Ein Agent mit Posteingang, aber ohne Wissen über das Unternehmen schreibt für ein Unternehmen, das es nicht gibt. Sein Wert entsteht aus den Regeln, Preisen, Vorlagen und Systemen, die er nutzen darf, mit Zugriff nach Rolle.
Wo wir stehen
In diese Richtung bauen wir. Twin gibt den Assistenten und Agenten eines Unternehmens ein gemeinsames Gehirn, mit seinem Wissen, seinen Regeln und Werkzeugen, abgesichert nach Rolle. Helm, noch in Entwicklung, ist der Ort, an dem wir ein ganzes Unternehmen bauen, das von Agenten betrieben wird, mit einer Person am Steuer, die es führt und dafür einsteht. Google und Microsoft haben gerade dasselbe vom anderen Ende her gezeigt: Die Agenten bekommen Namen, und die Verantwortung bleibt bei einem Menschen.
