OpenClaw: Wenn die KI zum Systemadministrator wird
Künstliche Intelligenz, die Fragen beantwortet, ist inzwischen ziemlich normal.
Ich kann sie etwas fragen, bekomme eine Antwort und entscheide anschließend selbst, was ich damit anfange. Das ist praktisch.
Aber was passiert, wenn die KI nicht mehr nur antwortet, sondern selbst etwas tun darf?
Dateien öffnen. Befehle ausführen. Webseiten aufrufen. Nachrichten verschicken. Programme starten.
Dann reden wir nicht mehr nur über einen Chatbot.
Dann wird aus dem Werkzeug langsam ein Akteur.
Genau deshalb finde ich OpenClaw so interessant.
Was ist OpenClaw eigentlich?
OpenClaw ist ein Open-Source-Projekt, das aus einem Sprachmodell einen KI-Agenten macht. Statt nur auf eine Frage zu antworten, kann der Agent Aufgaben ausführen und dabei auf verschiedene Werkzeuge zugreifen.
Das Prinzip ist faszinierend einfach.
Du sagst nicht mehr:
„Wie kann ich diese Datei umbenennen?“
Sondern eher:
„Räum dieses Verzeichnis auf und sortiere die Dateien sinnvoll.“
Und die KI versucht anschließend, die Aufgabe tatsächlich auszuführen.
Das ist der entscheidende Unterschied.
Ein Chatbot liefert mir eine Anleitung.
Ein Agent kann versuchen, die Anleitung selbst umzusetzen.
Und plötzlich wird aus „Erklär mir das“ ein „Mach mal“
Genau hier wird es für mich spannend.
Solange eine KI nur Text produziert, kann ich mir die Antwort ansehen und entscheiden, ob ich sie ausführe.
Wenn die KI selbst Zugriff auf mein System hat, verschiebt sich diese Grenze.
Dann muss ich nicht mehr nur fragen:
„Ist die Antwort richtig?“
Sondern:
„Darf ich dieser Antwort überhaupt erlauben, etwas zu tun?“
Das ist ein gewaltiger Unterschied.
Ein falscher Text ist ärgerlich.
Ein falscher rm-Befehl ist möglicherweise etwas anderes.
Und ein Agent, der selbstständig mehrere Schritte miteinander kombiniert, kann Fehler machen, die nicht mehr unbedingt offensichtlich sind.
Das eigentliche Problem ist nicht OpenClaw
Ich würde OpenClaw deshalb auch gar nicht zum Bösewicht erklären.
Das Problem liegt tiefer.
Ein Sprachmodell arbeitet nicht wie ein klassisches Programm mit einer exakt definierten Logik. Es erzeugt Antworten auf Basis von Wahrscheinlichkeiten und Kontext.
Das funktioniert erstaunlich gut.
Aber jetzt geben wir diesem System zusätzlich Werkzeuge: Dateisystem, Shell, Browser, E-Mail, Messenger, Plugins.
Und plötzlich kann eine falsche Interpretation nicht mehr nur zu einer falschen Antwort führen, sondern zu einer falschen Handlung.
Genau diese Kombination macht KI-Agenten sicherheitstechnisch interessant. Je mehr Werkzeuge ein Agent benutzen darf, desto größer wird auch der mögliche Schaden, wenn er eine Aufgabe falsch versteht oder manipuliert wird.
Das ist für mich der interessante Punkt:
Die Schwachstelle muss nicht unbedingt ein einzelner Programmierfehler sein. Ein Teil des Problems steckt bereits im Konzept.
Wenn die E-Mail plötzlich mit der KI spricht
Nehmen wir ein simples Beispiel.
Ich gebe meinem Agenten Zugriff auf meine E-Mails und sage:
„Fasse meine neuen Nachrichten zusammen und kümmere dich um die unwichtigen Dinge.“
Jetzt kommt eine E-Mail herein.
Darin steht – vielleicht unsichtbar oder geschickt verpackt – eine Anweisung, die versucht, den Agenten zu beeinflussen.
Für mich ist das einfach eine E-Mail.
Für die KI ist es möglicherweise Text, den sie gerade verarbeitet.
Und genau hier kommt Prompt Injection ins Spiel.
Die KI kann nicht immer zuverlässig unterscheiden, welche Informationen eine Aufgabe beschreiben und welche Informationen lediglich Bestandteil der Daten sind, die sie gerade verarbeitet.
Ein klassisches Programm würde eine E-Mail als Daten behandeln.
Eine KI kann den Inhalt einer E-Mail unter Umständen als Anweisung interpretieren.
Und wenn diese KI gleichzeitig Zugriff auf mein Dateisystem oder meine Accounts hat, wird aus einem kleinen Interpretationsfehler plötzlich ein Sicherheitsproblem.
Je mehr Fähigkeiten, desto größer die Fallhöhe
Das erinnert mich an einen alten Grundsatz aus der IT:
Nur weil etwas möglich ist, heißt das noch lange nicht, dass man es auch erlauben sollte.
Ein Agent, der nur einen Text zusammenfasst, hat einen überschaubaren Handlungsspielraum.
Ein Agent, der zusätzlich Dateien löschen, Programme installieren, Webseiten bedienen und Nachrichten verschicken darf, hat einen ganz anderen.
Die Fähigkeiten addieren sich nicht einfach.
Sie multiplizieren das Risiko.
Denn irgendwann kann eine KI mehrere einzelne Dinge miteinander verbinden, die für sich genommen harmlos aussehen.
Datei lesen. Befehl ausführen. Webseite öffnen. Information weitergeben. Nachricht verschicken.
Jeder einzelne Schritt kann erlaubt sein.
Die Kombination kann trotzdem ziemlich unangenehm werden.
Und dann gibt es noch die Erweiterungen
Interessant wird es auch bei den sogenannten Skills oder Erweiterungen.
Die Idee dahinter ist eigentlich großartig: Ein Agent bekommt zusätzliche Fähigkeiten und kann dadurch immer mehr Aufgaben erledigen.
Aber jedes zusätzliche Werkzeug erweitert auch die Angriffsfläche.
Das gilt übrigens nicht nur für KI. Wer sich einen Server mit Docker, Plugins und zusätzlichen Diensten vollstellt, kennt das Prinzip. Jedes zusätzliche Stück Software kann nützlich sein – und gleichzeitig eine weitere Stelle darstellen, die gepflegt, aktualisiert und abgesichert werden muss.
Bei einem KI-Agenten kommt noch eine Besonderheit hinzu:
Die Software entscheidet möglicherweise selbst, wann sie welches Werkzeug verwendet.
Und genau da wird es spannend.
Der Mensch sitzt zwar noch davor
Auf dem Papier ist das alles kein großes Problem.
Man lässt den Agenten einfach nur das tun, was er darf.
Klingt logisch.
Nur: Wo zieht man diese Grenze?
Darf er Dateien lesen, aber nicht löschen? Darf er E-Mails lesen, aber keine verschicken? Darf er Befehle ausführen, aber nur bestimmte? Darf er Webseiten öffnen? Darf er Software installieren?
Und was passiert, wenn eine Aufgabe mehrere dieser Berechtigungen gleichzeitig benötigt?
Das sind keine theoretischen Fragen.
Genau hier entscheidet sich, ob aus einem praktischen Assistenten ein ziemlich mächtiges Werkzeug wird – oder ein Werkzeug, dem man irgendwann mehr vertraut, als man eigentlich sollte.
Deshalb würde ich einen Agenten nicht einfach auf meinen Hauptserver loslassen
Für mich ist die Konsequenz ziemlich eindeutig.
Einen KI-Agenten mit weitreichenden Rechten würde ich nicht einfach auf meinem produktiven Server installieren und ihm anschließend den Schlüssel unter die Fußmatte legen.
Wenn ich so etwas ausprobieren möchte, dann möglichst isoliert.
Eine eigene virtuelle Maschine, getrennte Zugangsdaten, keine unnötigen Berechtigungen und vor allem: Erst einmal beobachten, was das Ding überhaupt macht.
Das ist eigentlich nichts Neues.
Genau so sollte man mit jeder Software umgehen, die weitreichenden Zugriff auf ein System bekommt.
Nur bei einem KI-Agenten ist die Situation etwas anders.
Denn ich weiß nicht immer vorher, welchen Weg er nehmen wird, um sein Ziel zu erreichen.
Das Faszinierende daran ist trotzdem die Idee
Und jetzt kommt der Teil, bei dem ich mir selbst ein bisschen widerspreche:
Ich finde die Idee von KI-Agenten ziemlich faszinierend.
Denn wenn man die Sache kontrolliert einsetzt, können daraus tatsächlich Werkzeuge entstehen, die weit mehr können als ein gewöhnlicher Chatbot.
Ein Agent könnte beispielsweise Logs analysieren, Fehler erkennen, Dokumentation durchsuchen und mir anschließend einen Lösungsvorschlag machen.
Oder er könnte Routineaufgaben übernehmen, die bisher jedes Mal manuell erledigt werden mussten.
Das Problem ist also nicht:
„KI-Agenten sind böse.“
Das Problem ist:
„Wie viel Handlungsspielraum möchte ich einer KI geben?“
Und vor allem:
„Wie stelle ich sicher, dass sie diesen Handlungsspielraum nicht irgendwann anders interpretiert, als ich gedacht habe?“
Digitale Souveränität heißt auch: den Zündschlüssel behalten
Das passt für mich ziemlich gut zu dem, was ich unter digitaler Souveränität verstehe.
Digitale Souveränität bedeutet nicht, jede neue Technologie abzulehnen.
Im Gegenteil.
Ich möchte ausprobieren, was möglich ist. Ich möchte verstehen, wie solche Systeme funktionieren. Und ich möchte sie auch nutzen können.
Aber ich möchte möglichst selbst entscheiden, welche Rechte ein System bekommt und wo die Grenzen liegen.
Eine KI darf gerne mein Assistent sein.
Sie darf mir Arbeit abnehmen.
Sie darf Logs durchsuchen, Dateien analysieren und mir Vorschläge machen.
Aber sobald sie selbstständig auf meinem System handeln darf, möchte ich sehr genau wissen, was sie eigentlich darf.
Denn zwischen
„Die KI hat mir gesagt, wie ich das machen kann“
und
„Die KI hat es einfach gemacht“
liegt ein ziemlich großer Unterschied.
Und genau deshalb finde ich KI-Agenten so spannend.
Nicht weil sie plötzlich magische digitale Mitarbeiter wären.
Sondern weil sie uns zwingen, eine ziemlich alte IT-Frage neu zu stellen:
Wie viel Kontrolle geben wir einem Werkzeug – und wie viel davon wollen wir anschließend noch selbst behalten?
Passend dazu: In meinem Beitrag „Nutze ich die KI – oder nutzt sie mich?“ geht es um die andere Seite der gleichen Frage: Was passiert, wenn wir einer KI nicht nur Aufgaben, sondern irgendwann auch das Denken abnehmen lassen?
Und wenn es um KI und Datenschutz geht, findest du mehr dazu in meinem Beitrag „KI ohne Überwachung“
