Die Ant Group treibt Innovationen im ASL-Protokoll voran, um das Vertrauen in die Interaktion mit intelligenten Agenten zu stärken

Da KI-Agenten immer autonomer werden und zunehmend in der Lage sind, miteinander zu kooperieren, sehen sich Unternehmen mit Sicherheitsherausforderungen konfrontiert, die weit über technische Lösungen hinausgehen und sich zu tiefergreifenden Vertrauensproblemen entwickeln. Am 29. April hielt Chen Liang, CTO des Big Security-Teams der Ant Group, während der Sitzung „Intelligent Agent Innovation and Governance“ des 9. Digital China Construction Summit eine Grundsatzrede, in der er erstmals drei spezifische „Vertrauenslücken“ bei der agentenübergreifenden Zusammenarbeit aufzeigte. Zudem stellte er eine eigens entwickelte Sicherheitsarchitektur vor, die speziell auf die Anforderungen intelligenter Agenten auf Unternehmensebene zugeschnitten ist.

Die drei „Vertrauens-Schwarze Löcher“: Fatale Schwachstellen bei der agentenübergreifenden Zusammenarbeit

Anfang 2026 wurden im Rahmen einer Studie mit dem Titel „Agents of Chaos“, die unter anderem von der Northeastern University durchgeführt wurde, mehrere autonome Agenten eingesetzt, die mit echten Tool-Aufruf-Fähigkeiten ausgestattet waren, die auf dem OpenClaw-Framework basierten. Diese Agenten wurden einer zweiwöchigen Red-Team-Testphase unterzogen, und die Ergebnisse zeigten, dass sie in komplexen offenen Umgebungen mit schwerwiegenden Sicherheitsproblemen konfrontiert sein könnten. Zu diesen Problemen gehörten Compliance-Verstöße durch Nicht-Eigentümer, das Durchsickern sensibler Informationen und schädliche Vorgänge auf Systemebene.

Chen Liang erklärte, dass mit der Ausweitung der Zusammenarbeit mehrerer Agenten über ein einzelnes System hinaus auf verschiedene Organisationen und Plattformen derzeit drei spezifische „Vertrauens-Schwarze Löcher“ den groß angelegten Einsatz in Unternehmen behindern. Das erste ist das „Schwarze Loch der Identitätsüberprüfung“, bei dem Angreifer Agenten-Identifikatoren fälschen oder die Identitäten von Mitarbeiterassistenten missbrauchen könnten, um Mechanismen zur Identitäts-Whitelisting zu umgehen. Zudem könnten mehrere Zwischenknoten vorgelagerte Identitätsinformationen verändern und so nachgelagerte Entitäten daran hindern, die Legitimität des Absenders zu bestätigen. Das zweite ist das „Schwarze Loch der manipulationssicheren Übertragung von Absichten“, das auftritt, wenn Benutzeranweisungen von Zwischenknoten in der Kooperationskette verändert werden, was zu Fehlinterpretationen sensibler Daten wie Fondsbesitz und Datenzugriffsberechtigungen führt. Das dritte ist das „Schwarze Loch der Autorisierungsgrenzenkontrolle“, bei dem nachgelagerte Agenten möglicherweise Befugnisse erlangen, die über die von vorgelagerten Parteien gewährten hinausgehen, was zu einer unkontrollierten Ausweitung von Berechtigungen über die Hierarchie hinweg führt.

Erkenntnisse, die von der IIFAA gemeinsam mit der China Academy of Information and Communications Technology, der Ant Group und Dutzenden anderer Organisationen geteilt wurden, deuten darauf hin, dass sich aktuelle MCP- und A2A-Protokolle in erster Linie auf Interoperabilität und Kommunikationsverbindungen konzentrieren. Diese Protokolle versagen jedoch, wenn es darum geht, grundlegende Vertrauensprobleme wie die Rückverfolgbarkeit von Entitäten, die Integrität von Absichten, die ordnungsgemäße Verwaltung mehrstufiger Delegationsgrenzen und die Überprüfbarkeit bei agentenübergreifenden Interaktionen anzugehen. Auch bestehende Sicherheitslösungen weisen erhebliche Einschränkungen auf, wenn es um die für intelligente Agenten spezifischen Angriffsvektoren geht.

Lösung: Das ASL-Protokoll schafft eine „durchgängig überprüfbare Vertrauenskette“

Um diese Mängel zu beheben, schlug Chen Liang eine Lösung vor, die auf dem Prinzip „Security by Design“ basiert. Diese Lösung besteht aus einem sicheren und vertrauenswürdigen Verbindungsprotokoll für Agenten namens ASL (Agent Security Link). ASL fungiert als vertrauenswürdiger Verbindungsprotokollstapel innerhalb des Rahmens für die Agenten-Zusammenarbeit und lässt sich auf bestehende Interoperabilitätsprotokolle wie MCP und A2A aufsetzen. Es schafft eine Vertrauensgrundlage für agentenübergreifende Interaktionen, die überprüfbar, übertragbar, streng begrenzt und vollständig überprüfbar ist.

Verfügbaren Berichten zufolge verfügt ASL über eine mehrschichtige Architektur, die sich aus „vier Arten von Funktionskomponenten“ in Kombination mit einer dedizierten Sicherheitsinfrastruktur zusammensetzt. Die untere Schicht bietet eine zunehmend sichere Ausführungsumgebung, die von Software-Isolation bis hin zu Hardware-Isolation reicht, sowie ein System zur Verwaltung von Gerätebindungsschlüsseln. Die obere Schicht stützt sich auf vier Kernmodule – vertrauenswürdige Identität, vertrauenswürdige Verbindung, vertrauenswürdige Absicht und vertrauenswürdige Autorisierung –, um eine überprüfbare Identitätsbindung, sichere Kommunikationskanäle auf Sitzungsebene, eine manipulationssichere Übertragung von Anweisungen sowie eine strenge Begrenzung statt einer Ausweitung der Autorisierungsgrenzen in mehrstufigen Delegationsszenarien zu gewährleisten. Dadurch ist jede von einem Agenten während des gesamten Kooperationsprozesses durchgeführte Aktion nachvollziehbar, alle Autorisierungen bleiben klar definiert, und alle Absichtsübertragungen sind vor unbefugter Veränderung geschützt.

In zahlungsbezogenen Anwendungen arbeitet ASL mit dem intelligenten Agenten-Vertrauensprotokoll ACT (Commercial Trust Protocol) zusammen. Während ASL die sichere Vernetzung und das Autorisierungsmanagement zwischen Agenten übernimmt, schafft ACT die für kommerzielle Transaktionen notwendige Vertrauensgrundlage. Gemeinsam unterstützen diese Protokolle die Implementierung von Funktionen wie Sofortzahlungen und beauftragte Käufe.

Von „passiver Reaktion“ zu „von Natur aus vertrauenswürdig“: Vollständiger Sicherheitskreislauf

Die Einführung des ASL-Protokolls stellt nur eine Komponente des von Chen Liang vorgeschlagenen agentennativen Sicherheitsrahmens dar. Innerhalb dieses Rahmens hat sich der Sicherheitsansatz vollständig vom traditionellen reaktiven Modell des „Identifizierens von Schwachstellen und Veröffentlichen von Patches“ wegbewegt. Stattdessen zielt es darauf ab, durch den Einsatz einer mehrschichtigen Isolationsstrategie in Verbindung mit robusten Abwehrmechanismen sicherzustellen, dass Agenten von Natur aus vertrauenswürdig sind. Dies bedeutet, Sicherheitsfunktionen von Beginn an in jede Phase des Lebenszyklus eines Agenten zu integrieren.

Konkret umfasst das Rahmenwerk Komponenten für das Identitäts- und Zugriffsmanagement – wie beispielsweise ein einheitliches Identitätssystem und ein dynamisches Lebenszyklusmanagement von „Agentenbetriebslizenzen“ –, Laufzeitsicherheitsschutz auf Basis einer fünfschichtigen Kontrollstrategie, die aus der „Digital Employee Constitution“ abgeleitet ist, sowie Sicherheitsmaßnahmen für AgentOS und die zugrunde liegende Infrastruktur, einschließlich Mechanismen wie der Landlock-Sandbox, der Namespace-Isolation und der TEE-Hardware-Isolation. Dieses umfassende System gewährleistet, dass Agenten in unternehmens- und plattformübergreifenden Kooperationsszenarien durchgängige Sicherheitsgarantien aufrechterhalten. Zu diesen Garantien gehören überprüfbare Entitätsidentitäten, manipulationssichere Absichtsübertragung und streng kontrollierte Autorisierungsgrenzen.