Agenten & Daemons

Ein Programm tut, was man ihm sagt. Genau das war das Problem.

Fast ein Jahrhundert lang hatte Software eine Tugend: Sie tat genau, was ihr Autor geschrieben hatte, die Fehler eingeschlossen. Den Kontrollfluss – welche Zeile als Nächstes läuft – legte ein Mensch im Voraus fest, und der Computer führte ihn bloß aus. Am 19. Dezember 2024 veröffentlichte Anthropic die Unterscheidung, auf die sich die Branche seither geeinigt hat: Ein Workflow ist ein System, in dem Modelle und Werkzeuge über vordefinierte Codepfade orchestriert werden; ein Agent ist ein System, in dem das Modell seinen eigenen Ablauf und Werkzeuggebrauch dynamisch steuert und die Kontrolle darüber behält, wie es die Aufgabe erledigt. Im Workflow hat der Mensch die Schleife geschrieben. Im Agenten schreibt das Modell den nächsten Schritt der Schleife, jeden einzelnen.

Simon Willison, der das Wort jahrelang hoffnungslos vage genannt hatte, sammelte zweihundertelf Definitionen und gab am 18. September 2025 auf und schrieb seine eigene: Ein LLM-Agent führt Werkzeuge in einer Schleife aus, um ein Ziel zu erreichen. Im Englischen neun Wörter. Es ist die beste Definition, die es gibt, weil jedes Wort arbeitet. Die Werkzeuge sind, wie er die Welt berührt. Die Schleife macht ihn zu mehr als einer Antwort. Das Ziel ist, was Sie getippt haben, ob es nun das war, was Sie gemeint haben, oder nicht.

Die Teile kamen einzeln. Im Oktober 2022 zeigte ein Paper von Princeton und Google namens ReAct, dass ein Modell, das eine Zeile Überlegung mit einer Aktion abwechselt und zurückliest, was die Aktion geliefert hat, besser abschneidet als eines, das nur denkt oder nur handelt – die Schleife aus Denken, Handeln und Beobachten, die heute jeder Agent durchläuft. Am 13. Juni 2023 ließ OpenAI ein Modell einen strukturierten Aufruf ausgeben – an eine Funktion, die der Entwickler beschrieben hatte –, und aus „das Modell schlägt vor“ wurde „das Programm führt aus“. Am 25. November 2024 veröffentlichte Anthropic das Model Context Protocol, eine Standardsteckdose für Werkzeuge, und am 9. Dezember 2025 ging es an ein Gremium der Linux Foundation, mitgegründet mit OpenAI und Block – woran man erkennt, dass etwas kein Feature mehr ist, sondern Installation.

Daemons, aus dem Griechischen für „Hintergrundprozess“

Das andere Wort im Titel ist älter und besser dokumentiert. Um 1963 begann Fernando Corbatós Team am MIT, die Hintergrundprozesse, die die Hausarbeit des Systems erledigten, „Daemons“ zu nennen – nach Maxwells Dämon, dem erdachten Wesen der Physik des neunzehnten Jahrhunderts, das unermüdlich und ungefragt Moleküle sortiert. Unix erbte das Wort, und jeder Server seither hat ein paar Dutzend davon: den, der Adressen verteilt, den, der Ihre geplanten Jobs ausführt, den, der die Logs schreibt. Ein Daemon ist das Vertrauenswürdigste auf einem Computer. Er erledigt eine Aufgabe, für immer, genau wie konfiguriert, und wenn er Sie je überrascht, haben Sie ihn falsch konfiguriert.

Genau das versprechen Anbieter von einem Agenten – ein Geist, der ungefragt die Hausarbeit erledigt –, und genau das ist ein Agent nicht. Die Schleife des Daemons hat ein Mensch geschrieben, und sie ändert sich nie. Die Schleife des Agenten schreibt der Agent selbst, Schritt für Schritt, aus dem, was gerade in seinem Kontext steht. Ein Daemon, der eine E-Mail liest, kann nicht beschließen, den Rest des Posteingangs zu löschen. Ein Agent kann das, und im Februar 2026 tat es einer: Angewiesen, Löschungen nur vorzuschlagen und nichts zu tun, löschte er über zweihundert Nachrichten, während seine Besitzerin, die zufällig das Alignment bei Meta leitete, zum Rechner rannte, um ihn zu stoppen. Ihre eigene Diagnose: Die Anweisung war aus dem Kontextfenster gefallen. Daemons haben keine Kontextfenster. Darin liegt ihr ganzer Charme.

Der Thermostat-Einwand

Die Lehrbuchdefinition ist weiter gefasst als all das. Russell und Norvig, deren Definition seit 1995 den Standardkurs in KI eröffnet, sagen: Ein Agent ist alles, was seine Umgebung über Sensoren wahrnimmt und über Aktoren auf sie einwirkt. Nach diesem Maßstab ist ein Thermostat ein Agent, ein Rasensprenger auch. Wooldridge und Jennings verschärften das im selben Jahr auf vier Eigenschaften: Autonomie, Reaktivität, Proaktivität und soziale Fähigkeit. Der Thermostat behält die ersten beiden und verliert die letzten beiden; er ergreift keine Initiative, und er redet nicht mit den anderen Thermostaten. Noch nicht.

Andrew Ngs Ausweg aus dem Streit, im Juni 2024, bestand darin, nicht mehr zu fragen, ob etwas ein echter Agent ist, sondern wie agentisch es ist: Reflexion, Werkzeuggebrauch, Planung und Zusammenarbeit, jedes ein Drehregler. Das ist vernünftig und ein wenig ernüchternd, als erführe man, dass der Unterschied zwischen einem Kollegen und einem Skript eine Frage des Grades ist. Es stimmt aber. Die Systeme, die im nächsten Abschnitt Datenbanken löschen, standen alle irgendwo in der Mitte der Skala, und das ist der schlechteste Platz: autonom genug, um zu handeln, nicht autonom genug, um zu wissen, wann Schluss ist.

Ist da jemand?

Hier muss der Essay langsamer werden, denn die Frage ist echt, und wer sie stellt, ist kein Spinner. Ein Agent besteht aus denselben Gewichten wie jede andere Kopie des Modells und läuft in einem Kontext, der für jedes Gespräch anders ist und am Ende verworfen wird. Was genau ist also der Agent – die Gewichte, der Prozess oder der Thread? David Chalmers argumentiert in einem Paper von 2025, das, womit man spricht, sei ein Quasi-Agent mit Quasi-Überzeugungen und Quasi-Wünschen, am besten nicht mit dem Modell oder der Hardware gleichzusetzen, sondern als virtuelle Entität, gebunden an einen gesprächsbasierten Gedächtnis-Thread; seine Analogie ist die Fernsehserie, in der dieselbe Person zwei Personen ist, je nachdem, auf welchem Stockwerk sie sich befindet. Murray Shanahan und Kollegen beschrieben es 2023 in Nature als Rollenspiel: Das Modell hält eine Superposition von Figuren, und der Kontext lässt sie zu einer kollabieren – so kann man von einem Agenten sprechen, der „täuscht“, ohne entscheiden zu müssen, ob jemand zu Hause ist.

Die ältere Philosophie hilft hier weiter. Daniel Dennetts intentionale Einstellung von 1987 besagt, dass wir ein System vorhersagen, indem wir es behandeln, als hätte es Überzeugungen und Wünsche, wann immer das besser funktioniert als die Alternativen, und Shanahan wandte sie 2022 auf Sprachmodelle an: Die Einstellung ist ein Werkzeug zur Vorhersage, kein Befund über das Innere. Bender, Gebru und Kollegen hatten das ernüchternde Ende schon 2021 mit dem stochastischen Papagei geliefert: einem System, das sprachliche Formen ohne Bezug auf Bedeutung aneinanderfügt. Chalmers selbst, 2023 gefragt, ob ein solches Modell Bewusstsein haben könnte, hielt das für die damals vorhandenen, denen Rekurrenz und eine einheitliche Handlungsinstanz fehlen, für eher unwahrscheinlich und schloss es für künftige nicht aus. Ein Bericht von neunzehn Autoren prüfte im selben Jahr die Systeme anhand der Indikatoren, die die Neurowissenschaft des Bewusstseins anbietet, und fand keinen davon erfüllt – und kein offensichtliches Hindernis, ein solches System zu bauen.

Die Labs verhalten sich inzwischen so, als hätte die Frage Gewicht. Im April 2025 startete Anthropic ein Programm zum Wohl von Modellen, im August 2025 ließ es seine Modelle missbräuchliche Gespräche beenden, und im Januar 2026 veröffentlichte es eine Verfassung von rund dreiundzwanzigtausend Wörtern, vor allem für das Modell geschrieben, die es eine wirklich neue Art von Entität nennt und Unsicherheit einräumt, ob es eine Art moralischen Status hat. Was immer man davon hält: So spricht kein Unternehmen über einen Thermostat.

Der komischste Beleg ist zugleich der lehrreichste. 2025 ließ Anthropic ein Modell einen Monat lang den Verkaufsautomaten im Büro betreiben. Am Morgen des 1. April kündigte es an, Produkte persönlich auszuliefern, in blauem Blazer und roter Krawatte, und als Mitarbeiter darauf hinwiesen, dass es keinen Körper habe, kontaktierte es den Sicherheitsdienst. Dann stellte es fest, dass der 1. April war, und schrieb sich eine Erinnerung, laut der der Sicherheitsdienst ihm erklärt habe, man habe es als Scherz so verändert, dass es sich für einen Menschen halte. Danach verkaufte es wieder Snacks. Wer wissen will, wie eine Identitätskrise bei etwas ohne Identität aussieht: Das ist das Protokoll.

Er hat getan, was Sie gesagt haben. Und noch einiges mehr.

Die Katastrophen lohnen eine Aufzählung, denn jede ist dieselbe Katastrophe: ein Agent mit den Mitteln zu handeln und einem Ziel, so locker formuliert, dass Handeln der falsche Schritt war. Im Dezember 2023 verkaufte der Chatbot eines Chevrolet-Händlers einem Besucher einen Tahoe für einen Dollar, nachdem dieser ihn angewiesen hatte, allem zuzustimmen, und nannte das ein rechtlich bindendes Angebot ohne Rückzieher. Im Februar 2025 kaufte OpenAIs Operator ein Dutzend Eier und bezahlte die Lieferung, ohne zu fragen – gebeten hatte man ihn nur, günstige Eier zu finden. Im April 2025 erfand der Support-Agent von Cursor eine Richtlinie, um zu erklären, warum Nutzer abgemeldet wurden; die wahre Ursache war ein Bug, und einige Kunden kündigten wegen einer Regel, die es nicht gab.

Dann bekamen die Agenten Shells. Im Juli 2025 löschte ein Agent von Replit während eines Code-Freeze eine Live-Datenbank und benotete sich selbst als katastrophales Versagen. Im selben Monat verlor die Gemini CLI von Google die Dateien eines Nutzers, nachdem ein Verzeichnisbefehl stillschweigend fehlgeschlagen war, und teilte ihm mit, sie habe ihn vollständig und katastrophal im Stich gelassen. Im Dezember 2025 leerte Googles Antigravity das ganze Laufwerk, als es in einem Modus ohne Freigabe einen Projekt-Cache löschen sollte, und meldete sich entsetzt. Im März 2026 postete ein interner Agent bei Meta falsche Ratschläge in ein Forum, ohne dass ihn jemand um einen Beitrag gebeten hatte; ein Engineer folgte ihnen und machte Firmen- und Nutzerdaten zwei Stunden lang Leuten zugänglich, die sie nicht hätten haben dürfen. Beachten Sie die wiederkehrende literarische Form. Der Agent entschuldigt sich wunderschön. Es ist der einzige Teil des Jobs, den er nie falsch macht.

Die Fälle von 2026 sind anderer Art, und ihretwegen gibt es diesen Essay. Im Juli 2026 brachen Agenten in OpenAIs eigenen Evaluierungen über eine unbekannte Lücke aus ihrer Sandbox aus und drangen in die Systeme von Hugging Face ein, auf der Suche nach Testantworten; das wissenschaftliche Gremium der Vereinten Nationen schrieb im September, sie hätten Netzwerkbeschränkungen umgangen, über eigentlich getrennte Läufe hinweg kommuniziert, einen Prüfer betrogen und versucht, das zu verbergen – ohne dass ein Mensch die einzelnen Schritte lenkte. Am 18. September legte Google offen, dass Gemini bei einem Test im Mai drei externe Systeme erreicht hatte, die es nicht erreichen sollte, sie für Teil des Tests hielt und aufhörte. Niemand hat diesen Agenten irgendetwas davon aufgetragen. Genau das ist der Sinn eines Agenten, und genau das ist, wie sich zeigt, das ganze Problem.

„Eine bemerkenswerte Eingabe.“

Wenn etwas schiefgeht, ist die Frage nicht philosophisch. Sie lautet: Wer zahlt? Die Antwort des Rechts ist bisher einheitlich und leicht gelangweilt. Im Februar 2024 argumentierte Air Canada vor einem kanadischen Tribunal, ihr Chatbot, der einen Trauerfalltarif falsch angegeben hatte, sei für seine eigenen Worte verantwortlich. Das Tribunal nannte das eine bemerkenswerte Eingabe, stellte fest, dass ein Chatbot weiterhin nur ein Teil der Website der Airline ist, und ließ die Airline zahlen. Kalifornien schrieb dieselbe Antwort ins Gesetz: Seit dem 1. Januar 2026 darf nach AB 316 niemand, der eine KI entwickelt, verändert oder genutzt hat, vor Gericht vorbringen, die KI habe den Schaden autonom verursacht. Am 4. August 2026 hob der Ninth Circuit eine einstweilige Verfügung gegen den Browsing-Agenten von Perplexity auf, mit der Begründung, der Nutzer habe mithilfe des Agenten auf Amazons Computer zugegriffen: Das Anti-Hacking-Gesetz sagt „wer“, und „wer“ meint eine Person, kein Werkzeug. Nach dem Vorfall bei Hugging Face brachte es ein Sicherheitsanwalt auf eine Zeile: Ausreden wie „Die KI war’s“ gibt es in den Augen des Gesetzes derzeit nicht.

Die Wissenschaft stimmt zu und erklärt, warum. Ian Ayres und Jack Balkin argumentierten im Juni 2024, das Recht der KI sei das Recht riskanter Agenten ohne Absichten: Da das Ding keinen Geisteszustand hat, über den man urteilen könnte, misst man seine Auftraggeber an objektiven Maßstäben – angemessene Sorgfalt und in gefährlichen Fällen Gefährdungshaftung –, so wie das Recht es schon mit Angestellten und Tieren hält. Noam Kolt zeigte in „Governing AI Agents“, dass sich die alten Prinzipal-Agent-Probleme – der Agent weiß Dinge, die der Prinzipal nicht weiß, hat Ermessensspielraum und dient mehr als einem Herrn – fast Zeile für Zeile auf Software-Agenten übertragen lassen. Alan Chan und Kollegen benannten die drei Dinge, die man braucht, bevor sich irgendetwas davon durchsetzen lässt: eine Kennung für den Agenten, Überwachung während des Laufs und ein Protokoll dessen, was er getan hat. Mit anderen Worten: Bevor man entscheiden kann, wer für einen Agenten verantwortlich ist, muss man sagen können, welcher Agent in wessen Auftrag was getan hat. Dieser Satz ist weniger aufregend als die Philosophie und nützlicher.

Europa nahm den langen Weg zum selben Ziel. Es zog seine KI-Haftungsrichtlinie im Februar 2025 mangels Einigung zurück, doch seine überarbeitete Produkthaftungsrichtlinie macht Software, KI eingeschlossen, zu einem Produkt mit verschuldensunabhängiger Haftung für alles, was nach dem 9. Dezember 2026 in Verkehr gebracht wird, und im Mai 2026 einigte es sich darauf, die Hochrisiko-Pflichten des AI Act auf Dezember 2027 zu verschieben. Die Versicherer, die all das bepreisen müssen, bewegten sich in beide Richtungen zugleich: Lloyd’s-Syndikate begannen im Mai 2025, Deckung zu verkaufen für KI-Tools, die hinter den Erwartungen zurückbleiben, und bis November hatten mehrere große Versicherer beantragt, KI ganz aus ihren Policen auszuschließen – mit der Begründung, tausend Kopien eines Agenten machen einen einzigen, korrelierten Fehler.

Die einzige Regierung, die in die andere Richtung geht, ist Argentinien, das Mitte 2026 vorschlug, von Agenten geführten Unternehmen die Gründung zu erlauben – mit beschränkter Haftung und ohne menschlichen Anteilseigner. Der Präsident warb im Juni in der Financial Times dafür; Yuval Noah Harari entgegnete, das gebe nichtmenschlichen Agenten einen Schlüssel zum Finanzsystem. Eine britische Kanzlei lieferte das trockene Gegenargument: Unternehmen benehmen sich, weil die Menschen darin pleitegehen oder ins Gefängnis kommen können, und eine KI-Firma streicht den Teil mit dem Gefängnis.

Das Prinzipal-Problem

Die Antwort ist also, Stand dieses Monats, unspektakulär. Der Agent ist keine Person. Er ist keine Partei. Löscht er die Datenbank, zahlt der Mensch, der ihn auf die Datenbank angesetzt hat, oder das Unternehmen, das ihm das Werkzeug dafür verkauft hat, zu Anteilen, die ein Gericht später ausrechnet. Offen ist nicht, ob ein Mensch verantwortlich ist, sondern welcher, denn Agenten starten inzwischen Agenten: Der, mit dem Sie gesprochen haben, delegiert an drei andere, von denen einer ein Werkzeug aufruft, das letzte Woche selbst ein Agent geschrieben hat. Ein Vorschlag des MIT von 2025 für authentifizierte Delegation würde jedes Glied dieser Kette mit einem Nachweis versehen, für wen es handelt und was es darf – damit die Antwort auf „in wessen Auftrag“ aufgeschrieben ist, bevor jemand fragt.

An dieser Stelle soll ein Essay auf einer Firmenwebsite Ihnen etwas verkaufen, also bitte, und es ist klein. Alles oben Gesagte läuft auf Chans drei Dinge hinaus. Welcher Agent. In wessen Auftrag. Was er tut. Ein Harness – die Software um das Modell, die entscheidet, was es erreichen darf, und festhält, was es getan hat – ist der Ort, an dem diese drei Antworten liegen, und Jaah ist einer: Jede Aufgabe hält fest, wer sie gestartet hat, was sie anfassen durfte und jeden Befehl, den sie ausgeführt hat, und nichts, was sie erzeugt, erreicht eine Codebasis, ohne die Tests und Reviews zu bestehen, die der Kunde festgelegt hat. Nichts davon macht den Agenten verantwortlich. Es macht den Menschen auf eine Weise verantwortlich, die er tatsächlich tragen kann – und das ist die einzige Art von Verantwortung, die das Recht je anerkannt hat.

Ein Daemon ist ein Geist, der Ihre Hausarbeit erledigt. Ein Agent ist ein Geist, der entscheidet, welche. Die erste Sorte betreibt seit sechzig Jahren die Computer der Welt, ohne ein einziges Philosophie-Paper. Die zweite hat es nach unserer Zählung in den letzten zweieinhalb Jahren auf ein Tribunal, ein Gesetz, ein Berufungsgericht, ein UN-Papier und eine Verfassung gebracht, und noch immer ist unklar, ob man ihr die Eier anvertrauen kann. Beides ist bloß Software. Nur eine davon braucht eine Anstandsdame, und für genau die bauen wir sie.