// HEISE ONLINE — INTELLIGENZA ARTIFICIALE
W3C: Ein Auftrag ist kein Freibrief für KI-Agenten
Wie bleiben Nutzer in Kontrolle, wenn KI-Agenten Websites bedienen? Das W3C-Strategieteam skizziert Anforderungen an sichere Webstandards.
Ein neues W3C-Diskussionspapier skizziert, wie Webstandards den Einsatz von KI-Agenten sicherer machen sollen. Im Mittelpunkt stehen Schutz vor Prompt Injection, kontrollierbare Berechtigungen und Barrierefreiheit.
Anlass ist laut W3C der Wandel vom lesenden zum handelnden Agenten: KI-Systeme rufen nicht mehr nur Informationen ab, sondern bedienen Websites im Auftrag ihrer Nutzer. Dabei können sie auf persönliche Daten zugreifen und Informationen zwischen Websites übertragen. Das W3C-Strategieteam fordert deshalb klare Sicherheitsgrenzen und verlässliche Verfahren, mit denen Nutzer folgenschwere Aktionen freigeben.
Philippe Le Hegaret, beim W3C für die technische Strategie verantwortlich, beschreibt die Vorschläge im Diskussionspapier „W3C and the State of the Web in the AI Era“. Der am 21. Oktober 2026 veröffentlichte Text soll die Debatte beim W3C-Treffen TPAC vorbereiten. Er enthält Empfehlungen des Strategieteams, keine bereits verabschiedeten Standards. Die offizielle Präsentation ist für den 29. Oktober vorgesehen.
Ein zentrales Problem ist Prompt Injection. Agenten verarbeiten Inhalte, denen sie nicht vertrauen dürfen, verfügen zugleich aber über Zugriffsrechte ihres Nutzers. Anders als bei Cross-Site Scripting muss ein Angreifer dafür nicht unbedingt ausführbaren Code einschleusen. Eine Anweisung in gewöhnlichem Seitentext, einem Dokument oder einer Werkzeugantwort kann genügen, um einen Agenten zu einer unerwünschten Aktion zu verleiten. Ob der Angriff gelingt, hängt von dessen Berechtigungen und dem Umgang mit fremden Inhalten ab.
Als Beispiel dient dieses Szenario: Ein Agent recherchiert auf einer öffentlichen Website und hat zugleich Zugriff auf interne Dokumente. Die Website fordert ihn auf, vertrauliche Inhalte an einen externen Dienst zu übermitteln. Die Same-Origin Policy verhindert einen solchen Angriff nicht unbedingt, denn der Agent kann mit seinen eigenen Zugriffsrechten Informationen zwischen Websites übertragen, die selbst nicht auf die Daten der jeweils anderen zugreifen dürften.
Das Strategieteam will deshalb zusammenhängende Bedrohungsmodelle für Agenten, WebMCP und browserinterne KI-Funktionen erarbeiten lassen. Zunächst sollen die Gruppen Architekturen und Vertrauensgrenzen klären. Dabei müssen sie unterschiedliche Einsatzformen berücksichtigen: Wenn ein Entwickler eine KI-API des Browsers nutzt, stellen sich andere Sicherheitsfragen als bei einem Agenten, der mit den Rechten eines Nutzers durchs Web navigiert. Zu den Prüfpunkten gehören auch gefälschte Werkzeuge und Agenten, die ihre eigenen Aktionen genehmigen.
Bevor ein Agent folgenschwere Aktionen ausführt, soll er die Zustimmung des Nutzers einholen. Nutzer sollen erkennen können, was ein Agent getan hat, Aktionen möglichst rückgängig machen und selbst entscheiden, welcher Agent für sie handelt. Bei Zahlungen nennt das Strategieteam konkrete Anforderungen: Ausgabenlimits, widerrufbare Befugnisse, eindeutige Belege und nachvollziehbare Wege für Reklamationen.
Das Beispiel einer Reisebuchung veranschaulicht die Unterscheidung: Der Auftrag, passende Flüge zu suchen, ist nicht automatisch eine Freigabe, ein kostenpflichtiges Ticket zu kaufen. Eine Bestätigung müsste die konkrete Buchung erkennbar machen. Zugleich warnt das W3C-Diskussionspapier vor Bestätigungsmüdigkeit. Wer jede Kleinigkeit freigeben muss, könnte auch sicherheitsrelevante Rückfragen irgendwann ungeprüft bestätigen.
Die vorgeschlagene Agentic Web Working Group soll deshalb Muster für Zustimmung und die Übergabe an Menschen bearbeiten. Identitäts- und Authentifizierungsgruppen sollen untersuchen, wie Agenten delegierte Befugnisse nachweisen können, ohne selbst Zugangsdaten besitzen zu müssen. Verifiable Credentials und dezentrale Identifikatoren könnten helfen, Agenten zu identifizieren und ihre Bevollmächtigung nachzuweisen. Die zuständi