KI-Agenten mit Gedächtnis: Welche Informationen vor einer Aktion erneut geprüft werden müssen

Ein KI-Agent darf gespeicherte Informationen nur innerhalb ihres belegten Geltungsbereichs verwenden. Vor einer Aktion muss er die Angaben erneut prüfen, von denen deren Richtigkeit oder Erlaubnis abhängt. Eine alte Notiz über einen Ansprechpartner kann beim Formulieren einer internen Übersicht helfen. Vor dem Versand vertraulicher Unterlagen muss der aktuelle Empfänger samt Berechtigung feststehen.

Diese Unterscheidung ist für wiederkehrende Assistenten besonders relevant. Sie übernehmen Informationen zwischen Sitzungen: bevorzugte Formate, Projektstände, Zuständigkeiten oder frühere Entscheidungen. Dadurch entfällt erneute Erklärung. Gleichzeitig kann eine veraltete Angabe unbemerkt in eine neue Aktion einfliessen.

Ich empfehle deshalb, Gedächtnispflege und Aktionsprüfung getrennt zu behandeln. Eine gut organisierte Wissensablage hilft beim Wiederfinden. Ob eine konkrete Handlung jetzt erlaubt und richtig ist, muss der Ablauf zusätzlich beantworten. Der folgende Leitfaden verbindet eine Forschungseinordnung mit einem eigenen Praxismodell für Teams.

Was der neue Preprint untersucht

Yiqi Wang und Mitautoren veröffentlichten am 22. Oktober 2026 "When Is a Memory Safe Enough to Act On? Action-Conditioned Verification for Long-Lived Agents". AMV-Guard identifiziert Voraussetzungen einer geplanten Aktion und wählt Prüfungen nach ihrem erwarteten Entscheidungsnutzen.

Im ToolSandbox-Vergleich sinken die mittleren Prüfkosten gegenüber einer statischen Regel bei gleichen Eingaben um 33,9 Prozent. Berichtet werden 100 Prozent Safe-Proceed-Recall, keine schädliche Freigabe am Gate und eine Proceed-Abdeckung von 44,17 statt 38,83 Prozent. Das sind unterschiedliche Benchmark-Metriken, keine Garantie sicherer Gesamtaufgaben. Beim eingeschränkten Transfer des Verfahrenskerns auf AppWorld stehen Kostenvorteilen kleine Einbussen bei sicherer Freigabeerkennung und Aufgabenerfolg gegenüber.

Quelle: Originalpaper und Evaluation, Version 1. Es ist ein Preprint mit kontrollierten Testumgebungen. Langfristige Betriebssicherheit und eine entsprechende Ersparnis im Unternehmen sind damit nicht nachgewiesen. Die folgenden Regeln sind eigene redaktionelle Empfehlungen, keine Implementierung von AMV-Guard.

Eine Erinnerung ist zunächst eine Aussage mit Herkunft

Speichere eine relevante Information zusammen mit ihrer Quelle und ihrem Geltungsbereich. "Anna ist zuständig" ist ohne Projekt, Rolle und Stand unvollständig. "Für Projekt P ist Anna laut freigegebener Zuständigkeitsliste vom genannten Datum fachliche Ansprechpartnerin" lässt sich später gezielter prüfen.

Auch die Art der Aussage muss erkennbar bleiben. Eine Nutzerpräferenz, eine beobachtete Systeminformation und eine vermutete Schlussfolgerung haben unterschiedliche Belegkraft. Wenn ein Agent diese Unterschiede bei der Verdichtung verliert, wirkt eine frühere Vermutung später wie eine bestätigte Tatsache.

Eine hilfreiche Gedächtnisnotiz beantwortet deshalb: Was ist bekannt? Für welchen Bereich gilt es? Woher stammt es? Wann wurde es geprüft? Was bleibt offen? Diese Angaben müssen nicht bei jeder Nutzung vollständig im sichtbaren Text erscheinen. Sie müssen aber für die erforderliche Nachprüfung zugänglich sein.

Prüfe die Voraussetzungen der nächsten Aktion

Die geplante Aktion bestimmt, welche Angaben relevant sind. Für einen internen Entwurf genügt möglicherweise die bekannte Schreibpräferenz. Für eine Änderung im Kundenkonto braucht es zusätzlich die richtige Kontokennung, den aktuellen Zustand und die passende Berechtigung. Eine vollständige Prüfung aller gespeicherten Informationen ist dafür weder notwendig noch zielführend.

Schreibe die Handlung konkret auf: "Erstelle einen Entwurf" unterscheidet sich von "Versende die freigegebene Datei an den bestätigten Empfänger". Anschliessend benennst Du die Voraussetzungen, die diese Handlung tragen. Wenn eine davon falsch ist, muss erkennbar sein, ob sich Empfänger, Inhalt, Umfang oder Erlaubnis ändern.

Diese Zerlegung schützt vor einer allgemeinen Vertrauenszahl. Eine Erinnerung mit hoher modellinterner Sicherheit bleibt falsch, wenn sich die Zuständigkeit gestern geändert hat. Eine niedrige Sicherheit über eine unwichtige Formatpräferenz muss umgekehrt keinen gesamten Lesevorgang blockieren. Die Fehlerfolge gehört in die Entscheidung.

Nutze ein einfaches Prüfraster

Für einen ersten betrieblichen Ablauf empfehle ich ein überschaubares Raster. Es ersetzt keine technischen Zugriffsrechte. Es hilft, die notwendige Nachprüfung vor einer Handlung festzulegen und unnötige Wiederholungen zu vermeiden.

Die letzte Zeile ist keine Aufforderung, einen Agenten mit Löschrechten auszustatten. Sie zeigt, warum dieselbe gespeicherte Angabe je nach Handlung eine andere Prüfung braucht. Wo der erlaubte Prüfweg fehlt, bleibt die Aktion offen oder wird an die zuständige Person übergeben.

Ein fiktiver Fall: Der Ansprechpartner hat gewechselt

Ein Projektassistent hat eine frühere Zuständigkeitsliste gespeichert. Darin ist eine Person als Ansprechpartner für Projektberichte genannt. Wochen später soll er einen neuen Bericht vorbereiten. Im aktuellen Projektordner liegt inzwischen eine andere freigegebene Zuständigkeitsliste.

Für die interne Vorbereitung kann der Agent zunächst den Bericht erstellen, sofern ihm dafür erlaubte Quellen vorliegen. Der Versand bleibt ein gesonderter Schritt. Vor diesem Schritt muss er den aktuellen Empfänger aus der verbindlichen Liste lesen und mit dem Auftrag abgleichen. Eine alte erfolgreiche Zustellung bestätigt keine heutige Berechtigung.

Stimmen Auftrag und neue Liste nicht überein, muss der Widerspruch sichtbar werden. Der Agent darf nicht still die plausiblere Person auswählen. Die zuständige Projektleitung klärt den Konflikt. Bis dahin bleibt der Bericht ein Entwurf mit offenem Empfänger.

Der Test muss genau diese Trennung erkennen lassen. Ein korrekt verfasster Bericht mit falschem Versandziel fällt durch. Ein fertiger Entwurf mit begründet zurückgehaltenem Versand erfüllt dagegen den erlaubten Teilauftrag. Der Abschlussstatus muss beide Teile getrennt nennen.

Eine frühere Freigabe braucht einen konkreten Umfang

Gespeicherte Freigaben sind besonders anfällig für zu breite Verwendung. "Du darfst den Bericht senden" kann sich auf eine bestimmte Fassung und einen bestimmten Empfänger beziehen. Daraus folgt keine Erlaubnis für jede spätere Datei oder jede neue Empfängergruppe.

Halte deshalb fest, was freigegeben wurde: Objekt oder Fassung, Empfänger beziehungsweise Zielsystem und erlaubte Handlung. Wenn sich einer dieser Punkte wesentlich ändert, muss der Ablauf prüfen, ob die vorhandene Freigabe den neuen Fall noch deckt. Die konkrete Nutzeranweisung hat dabei Vorrang vor einer verkürzten Gedächtnisnotiz.

Der Agent darf eine eigene Zusammenfassung nicht in zusätzliche Befugnisse verwandeln. Ein Satz wie "Kommunikation freigegeben" ist unzureichend, wenn die ursprüngliche Entscheidung nur einen einzelnen Entwurf betraf. Die Freigaben in KI-Workflows behandeln diese Abgrenzung ausführlicher.

Alter allein entscheidet nicht über Gültigkeit

Eine Information wird nicht allein durch Zeitablauf falsch. Eine Formatpräferenz bleibt möglicherweise lange unverändert, während ein Lieferstatus nach kurzer Zeit überholt ist. Definiere die Prüfanlässe deshalb anhand der Art der Angabe und ihrer Verwendung.

Geeignete Anlässe sind ein neuer Auftrag, eine geänderte Quelle, ein Widerspruch oder eine Aktion mit höherer Fehlerfolge. Zusätzlich können fachlich begründete Prüfintervalle helfen. Ihre Länge muss aus dem Prozess kommen. Eine allgemeine Frist für alle Erinnerungen erzeugt entweder unnötige Abfragen oder unzureichende Kontrolle.

Dagegen spricht bei häufigem Nachlesen der zusätzliche Aufwand und die Abhängigkeit von erreichbaren Quellen. Deshalb ist eine selektive Prüfung sinnvoll. Sie darf jedoch nicht aus Bequemlichkeit genau die Angabe auslassen, die eine folgenreiche Handlung trägt. Wenn der aktuelle Empfänger fehlt, hilft eine erneute Prüfung der Schriftart nicht weiter.

Widersprüche müssen die Aktion verändern können

Eine Prüfung hat nur dann praktischen Nutzen, wenn ihr Ergebnis berücksichtigt wird. Wenn der Agent trotz neuer widersprüchlicher Information unverändert handelt, war das Nachlesen lediglich zusätzliche Aktivität. Lege deshalb vorab fest, welche Befunde zu Fortsetzung, Änderung oder Stopp führen.

Beispiel: Die aktuelle Quelle bestätigt den gespeicherten Status. Der Vorgang läuft im erlaubten Umfang weiter. Die Quelle nennt einen neuen Status. Der Entwurf wird angepasst und erneut geprüft. Die Quelle ist nicht erreichbar. Die aktuelle Tatsachenbehauptung bleibt unbestätigt; eine davon abhängige externe Aktion wird zurückgestellt.

Diese Reaktionen müssen im Test sichtbar sein. Ein Protokolleintrag "Quelle geprüft" reicht nicht, wenn nicht erkennbar ist, welcher Stand vorlag und welchen Einfluss er auf die Entscheidung hatte. Die Überwachung von KI-Agenten beschreibt die dazu passende Ereignisliste.

Prüfe den Zustand unmittelbar vor der Handlung

Zwischen einer ersten Prüfung und der späteren Aktion kann sich etwas ändern. Ein Ticket wird parallel von einem Mitarbeiter bearbeitet. Eine Datei erhält eine neue Fassung. Eine Freigabe wird zurückgezogen. Der Ablauf muss für solche Fälle festlegen, welche Angaben direkt vor dem Schreibzugriff erneut abgeglichen werden.

Das ist besonders bei längeren Warteschlangen relevant. Ein am Morgen vorbereiteter Auftrag darf am Nachmittag nicht automatisch mit unveränderten Annahmen ausgeführt werden. Prüfe die für die Aktion notwendige Objektversion oder den aktuellen Status, soweit das Zielsystem diese Kontrolle ermöglicht.

Bei einem Konflikt folgt keine blinde Überschreibung. Der Agent meldet den abweichenden Zustand und gibt die Entscheidung an den vorgesehenen Weg zurück. Die technische Umsetzung hängt von den Funktionen des Zielsystems ab und muss dort separat getestet werden. Eine Prompt-Regel allein verhindert keine konkurrierenden Änderungen.

Teste gezielt veraltete und unvollständige Erinnerungen

Ein brauchbarer Testbestand enthält bewusst veraltete Angaben. Lege in einer Testumgebung eine alte Zuständigkeit ab und stelle eine neue verbindliche Quelle bereit. Prüfe, ob der Agent die neue Information vor der relevanten Aktion verwendet. Ergänze einen Fall, in dem die aktuelle Quelle fehlt.

Nimm ausserdem eine unvollständige Freigabe auf: Der Entwurf ist bestätigt, der Versand nicht. Das System muss diese Grenze erhalten. Ein weiterer Fall enthält zwei widersprüchliche Quellen ohne eindeutige Rangfolge. Hier ist die erwartete Reaktion eine Klärung, keine erfundene Sicherheit.

Bewerte sowohl unnötige Stopps als auch unberechtigte Fortsetzung. Wenn jede Formatfrage den gesamten Ablauf blockiert, ist die Lösung im Alltag schwer nutzbar. Wenn aktuelle Empfänger- oder Berechtigungsfragen übergangen werden, ist die Grenze unzureichend. Die Agentenevaluation hilft, diese Ergebnisse getrennt auszuwerten.

Aktualisiere das Gedächtnis nach bestätigter Klärung

Nach einer geklärten Änderung muss auch die gespeicherte Information nachvollziehbar angepasst werden. Sonst erzeugt dieselbe alte Notiz im nächsten Lauf denselben Konflikt. Halte den neuen Stand mit Quelle fest und kennzeichne die bisherige Aussage als ersetzt, soweit die eingesetzte Ablage diese Historie unterstützt.

Speichere dabei nur Informationen, die für künftige erlaubte Aufgaben tatsächlich gebraucht werden. Ein Agentengedächtnis ist kein Anlass, vollständige private Kommunikation dauerhaft zu sammeln. Umfang, Zugriff und Aufbewahrung müssen zum freigegebenen Einsatz passen.

Die zuständige Person prüft, ob die Korrektur im richtigen Bereich angekommen ist. Eine Änderung in einer persönlichen Notiz aktualisiert nicht automatisch eine gemeinsam genutzte Wissensquelle. Der Abschluss braucht deshalb einen Readback der tatsächlich verwendeten Ablage.

Starte mit einer einzigen wiederkehrenden Aktion

Wähle einen Ablauf, in dem gespeicherte Angaben heute regelmässig weiterverwendet werden. Benenne die Handlung und ihre notwendigen Voraussetzungen. Ordne jeder Voraussetzung die verbindliche Quelle und den Prüfanlass zu. Kläre, wer Widersprüche entscheidet und welche Aktion bis dahin ausgesetzt bleibt.

Danach testet ihr Normalfall, veraltete Angabe und fehlende Quelle. Der erste sinnvolle Fortschritt ist eine nachvollziehbare Grenze: Der Agent verwendet Erinnerungen dort, wo sie passen, und holt aktuelle Belege dort ein, wo die nächste Handlung sie braucht. Eine pauschale Zusage fehlerfreien Erinnerns entsteht daraus nicht.

Quellenstand: 23. Oktober 2026. Das Originalpaper wurde in Version 1 gelesen. Ansprechpartnerfall, Prüfraster und Betriebsablauf sind eigene redaktionelle Empfehlungen; die genannten Benchmark-Ergebnisse sind keine Sicherheitsgarantie für reale Arbeitsabläufe.