AgentGuard vor unseren eigenen Agenten
Seit Juli 2026 meldet jeder unserer Agenten jede Aktion an AgentGuard. Was dabei in gut drei Monaten zusammenkam, gezählt aus der Datenbank, mit allem, was nicht gut aussieht.
- Aufgezeichnete Aktionen
- 49.948
- Agenten im Betrieb
- 13
- Hätte eingegriffen (Protokoll)
- 136
- Brüche in der Kette
- 0
Worum es geht
Wir verkaufen AgentGuard, also muss es zuerst bei uns laufen. Unser Mandant heißt
krynex-internal. Daran hängen zwölf n8n-Agenten (Recherche, Redaktion, Video, Beobachtung von
Mitbewerbern und Versionen, ein ERP-Assistent) und Claude Code, das vor jedem Werkzeugaufruf über
Cyberbrain bei AgentGuard nachfragt: vor jedem Shell-Befehl, jedem Schreiben einer Datei, jedem
Webabruf.
Alle Zahlen auf dieser Seite haben wir am 30. Oktober 2026 um 16:26 UTC aus der Datenbank gelesen, nur lesend, nur unser eigener Mandant. Kundendaten stehen hier keine; Namen von Personen, die Freigaben erteilt oder abgelehnt haben, lassen wir weg.
Was aufgezeichnet wurde
Vom 17. Juli bis 30. Oktober 2026 sind es 49.948 Einträge. Davon kommen 49.015 von Claude Code (seit dem 25. September, als der Anschluss dazukam), 893 von den n8n-Agenten und 40 von Prüfläufen, mit denen wir neue Funktionen am echten Dienst ausprobiert haben.
| Urteil | Anzahl |
|---|---|
| erlaubt | 49.728 |
| einem Menschen vorgelegt | 110 |
| abgelehnt | 106 |
| zurückgehalten | 4 |
Fast alles ist erlaubt. Das ist kein Kunststück, sondern die Folge davon, dass bis auf zwei alle Agenten im Protokoll laufen: AgentGuard bewertet und schreibt mit, lehnt aber nichts ab. Scharf geschaltet sind der ERP-Assistent, der Kunden anlegt und Angebote schreibt, und ein Zahlungsformular.
Wo AgentGuard eingegriffen hätte
Im Protokoll hält AgentGuard fest, was es in der Aufsicht getan hätte. Das sind 136 Urteile, 135 davon aus der Inhaltsprüfung an Befehlen von Claude Code: 70-mal hätte sie einen Befehl wegen Zugangsdaten gestoppt, 55-mal wegen Bankdaten einem Menschen vorgelegt, dazu kleinere Gründe. Wie viele davon echte Zugangsdaten waren und wie viele Fehlalarme, etwa ein Variablenname, der wie ein Schlüssel aussieht, haben wir nicht einzeln ausgewertet. Genau dafür ist der Protokoll-Modus da: erst sehen, wo die Regel anschlägt, dann entscheiden, ob man sie scharf schaltet.
Was nicht gut aussieht
Cyberbrain legt Vorschläge für sein Gedächtnis AgentGuard vor, bevor sie gespeichert werden. Von 101 solchen Vorlagen sind 97 abgelaufen, ohne dass jemand entschieden hat. AgentGuard hat sie danach abgelehnt, die Vorschläge wurden also nicht gespeichert. Das ist die richtige Richtung, wenn niemand hinsieht, aber es zeigt auch: eine Freigabe, die niemand ansieht, ist im Ergebnis ein Nein. Wer die Aufsicht einschaltet, braucht jemanden, der die Vorlagen tatsächlich liest, oder weniger davon.
Die übrigen Ablehnungen sind wenige und größtenteils Prüfläufe: Inhalte mit Zugangsdaten, ein unbekannter Agent, eine Sperrfrist, zwei von Menschen abgelehnte Freigaben. Außerhalb der Prüfläufe steht genau ein harter Stopp in der Kette, vom ersten Tag des n8n-Anschlusses: der ERP-Assistent wollte eine E-Mail verschicken, die sein Auftrag nicht vorsah. Ob das ein echter Versuch war oder unser Einrichtungstest, lässt sich aus der Zeile allein nicht sagen.
Wenn AgentGuard nicht antwortet
Unser Redaktions-Agent hat sechs Läufe mit dem Ergebnis „unbekannt“ gespeichert, also ohne Antwort von AgentGuard. Seine Texte sind trotzdem entstanden. So ist es für das Protokoll gedacht: der Wächter soll den Betrieb nicht anhalten, wenn er selbst ausfällt.
Ist die Aufzeichnung unverändert?
Am 30. Oktober haben wir die ganze Kette aus der Datenbank nachgerechnet. Die 49.345 Einträge unseres Mandanten seit dem Schnitt, an dem die Kette je Mandant beginnt, sind lückenlos verkettet, und der letzte signierte Checkpoint ist gültig. Seit dem 25. Oktober trägt jede neue Zeile zusätzlich eine eigene Ed25519-Signatur; am 30. Oktober waren es 6.086.
Ein Nachweis-Archiv der letzten drei Tage (3.201 Zeilen) haben wir mit dem Prüfskript von unserer Website geprüft, so wie ein Kunde es tun würde. Wie das geht, steht auf Prüfen statt glauben.
Was wir daraus mitnehmen
- Der Protokoll-Modus hat keinen unserer Abläufe angehalten, auch nicht, als AgentGuard nicht antwortete, und zeigt trotzdem, wo eine Regel greifen würde.
- Die Inhaltsprüfung schlägt bei Befehlen eines Programmierassistenten oft an. Bevor wir sie dort scharf schalten, müssen wir die Funde durchsehen.
- Freigaben nur dort einschalten, wo jemand sie in der Frist auch bearbeitet.
Selbst ausprobieren: die Demo im Browser mit ausgedachten Agenten, oder ein Pilot auf eurer eigenen Instanz.