// ansatz · die these
Policy ist keine Freigabe.
KI-Agenten können bereits auf echten Systemen handeln. Was fehlt, ist nicht mehr Autonomie — sondern ein vertrauenswürdiger Weg, einen verantwortlichen Menschen im Loop zu behalten, ohne die Arbeit auszubremsen. Das ist die Frage, um die sich hier jedes Projekt dreht.
Die Lücke
Die meisten Agenten-Plattformen beantworten die Sicherheitsfrage mit Policy: Regeln, die im Voraus und im Hintergrund festlegen, was ein Agent tun darf. Policy ist notwendig und skaliert — aber sie entscheidet über Kategorien, nie über die konkrete Aktion, die gerade vor dir liegt. „Darf E-Mails versenden" ist nicht dasselbe wie „ja, sende genau diese E-Mail, an genau diese Leute, mit genau diesem Inhalt." Für reversible Aktionen mit geringem Risiko reicht Policy auf Kategorienebene. Für irreversible reicht sie nicht.
Was Human-in-the-Loop wirklich bedeutet
Human-in-the-Loop wird oft auf eine Benachrichtigung oder eine Checkbox reduziert, die jemand anklickt, ohne sie zu lesen. Das ist Theater, keine Kontrolle. Echtes Human-in-the-Loop bedeutet: Eine Person sieht die genaue Aktion, versteht sie und trifft eine bewusste Entscheidung, die das System danach nachweisbar genau so ausführt — nicht mehr und nicht weniger. Der Mensch ist kein Abnick-Stempel, sondern die Instanz, die für diesen konkreten Schritt entscheidet.
WYSIWYS — was du siehst, ist was du signierst
Entlehnt aus dem kryptografischen Signieren: Was du freigibst, muss genau das sein, was danach läuft. Fordert ein Agent eine Aktion an, wird dem Menschen die genaue Anfrage angezeigt — auf einem separaten Gerät, in klarer Sprache — und die Freigabe wird per Passkey (WebAuthn) an genau diese Anfrage gebunden. Keine Substitution zwischen dem, was gezeigt wurde, und dem, was ausgeführt wird. Das schließt die Lücke, in der ein vages „freigeben?"-Prompt verdeckt, was wirklich gleich passiert.
Fail-closed
Der sichere Zustand ist der Standard. Keine Freigabe heißt keine Aktion — kein Timeout, der still weiterläuft, kein Fallback, der Ja annimmt. Bequemlichkeit geht nie über Sicherheit, wenn es um die Aktionen geht, die zählen. Ein System, das fail-open ist, wird irgendwann in deinem Namen das Falsche tun.
Defense in depth
Das menschliche Gate ist eine Schicht, nicht die einzige. Sensible Backends bleiben abseits des öffentlichen Internets, worker-zu-worker über Service-Bindings erreichbar; Secrets werden verwaltet, nicht eingebettet; Infrastruktur ist Code, reproduzierbar und überprüfbar. Der Freigabeschritt ist nur deshalb wirksam, weil die Fläche darum herum klein und diszipliniert bleibt.
Wo der Mensch hingehört — und wo nicht
Das Ziel ist nicht, vor jede Aktion einen Menschen zu stellen — das würde Automatisierung zunichtemachen. Die eigentliche Kunst liegt darin, die Gates richtig zu wählen: irreversible Schreibaktionen, Löschungen, alles, was echtes Geld, Identität oder externe Parteien betrifft. Alles andere sollte durchlaufen. Diese Grenze gut zu ziehen, ist das eigentliche Engineering-Problem — und genau das erforscht diese Arbeit.
Wie der Hub das umsetzt
Jede Lösung ist eine Ausprägung desselben Prinzips. mcp-approval ist das Gate selbst — per Passkey signierte, WYSIWYS-basierte Freigabe für Agenten-Aktionen. mcp-knowledge hält die Daten, mit denen ein Agent arbeitet, abseits des öffentlichen Internets, sodass Schreibaktionen gegatet statt exponiert werden können. Vault überträgt sie auf Zugänge: Der Agent nutzt den Zugang, ein Mensch gibt ihn frei, und die Schlüssel bleiben aus seiner Hand. Unterschiedliche Oberflächen, eine These — die Arbeit automatisieren, den Menschen verantwortlich halten.