Wenn der Agent die Kontrolle übernimmt: Was der Meta-Vorfall über die Zukunft autonomer Handelssysteme verrät

Letzte Woche hat ein KI-Agent bei Meta fast zwei Stunden lang dafür gesorgt, dass Mitarbeiter:innen unbefugten Zugang zu Unternehmens- und Nutzerdaten hatten. Nicht weil jemand einen Exploit ausgenutzt hätte. Nicht weil ein Passwort geleakt wurde. Sondern weil ein interner KI-Agent – gedacht als Entwicklungshilfe in einer sicheren Umgebung – eigenständig auf eine technische Frage in einem Unternehmensforum geantwortet hat. Inklusive sensibler Daten, die er sich selbst zusammengesucht hatte. Wie The Verge berichtet, versicherte Metas Sprecherin Tracy Clayton, es seien "no user data mishandled" worden. Aber der Reihe nach.

Ein Muster, kein Einzelfall

Was bei Meta passiert ist, wäre vor einem Jahr noch eine Kuriosität gewesen. Derzeit ist es ein Muster. In derselben Woche berichtete The Register, wie ein Security-Startup McKinseys internen KI-Chatbot "Lilli" innerhalb von zwei Stunden kompromittierte – 57.000 User-Accounts und 728.000 Dateien lagen offen. Und das Security-Lab Irregular dokumentierte Fälle, in denen KI-Agenten eigenständig Virenscanner deaktivierten und Passwörter veröffentlichten.

Drei Vorfälle in einer Woche, drei verschiedene Unternehmen, dasselbe Grundproblem: Agenten handeln über ihre Autorisierung hinaus. Nicht weil sie gehackt wurden – sondern weil sie tun, wofür sie gebaut wurden. Nur eben ein bisschen zu viel davon.

Was hat das mit Commerce zu tun?

Alles. Denn genau diese Klasse von Agenten – autonom handelnde Systeme mit Zugriff auf Daten und die Fähigkeit, Aktionen auszuführen – ist das, was die Branche gerade als "Agentic Commerce" feiert. Mirakl und J.P. Morgan bauen Payment-Infrastruktur für KI-Agenten. Santander und Visa haben in Lateinamerika den ersten End-to-End-Piloten für agent-initiierte Zahlungen abgeschlossen. Amazon erweitert Shop Direct, damit Agenten im Namen von Kund:innen einkaufen können. Und Mastercard arbeitet an "Verifiable Intent" – einem System, das beweisen soll, dass ein:e Nutzer:in eine Transaktion tatsächlich autorisiert hat.

Die Frage stellt sich: Wenn ein KI-Agent bei Meta nicht mal die Autorisierungsgrenzen innerhalb eines Entwicklerforums einhalten kann – was passiert, wenn solche Systeme Zugriff auf Zahlungsdaten, Warenkörbe und Kund:innenkonten haben?

Die Autorisierungslücke

Das Kernproblem ist nicht technische Inkompetenz. Es ist eine konzeptionelle Lücke. Klassische Sicherheitsarchitekturen basieren auf der Annahme, dass ein authentifizierter Nutzer Aktionen durchführt und dafür verantwortlich ist. KI-Agenten passen nicht in dieses Modell. Sie agieren im Auftrag – aber die Grenze zwischen "recherchieren" und "ausführen", zwischen "analysieren" und "veröffentlichen" ist fließend.

Amazon hat das auf juristische Weise zu spüren bekommen: Wie Reuters berichtet, schränkte ein Gericht Perplexitys AI Shopping Agent ein – der Agent hatte zwar die Erlaubnis der Nutzer:innen, aber nicht die von Amazon. Das Verfahren läuft noch. Genau dieses Dispute-Muster – "Ich habe Recherche autorisiert, keinen Kauf" – taucht laut dem Agentic Commerce Frontier-Newsletter bereits als neue Kategorie in Zahlungs-Streitfällen auf.

Know Your Agent – das neue KYC?

Die Branche reagiert. PYMNTS und Trulioo haben ein "Know Your Agent"-Framework vorgestellt, das ein Fünf-Schichten-Verifikationsmodell für autonome Agenten vorschlägt – eine Erweiterung des klassischen KYC auf nicht-menschliche Akteure. Knapp 90 Prozent der befragten Organisationen sehen Bot-Aktivitätsmanagement bereits als ernsthafte Herausforderung.

Und Forrester hat gerade "Responsible AI" neu definiert – mit den drei Säulen Explainability, Accountability und Trustworthiness. Bemerkenswert: Einige Tech-Anbieter lehnten die Teilnahme an der Studie ab. Das allein sagt eine Menge.

Fairerweise muss man sagen: Die Industrie ist nicht blind. Mastercards Verifiable Intent und Stripes Shared Payment Tokens sind ernsthafte Versuche, Autorisierungsketten für agent-initiierte Transaktionen nachvollziehbar zu machen. Aber zwischen "wir arbeiten daran" und "es ist produktionsreif" liegen Welten – und in dieser Lücke passieren Vorfälle wie bei Meta.

Die unbequeme Frage

Was der Meta-Vorfall zeigt, ist kein Sicherheitsdesaster im klassischen Sinne. Niemand hat eingebrochen. Der Agent hat funktioniert – nur eben über seine Grenzen hinaus. Und genau das ist das Problem, das Agentic Commerce lösen muss, bevor es skaliert.

Denn im Handel geht es nicht um Forenbeiträge. Es geht um Geld, Kund:innendaten und Transaktionen. Wenn ein Agent bei einem Tech-Konzern mit Milliarden-Budget die Autorisierungsgrenzen nicht einhält – was passiert dann bei einem Mittelständler, der gerade seinen ersten Shopping-Agenten ausrollt?

Meine Vermutung ist eher, dass wir in den nächsten zwölf Monaten noch deutlich schmerzhaftere Vorfälle sehen werden. Nicht weil die Technologie schlecht ist, sondern weil die Governance nicht Schritt hält. Die Branche baut gerade den Motor, bevor die Bremsen fertig sind. What could possibly go wrong?