Allowlist (Positivliste)
Eine Allowlist ist eine Liste ausdrücklich erlaubter Ziele, Funktionen oder Absender; alles, was nicht auf der Liste steht, ist gesperrt, ohne dass es einzeln verboten werden muss.
Die Allowlist ist das Grundmuster der Werkzeuggrenze in einem Agent-Harness und die praktische Form des Least-Privilege-Prinzips für Netzwerkziele, Funktionen und Datenquellen einer KI-Automation.
In einfachen Worten
Es gibt zwei Arten, Zugriffe zu regeln. Eine Denylist (früher Blacklist genannt) nennt, was verboten ist, und lässt alles andere zu. Eine Allowlist (früher Whitelist) nennt, was erlaubt ist, und sperrt alles andere. Für Automationen ist die Allowlist die tragfähige Form, weil sich das Unerwünschte nicht vollständig aufzählen lässt: Eine neue Adresse, ein neues Werkzeug oder ein unbekannter Weg nach außen rutscht bei der Denylist durch, bei der Allowlist ist er von vornherein gesperrt. In einem Agent-Harness gibt es drei Allowlists. Die Werkzeugliste nennt die Funktionen, die das Sprachmodell aufrufen darf, jeweils mit dem Recht dazu, lesend oder schreibend, und dem Bereich, in dem es gilt (Function Calling). Die Zielliste nennt die Netzwerkadressen, die die Automation erreichen darf: das Modell, eine Schnittstelle, ein Postfach. Die Quellenliste nennt die Datenquellen, aus denen die Eingabe zusammengestellt wird. Alles Weitere existiert für die Automation nicht, und ein Aufruf ins Leere hinterlässt einen Eintrag im Audit-Log.
Wozu brauche ich das?
Die Allowlist ist das Werkzeug, mit dem ein Betrieb festlegt, was eine Automation überhaupt tun kann, bevor über Anweisungen an das Modell gesprochen wird. Sie wird je Vorgang geschrieben und gehört in die Dokumentation der Automation, weil sie die Frage beantwortet, die Kunden, Auftraggeber und Aufsicht stellen: Was kann dieses System im schlimmsten Fall auslösen? Bei einer Sandbox ist die Zielliste der Teil, der die Netzwerkseite abschließt.
Beispiel aus der Praxis
Ein Sanitärbetrieb lässt Anfragen von der Website automatisch vorsortieren und mit einem Terminvorschlag beantworten. Die Werkzeugliste der Automation enthält drei Funktionen: die Anfrage lesen, freie Termine im Kalender lesen, einen Antwortentwurf in den Entwurfsordner schreiben. Die Zielliste enthält die Adresse des Modells, die Schnittstelle des Kalenders und den Entwurfsordner. Versand, Löschen, Änderungen am Kalender und jede andere Adresse fehlen. Als ein Anfragetext eine versteckte Aufforderung enthält, alle Termine der Woche an eine fremde Adresse zu schicken, formuliert das Modell einen Versandversuch. Der Harness findet weder ein Versandwerkzeug noch die Adresse auf der Zielliste, bricht den Schritt ab und vermerkt den Versuch im Protokoll. Der Betrieb sieht den Vorfall am nächsten Morgen in der Liste der abgewiesenen Aufrufe.
Wirtschaftlicher Nutzen
Die Allowlist verkleinert den möglichen Schaden auf das, was ausdrücklich erlaubt wurde, und sie macht diese Grenze belegbar: Wer die Liste liest, weiß, was die Automation kann. Das erspart die endlose Pflege von Verbotslisten und die Diskussion, ob das Modell eine Anweisung wohl befolgen wird. Der Aufwand liegt darin, die Liste je Vorgang bewusst zu schreiben und nach jeder Erweiterung der Aufgabe zu prüfen. Er zahlt sich in jedem Vorfall aus, in dem ein Aufruf ins Leere lief statt in eine Buchung, eine Löschung oder einen Versand.
Typische Fehler
- Mit einer Denylist arbeiten und darauf vertrauen, dass alle unerwünschten Ziele und Funktionen bekannt sind.
- Die Werkzeugliste ohne Rechte führen, sodass eine lesende Funktion unbemerkt auch schreiben darf.
- Die Zielliste zu weit fassen, etwa eine ganze Domain statt einer konkreten Adresse, und damit den Weg nach außen offen lassen.
- Abgewiesene Aufrufe nicht protokollieren, sodass Angriffsversuche und Fehlkonfigurationen unsichtbar bleiben.
- Die Listen bei einer Erweiterung der Aufgabe erweitern, ohne die alten Einträge zu prüfen, sodass sie mit der Zeit alles erlauben.
Worauf achten?
- Drei Listen je Automation führen: Werkzeuge mit Rechten und Bereich, Netzwerkziele, Datenquellen.
- Jede Verbindung nach außen auf eine konkrete Adresse begrenzen, nicht auf einen Adressbereich.
- Schreibende Funktionen auf einen Entwurfsbereich beschränken und Verbindliches hinter eine Freigabe legen.
- Abgewiesene Aufrufe im Protokoll sichtbar machen und regelmäßig durchsehen.
- Die Listen als Teil der Dokumentation führen und bei jeder Änderung der Aufgabe neu freigeben.
Häufig gestellte Fragen
Was ist eine Allowlist?
Eine Liste ausdrücklich erlaubter Ziele, Funktionen oder Absender. Alles, was nicht darauf steht, ist gesperrt. Das Gegenstück ist die Denylist, die nur das Verbotene nennt und alles andere zulässt.
Warum ist eine Allowlist besser als eine Denylist?
Weil sich das Unerwünschte nie vollständig aufzählen lässt. Eine neue Adresse oder ein neues Werkzeug fällt bei der Denylist durch; bei der Allowlist ist es von vornherein gesperrt, bis es bewusst aufgenommen wird.
Welche Allowlists braucht eine KI-Automation?
Drei: eine Werkzeugliste mit Rechten und Bereich je Funktion, eine Zielliste mit den erlaubten Netzwerkadressen und eine Quellenliste mit den Datenquellen für die Eingabe. Zusammen bestimmen sie, was die Automation tun, erreichen und lesen kann.
Was passiert bei einem Aufruf, der nicht auf der Liste steht?
Der Harness führt ihn nicht aus und schreibt den Versuch in das Protokoll. Solche Einträge sind wertvoll, weil sie Angriffsversuche und Fehlkonfigurationen sichtbar machen, bevor sie Schaden anrichten.