Wenn Software autonom wird

IT-Infrastruktur ist lange einem vergleichsweise starren Prinzip gefolgt. Hardware wurde erst beschafft, dann vor Ort installiert und anschließend für eine bestimmte Aufgabe konfiguriert. Cloud Computing hat diese Struktur zunehmend aufgeweicht und zentrale Ressourcen wie Rechenleistung, Speicher und Netzwerkkapazitäten über APIs zugänglich gemacht. Mit dem Aufkommen agentischer KI steht nun ein ähnlicher Wandel an. Agenten können ihren Ressourcenbedarf selbst definieren und bestimmen, auf welche Anwendungen und Daten sie zurückgreifen müssen oder wie viel Rechenkapazität sie erfordern. Die zugrunde liegende Infrastruktur muss darauf flexibel reagieren und sich an den Bedarf anpassen können. Herkömmliche Ansätze sind auf diese Dynamik jedoch bislang kaum ausgelegt.

Agentische Systeme erfordern agentische Infrastrukturen

Obwohl Tools wie ChatGPT, Claude oder Gemini zunehmend agentische, mehrstufige Workflows unterstützen, werden die meisten KI-Anwendungen im produktiven Einsatz von Unternehmen für Single-Call-Interaktionen genutzt. In einzelnen Modellaufrufen stellen Nutzer eine konkrete Anfrage und erhalten eine entsprechende Antwort, etwa um Content zu erstellen oder Dokumente zusammenzufassen. Diese kurzen, zustandslosen Request-Response-Zyklen lassen sich gut mit klassischer Serverless-Infrastruktur abbilden. Dabei wird für jeden Aufruf ein eigener Container gestartet und die jeweilige Funktion nach kurzer Zeit wieder beendet. Für solche Workloads ist die bestehende IT-Infrastruktur vieler Unternehmen in der Regel ausreichend.

Mit dem Einsatz von agentischer KI ändert sich das allerdings. Statt lediglich auf Prompts zu reagieren, können KI-Agenten komplexere Aufgaben übernehmen und über mehrere Schritte hinweg selbstständig bearbeiten. Dafür rufen sie beispielsweise verschiedene Modelle und Tools auf, warten auf deren Antwort oder pausieren Prozesse, um sie später wieder aufzunehmen. Zunehmend führen sie dabei auch eigenen Code aus. So entstehen langanhaltende, I/O-gebundene und zustandsorientierte Workloads, die sich grundlegend von klassischen Anwendungen unterscheiden. Um diese Workloads zuverlässig abzubilden, braucht es eine neue Grundlage: agentische Infrastruktur. Dabei ist es nicht ausreichend, serverlose Infrastruktur um KI-Fähigkeiten zu ergänzen. Stattdessen muss sie eine Laufzeitumgebung bereitstellen, die grundlegend auf die Arbeitsweise von Agenten ausgelegt ist.

Damit Agenten sicher mit Modellen, Tools, APIs und externen Systemen interagieren können, muss agentische Infrastruktur drei zusätzliche Ebenen bereitstellen. Dazu gehört zunächst eine Model-Routing-Schicht, über die Agenten die unterschiedlichen Modell-Anbieter zentral ansprechen können, ohne dass Authentifizierung und Abrechnung für jeden einzeln erfolgen. Hinzu kommt ein Credential-Brokering-Layer, der den Zugriff auf externe Dienste ermöglicht, ohne dem Agenten oder dem von ihm erzeugten Code die zugrunde liegenden API-Schlüssel offenzulegen. Eine isolierte Ausführungsumgebung stellt abschließend sicher, dass fehlerhafte Tool-Aufrufe oder kompromittierte Abhängigkeiten vom übrigen System abgeschirmt bleiben.

Warum mehr Rechenleistung allein das Problem nicht löst

Derzeit entstehen weltweit neue Rechenzentren, die dem steigenden Bedarf an Rechenleistung gerecht werden sollen. Für den Einsatz agentischer KI reichen zusätzliche Kapazitäten und mehr GPUs allein jedoch nicht aus, weil Agenten schneller arbeiten, als die meisten bestehenden Prozesse es zulassen. Ein Coding-Agent kann etwa innerhalb ein und desselben Workflows Code schreiben, testen und für die Bereitstellung vorbereiten. Muss dann der Schritt in die Produktionsumgebung über eine Cloud-Konsole, einen manuellen Terraform-Apply oder die Freigabe durch menschliche Zustimmung erfolgen, wird der autonome Prozess des Agenten unterbrochen. Das passiert unabhängig davon, wie viel Rechenleistung ihm zur Verfügung steht.

Agentische Infrastruktur muss dementsprechend nicht nur ausreichend Compute bereitstellen, sondern auch die operativen Prozesse auf die Geschwindigkeit und Autonomie der Agenten ausrichten. Bisher sind Agenten zum Teil allerdings immer noch auf manuelle Schritte angewiesen, die ihre Workflows ins Stocken bringen. Um das zu verhindern, sollten sie Deployments selbstständig über CLI, API oder Git anstoßen können, für jeden Versuch automatisch einen Preview-URL erhalten und bei Problemen mit Änderungen ein sofortiges Rollback auslösen können. Erst wenn diese Abläufe automatisiert erfolgen, kann ein Agent eine Aufgabe durchgängig bearbeiten, ohne an den Schnittstellen der Infrastruktur aufgehalten zu werden.

Neue Autonomie erfordert neues Sicherheitsdenken

Anders als klassische KI-Systeme brechen KI-Agenten bei Störungen nicht einfach den gesamten Prozess ab. Statt sofort einem Menschen die Entscheidung zu überlassen, wie das Problem behoben wird, müssen sie zunächst selbst reagieren und alternative Lösungswege suchen. Dazu müssen sie über längere Workflows und Unterbrechungen hinweg alle relevanten Kontextinformationen speichern, damit klar ist, welche Schritte bereits erfolgt sind und wo sie sich im Workflow befinden.

Dieses Vorgehen erfordert neue Sicherheitsmaßnahmen. Schließlich muss klar definiert sein, innerhalb welcher Grenzen ein Agent handeln kann. Um die Angriffsfläche dabei möglichst klein zu halten, sollten Berechtigungen nach dem Prinzip der geringsten Rechte vergeben werden. Agenten erhalten demnach nur die Berechtigungen, die notwendig sind, um eine konkrete Aufgabe zu lösen. Nach Abschluss werden ihnen diese automatisch wieder entzogen.

Ebenso wichtig ist es, dass die Prozesse der KI-Agenten nachvollziehbar bleiben. Sämtliche Aktionen und die zugrunde liegenden Entscheidungen müssen über den gesamten Workflow hinweg dokumentiert werden, damit ersichtlich ist, aus welchen Gründen ein Agent wie gehandelt hat. Gleichzeitig muss für den Fall vorgesorgt sein, dass ein Agent selbst kompromittiert oder manipuliert wird. Deshalb dürfen Agent und der von ihm erzeugte Code nicht in demselben Sicherheitskontext ausgeführt werden. Stattdessen sollten sie in separaten Sandboxen laufen, damit der generierte Code nicht nach den Berechtigungen des Agenten handeln oder dessen Rolle übernehmen kann. Auch Zugangsberechtigungen zu externen Diensten sollten nicht unmittelbar weitergegeben, sondern über einen Proxy vermittelt werden. Dadurch haben weder der Agent noch sein Code Zugriff auf die eigentlichen Zugangsdaten.

Bei besonders kritischen oder irreversiblen Schritten sollte die Entscheidung trotzdem weiterhin beim Menschen liegen. Dazu müssen vorab Kontrollpunkte definiert werden, an denen ein Workflow unterbrochen wird. Erreicht der Agent solch einen Freigabeabschnitt, erzeugt das System einen Hook mit einem unique Token und pausiert den Workflow, sodass keine weitere Rechenleistung beansprucht wird. Mithilfe des Tokens kann die Freigabe später dem jeweiligen Workflow und dem konkreten Prozessschritt zugeordnet werden. Sobald die Freigabe erfolgt ist, kann der Agent den Workflow an der unterbrochenen Stelle wieder aufnehmen. Das funktioniert selbst nach mehreren Tagen oder anderen zwischenzeitlichen Deployments. Auf diese Weise wird die menschliche Freigabe zu einem integrierten Bestandteil innerhalb des Agenten, statt über ein separates System außerhalb des eigentlichen Workflows abgewickelt zu werden.

Wenn die Infrastruktur mit der KI mitwachsen muss

Für den Einsatz agentischer KI müssen Entwickler den bestehenden Cloud-Stack nicht vollständig austauschen. Anwendungscode, eingesetzte KI-Modelle und bestehende Frameworks können grundsätzlich weiter genutzt werden. Der Fokus liegt auf der darunterliegenden Infrastruktur, die an die Anforderungen agentischer Workloads angepasst sein muss. Dazu gehört vor allem eine Compute-Ebene, die nicht die gesamte Laufzeit abrechnet, sondern die tatsächlich erfolgte Arbeit. Schließlich besteht ein Großteil der Workflows darin, dass Agenten auf andere Modelle, Tools oder externe Systeme warten. Ebenso müssen Workflows ihren Zustand über Unterbrechungen hinweg bewahren und Deployments ohne manuelle Zwischenschritte ermöglichen. Außerdem müssen Zugriffsrechte dynamisch und aufgabenspezifisch vergeben werden.

Agentische Infrastruktur verändert, was Software leisten kann und wie die Infrastruktur dahinter funktionieren muss. Während Cloud Computing IT-Ressourcen flexibel verfügbar gemacht hat, macht agentische KI nun die nächste Generation Infrastruktur erforderlich. Sie muss sich dynamisch an Systeme anpassen können, die selbstständig planen, handeln und Entscheidungen treffen. Der Ausbau von Rechenkapazitäten schafft dafür zwar eine wichtige Grundlage, ist allerdings nur ein Teil der Lösung. Unternehmen, die von KI-Agenten profitieren möchten, müssen ihre Infrastruktur und Betriebsprozesse künftig auf deren Funktionsweise ausrichten.