Vier Themenfelder
Wo die Prinzipien angewendet werden: Agenten ohne Drift, harte Kontrollen, Compliance als Automatisierung und Daten innerhalb von Grenzen.
Agenten ohne Drift betreiben
Autonome Coding-Agenten in vier getrennte Schleifen aufteilen, jede mit messbaren Fortschrittsregeln.
- Arbeit wird Branch für Branch geliefert: unabhängiges Review, ein automatischer Scan, der Organisationsdaten blockiert, ein vom Owner freigegebener Merge.
- Reviewer sind an den exakten Commit gebunden; aufwendige Jobs laufen einzeln nacheinander.
- Ein gemeinsames Kern-Repository mit Instanzen je Organisation.
Harte Kontrollen zuerst
Sandboxing, Isolation und begrenzte Zugangsdaten schützen mehr als Prompts oder Anweisungsdateien.
- KI-Agenten wie fähige, aber fehlbare Bediener steuern.
- Der Entwurf für einen kleinen, modellfreien Host-Agenten: Er würde nur Befehle von einer Allowlist über Git ausführen, mit signierten Nachrichten und ohne eingehenden Port.
Compliance als Automatisierung
ISMS-Betrieb, Risikoregister und Sicherheitsaufgaben können als Automatisierung statt in Tabellen laufen.
- ISO-27001- und SOC-2-Programme: Audits und Lückenanalyse.
- Ein hierarchisches GRC-Rahmenwerk auf der CSA Cloud Controls Matrix, mit automatisierter Kontrollzuordnung und Aufgaben-Workflows für ISMS-Audits.
- Readiness für den EU Cyber Resilience Act und den AI Act.
Daten innerhalb von Grenzen
Daten, die ein Nutzer bereits sehen kann, über eine authentifizierte Browser-Sitzung abrufen, wenn offizielle APIs oder Exporte nicht ausreichen, mit klar benannten rechtlichen, vertraglichen und sicherheitsbezogenen Grenzen.
- Analyse und visuelle Aufbereitung in SQL, Python und BI für Kontroll- und Risikoberichte.
Semantisches Web und Wissensgraphen
Wissen, Anforderungen und Nachweise lassen sich am besten als Graph verknüpfter Aussagen führen, in dem jede Verknüpfung angibt, wie verlässlich sie ist.
- Aussagen sind Knoten und die Schritte dazwischen sind Kanten; das Vertrauen wächst, wenn unabhängige Wege übereinstimmen, nicht wenn eine einzelne Quelle wiederholt wird.
- Zwei Modelle verbinden, ohne ein gemeinsames Vokabular zu erzwingen: Jedes Modell beschreibt sich selbst, und jede behauptete Verknüpfung zu einem anderen Modell ist ein ausdrückliches, prüfbares Objekt.
- Eine Definition in wenige Grundbeziehungen zerlegen, sodass sich zeigt, dass „Präsident“ und „Geschäftsführer“ dieselbe Struktur teilen.
Lesen: Compliance als Graph, nicht als Tabellenkalkulation Verwandte Projekte →
Datenherkunft und Vertrauen
Eine Zahl im Dashboard steht am Ende einer Kette von Schritten und verdient daher dieselben Nachweisprüfungen wie eine Compliance-Aussage.
- Jede abgeleitete Spalte oder Kennzahl wird als Aussage behandelt, mit einem Vertrauenswert, der aus dem berechnet wird, woraus sie abgeleitet wurde.
- Definitionen und Übersetzungen zwischen Modellen tragen ein ausgewiesenes Datum, sodass eine geänderte Definition eine Überprüfung erzwingt, statt stillschweigend übernommen zu werden.
- Eine Möglichkeit, ein unbekanntes System wie eine API oder einen anderen Agenten anzubinden: von einer generischen Vorlage ausgehen, sie per Abfrage ausfüllen und nachvollziehbar anpassen.
Dies sind Spezifikationen und ausgearbeitete Beispiele, keine validierten Ergebnisse.