Chinas Nationales Technisches Komitee 260 für Cybersicherheit hat am 14. September 2026 den KI-Sicherheitsrahmen 3.0 veröffentlicht. Die Überarbeitung ist relevant, weil sie agentische KI als eigenes Betriebsrisiko behandelt und nicht nur als weitere Modellfunktion. Die Kontrollen werden um Identität, Rechte, Planung, Werkzeugnutzung, Speicher, Überwachung und menschliche Eingriffe strukturiert.
Das Dokument ist ein nicht bindender Governance-Rahmen. Es ändert kein chinesisches Gesetz, führt keine neue Zertifizierung ein und setzt keine gesetzliche Compliance-Frist. Sein Wert liegt woanders: Es bietet Entwicklern, Betreibern und Prüfteams eine aktuelle Referenz dafür, wie ein Agent vom Erzeugen von Inhalten zum Handeln in einer Umgebung übergeht.
Was sich in Version 3.0 geändert hat
Laut offizieller Mitteilung behält der Rahmen die bisherige Struktur aus Risikoklassifizierung, technischer Reaktion und umfassender Governance bei. Gleichzeitig wird die Taxonomie an neue Entwicklungen der KI angepasst. Das beigefügte zweisprachige Dokument ergänzt einen eigenen Rahmen für das Risikomanagement agentischer KI und Grundsätze für vertrauenswürdige KI.
Eine unabhängige Analyse von Obsidian Regulatory Intelligence nennt vier agentenspezifische Bereiche: Missbrauch von Identität und Rechten, Fehler bei Schlussfolgerung und Planung, Risiken der Werkzeugausführung und Risiken der Speicherung im Gedächtnis. Sie beschreibt außerdem verkörperte KI, autonomes Cyberangriffsverhalten und die Vergiftung von Agentenspeichern oder Empfehlungssystemen.
Das ist eine wichtige Änderung im Kontrolldesign. Ein Chatbot lässt sich meist anhand von Eingaben, Ausgaben und Datenverarbeitung prüfen. Bei einem Agenten müssen zusätzlich seine Befugnisse, selbst erzeugte Schritte, ausgewählte Werkzeuge, gespeicherter Zustand und tatsächliche Wirkungen bewertet werden.
Agentenrisiken über den Lebenszyklus
Der stärkste praktische Aspekt ist die Lebenszyklusperspektive. Teams können prüfen, ob jeder Agent eine eigene Identität hat, ob delegierte Rechte auf die Aufgabe begrenzt sind und ob Nutzer oder Organisationen sehen können, wozu er befugt ist. Diese Fragen müssen vor dem Einsatz beantwortet werden und nicht erst nach einem Vorfall.
Planung und Werkzeugausführung brauchen getrennte Kontrollen. Ein vernünftiges Ziel bedeutet nicht, dass jeder Zwischenschritt autorisiert ist. Ein Agent kann einen zerstörerischen Befehl, eine übermäßige Datenabfrage oder eine externe Nachricht wählen, die über die Absicht des Nutzers hinausgeht. Eine Laufzeitrichtlinie sollte deshalb Aktion, Ressource, Anfragenden und erwartete Wirkung vor der Ausführung bewerten.
Der Speicher bildet eine weitere Grenze. Dauerhafter Zustand kann falsche Anweisungen oder sensible Daten in spätere Aufgaben tragen. Teams brauchen Regeln für Eigentum, Aufbewahrung, Trennung und Löschung des Agentenspeichers. Zudem muss nachvollziehbar sein, welcher gespeicherte Eintrag eine Aktion beeinflusst hat.
Überwachung und Eingriff schließen den Kreis. Protokolle sollten Aufgabe, Identität, Recht, Werkzeugaufruf, Ergebnis und Änderung im externen System verbinden. Ein menschlicher Stoppweg ist sinnvoll, muss aber durch automatische Eindämmung ergänzt werden, wenn ein Agent schneller handeln kann als ein Prüfer reagieren kann.
Was der Rahmen nicht belegt
Die Veröffentlichung zeigt nicht, dass eine bestimmte Kontrolle in einer Produktionsumgebung wirksam ist. Sie schafft keinen gemeinsamen internationalen Standard und zertifiziert kein Produkt als sicher. Auch wird nicht jede vorgeschlagene Maßnahme zu einer durchsetzbaren Pflicht.
Organisationen mit Tätigkeiten in China müssen weiterhin feststellen, welche Gesetze, Branchenregeln, Verträge und technischen Standards für ihre Systeme gelten. Rahmen 3.0 kann diese Arbeit unterstützen, ersetzt aber weder eine rechtliche Anwendbarkeitsprüfung noch Belege aus der eingesetzten Umgebung.
Der Rahmen ist auch kein Beweis dafür, dass Kontrollverlust, Speichervergiftung oder autonomes Cyberangriffsverhalten in einem benannten System stattgefunden haben. Es handelt sich um Risikokategorien und Szenarien, die angemessene Kontrollen und Tests verlangen.
Eine Kontrollliste für Betreiber
Teams können den Rahmen in eine kurze Prüfung übersetzen:
- Alle Agenten, Verantwortlichen, Modelle, Werkzeuge, Datenquellen und externen Wirkungen erfassen.
- Jedem Agenten eine eigene Identität und nur die minimalen Rechte für die aktive Aufgabe geben.
- Vertrauenswürdige Aufgabenanweisungen von abgerufenen Inhalten, Speicher und anderen nicht vertrauenswürdigen Eingaben trennen.
- Folgenschwere Werkzeugaufrufe vor der Ausführung bewerten und die Richtlinienentscheidung festhalten.
- Speicher nach Nutzer, Mandant und Zweck trennen sowie Aufbewahrung und Löschung festlegen.
- Aktionen und Ergebnisse überwachen, nicht nur Prompts und Modellantworten.
- Begrenzte menschliche Eingriffe und einen automatischen Eindämmungsweg bereitstellen.
- Den Agenten neu bewerten, wenn sich Modell, Werkzeuge, Rechte oder Kontext ändern.
Der Leitfaden zum Inventar von KI-Agenten von Maetra unterstützt die Basis aus Assets und Fähigkeiten. Die Vorlage zur Risikobewertung von KI-Agenten übersetzt die breiten Kategorien in verantwortete Prüffragen und Nachweise.
Maetra-Analyse
Rahmen 3.0 ist nützlich, weil er Governance an die Aktionsgrenze setzt. Das Risiko eines Agenten wird nicht nur vom Modell bestimmt. Es entsteht aus Identität, delegierter Befugnis, Aufgabe, Werkzeugen, Speicher und Umgebung.
Für Prüfteams ist daher eine Aktionskette die praktische Einheit des Nachweises. Der Datensatz sollte zeigen, welche Aufgabe der Agent erhielt, welche Befugnis er nutzte, was er vorschlug, welche Richtlinie entschied, was ausgeführt wurde und ob die beabsichtigte Wirkung eintrat. Diese Kette unterstützt Sicherheitsprüfung, Vorfallanalyse und Compliance-Nachweise, ohne anzunehmen, dass eine allgemeine Modellbewertung jede Bereitstellung abdeckt.
Der Rahmen ist eine Referenz und kein rechtlicher Schutzraum. Sein stärkster Nutzen besteht darin, fehlende Kontrollen und veraltete Nachweise zu finden, bevor die Autonomie wächst.