Drei Begriffe, drei verschiedene Aufgaben
Memory, Tools und Guardrails werden in Agentenprojekten oft in einem Satz genannt. Architektonisch erfüllen sie jedoch klar getrennte Aufgaben. Memory hält relevanten Zustand fest. Tools erlauben Handlungen in anderen Systemen. Guardrails begrenzen und prüfen, was gelesen, geschrieben oder ausgegeben werden darf.
Wenn diese Schichten vermischt werden, entstehen schwer wartbare Systeme. Ein Prompt wird plötzlich zum Datenspeicher, ein Werkzeug entscheidet selbst über Berechtigungen und eine nachträgliche Textprüfung soll jeden Prozessfehler auffangen. Ein belastbares Harness hält die Zuständigkeiten getrennt und verbindet sie über einen eindeutigen Ablauf.
Memory: Nicht alles merken, sondern das Richtige
Ein Agent benötigt kurzfristigen Zustand für den aktuellen Auftrag und gegebenenfalls langfristiges Wissen für spätere Läufe. Beides ist nicht dasselbe. Gesprächsverlauf, aktueller Arbeitsschritt und temporäre Zwischenergebnisse gehören in den Laufzeitkontext. Bestätigte Regeln, dokumentierte Entscheidungen und freigegebene Fakten gehören in dauerhafte Quellen.
Gutes Memory ist deshalb selektiv. Es speichert keine zufälligen Modellformulierungen als Wahrheit und keine personenbezogenen Daten ohne Zweck. Es kennt Herkunft, Aktualität und Gültigkeit einer Information. Wenn ein Live-System den aktuellen Status liefern kann, schlägt dieser Status eine alte Erinnerung.
- Kurzfristig: Auftrag, aktueller Schritt, offene Fragen und temporäre Ergebnisse
- Langfristig: bestätigte Regeln, Prozesswissen und freigegebene Entscheidungen
- Kanonisch: Dateien, CRM, Datenbank oder API bleiben Quelle für veränderliche Fakten
Tools: Handeln mit kleinsten notwendigen Rechten
Werkzeuge machen aus einer Antwort eine Handlung. Das kann eine Suche sein, ein CRM-Update, eine Dateierstellung oder ein Versand. Genau deshalb braucht jedes Tool einen engen Vertrag: erlaubte Eingaben, validierte Ausgaben, Zeitlimit, Fehlerzustände und minimale Berechtigungen.
Ein Agent sollte nicht pauschal Zugriff auf ein ganzes System erhalten, wenn er nur einen Datensatz anlegen muss. Lesende und schreibende Werkzeuge gehören getrennt. Kritische Aktionen benötigen idempotente Schlüssel oder eine vorherige Freigabe, damit Wiederholungen nicht doppelt buchen, senden oder löschen.
Guardrails: Grenzen vor, während und nach dem Modell
Guardrails sind mehr als ein Satz im Systemprompt. Eingabegrenzen schützen vor zu großen oder unzulässigen Anfragen. Berechtigungsregeln entscheiden, ob ein Werkzeug überhaupt genutzt werden darf. Ausgabeschemata stellen sicher, dass nachfolgende Systeme strukturierte Daten erhalten. Fachliche Prüfungen kontrollieren, ob das Ergebnis zum Prozess passt.
Das Model Context Protocol trennt Host, Client und Server und macht deutlich, dass Sicherheitsgrenzen nicht ausschließlich im Modell liegen. Der Host kontrolliert unter anderem Berechtigungen, Kontext und Autorisierung. Diese Trennung ist wichtig: Ein Modell kann eine Aktion vorschlagen, aber das Harness entscheidet, ob sie erlaubt, bestätigt und tatsächlich ausgeführt wird.
Zusammenspiel am Beispiel eines Angebotsprozesses
Ein Auftrag kommt per Formular oder E-Mail. Memory hält Kundenzuordnung, Bearbeitungsstand und bestätigte Regeln. Tools lesen Produktdaten, erzeugen ein Dokument und legen einen Entwurf im CRM ab. Guardrails prüfen Pflichtfelder, Preisgrenzen und Empfänger. Vor dem Versand stoppt der Prozess an einer menschlichen Freigabe. Danach sendet ein eng begrenztes Werkzeug genau einmal und dokumentiert das Ergebnis.
Keiner dieser Bausteine allein wäre der Agent. Erst ihr koordinierter Ablauf macht den Prozess zuverlässig. Das Sprachmodell hilft beim Verstehen und Erstellen; das Harness sorgt dafür, dass daraus kontrollierte Arbeit wird.
Architektur vor Modellromantik
Modelle werden besser und wechseln schneller als Unternehmensprozesse. Ein sauber getrenntes Harness erlaubt deshalb, das Modell auszutauschen, ohne Berechtigungen, Zustände und Sicherheitslogik neu zu erfinden. Diese Austauschbarkeit ist nicht nur technisch elegant. Sie schützt Investitionen und verhindert, dass ein ganzer Prozess an einem einzigen Anbieter hängt.