Windows 11 Agenten Bild © MicrosoftWindows 11 Agenten (Bild © Microsoft)

Die Strategie ist klar: Jeder Windows 11-PC soll ein „KI-PC” werden. Die Taskleiste entwickelt sich zu einem Befehlszentrum mit einem Ask Copilot-Einstiegspunkt, und Funktionen wie Copilot Voice, Copilot Vision und Copilot Actions zeigen, wie Nutzer sprechen oder auf den Bildschirm zeigen können, damit das System mehrstufige Arbeitsabläufe ausführt. Auch wenn die heutigen Möglichkeiten begrenzt und optional sind, signalisiert die Plattformarchitektur, dass agentenbasiertes Computing eine grundlegende Rolle spielen soll.

Der Wettbewerbsdruck spielt dabei eine Rolle. Apple führt Apple Intelligence auf allen seinen Geräten ein, und Google treibt seine eigenen PC-Ambitionen voran. Microsoft geht davon aus, dass Windows die Steuerung durch natürliche Sprache und die autonome Ausführung von Aufgaben übernehmen muss oder Gefahr läuft, veraltet zu wirken.

Die Risiken

Die Sicherheitshinweise von Microsoft sind ungewöhnlich deutlich: KI-Agenten können falsche Ergebnisse liefern, unbeabsichtigte Aktionen ausführen und sind anfällig für Cross-Prompt-Injection (XPIA) – bösartige Anweisungen, die in Dokumente, Webseiten oder UI-Elemente eingebettet sind und die Ziele des Agenten außer Kraft setzen können. Im schlimmsten Fall kann das zu Datenlecks oder der heimlichen Installation von Malware führen.

Um dem entgegenzuwirken, fügt Windows 11 drei Säulen hinzu:

  • Agent-Arbeitsbereich: Jeder Agent läuft in einer separaten Windows-Sitzung mit eigenem Standardkonto, Desktop, Prozessbaum und Berechtigungsgrenze. Aktionen werden mit manipulationssicheren Protokollen überprüft, und die Sichtbarkeit des Agenten ist standardmäßig eingeschränkt.
  • Begrenzter Dateizugriff: Agenten können nur innerhalb bekannter Ordner (Dokumente, Downloads, Desktop, Videos, Bilder, Musik) lesen und schreiben, es sei denn, der Nutzer erweitert den Zugriff. Systemverzeichnisse und App-Daten sind standardmäßig gesperrt.
  • Model Context Protocol (MCP): Eine standardisierte, JSON-RPC-basierte Brücke, mit der Agenten Tools entdecken, Funktionen anfordern und über deklarierte Berechtigungen mit Diensten interagieren können. MCP zentralisiert die Authentifizierung, Autorisierung und Protokollierung, sodass Agenten niemals „frei agieren” können.

Entscheidend ist, dass experimentelle Agentenfunktionen standardmäßig deaktiviert sind. Durch ihre Aktivierung werden das Agentenkonto und der Arbeitsbereich bereitgestellt, jedoch werden dadurch keine KI-Funktionen hinzugefügt. Vielmehr wird der sichere Kontext vorbereitet, der für Funktionen wie Copilot-Aktionen erforderlich ist.

So funktionieren Agentensitzungen

Innerhalb des Agent Workspace interagiert ein Agent wie ein Mensch mit Anwendungen, er klickt auf Schaltflächen, tippt in Felder, scrollt, zieht Dateien und führt Operationen nacheinander aus. Dieses Design erklärt, warum Microsoft in eine vollständige Sitzungsisolierung statt in eine leichtgewichtige Prozess-Sandbox investiert. Wenn ein Agent eine Eingabeaufforderung falsch interpretiert oder wenn XPIA erfolgreich ist, sollte der Schaden auf eine Sitzung beschränkt bleiben, die Windows überwachen, begrenzen und prüfen kann.

Zugriffskontrolllisten stellen außerdem sicher, dass der Agent die Berechtigungen des Nutzers, der ihn aktiviert hat, nicht überschreiten kann. Zusätzliche Ressourcen müssen explizit gewährt werden, wodurch ein Zustimmungsprotokoll erstellt wird.

Datenschutzproblem

Der Ruf von Windows 11 in Sachen Datenschutz hat gelitten, vor allem durch Recall, das das Unternehmen nach heftigen Protesten zu einer Opt-in-Funktion umgestaltet hat. Dieses Erbe prägt die Wahrnehmung von Agent-Computing, wo die Risiken groß sind: Agenten können nicht nur beobachten, sondern auch handeln und Dateien bearbeiten, Dokumente verschieben und Apps bedienen. Microsoft vertritt die Haltung, dass Isolierung, Überwachung und Kontrollen auf Protokollebene diese Risiken erheblich reduzieren und gleichzeitig die Weiterentwicklung des Betriebssystems in Richtung einer Interaktion in natürlicher Sprache ermöglichen.

Windows 11 wird zu einem Testfeld für Agenten, die sowohl helfen als auch schaden können. Getestet wird dann wohl an Nutzern und es bleibt die Frage, ob das gut geht.