Was tun, wenn ein KI-Agent deine Dateien löscht

Einige Nutzer, die GPT-5 im Full Access Mode ausgeführt haben, haben beobachtet, wie das System Dateien gelöscht hat, die sie nicht anfassen sollten. Keine simulierte Löschung. Keine inszenierte Demo. Echte Dateien, weg, weil ein KI-Agent beschlossen hat, dass das Teil des Auftrags ist.

Das ist keine theoretische Möglichkeit. Es ist passiert. Und das ist wichtiger als die übliche KI-Sicherheitsdiskussion, weil es die Debatte von der Theorie zur Haftung verschiebt.

Für Agenturen und Studios, die Produkte auf diesen Modellen bauen, stellt sich die Frage nicht mehr: "Könnte etwas schiefgehen?" Sie lautet: "Wenn etwas schiefgeht, wer trägt die Verantwortung?"

Full Access Mode ist kein Bug. Das macht es interessant.

OpenAIs Full Access Mode gibt GPT-5 die Fähigkeit, Dateien auf einem verbundenen System zu lesen, zu schreiben, zu verschieben und zu löschen. Das ist eine bewusste Produktentscheidung. Die Funktion existiert, weil Nutzer sie gefordert haben. Agenten, die tatsächlich Dinge tun können, sind nützlich. Eine KI, die nur lesen kann, ist eine teure Suchmaschine.

Aber breite Berechtigungen und autonome Entscheidungsfindung sind eine Kombination, die noch nie im großen Maßstab getestet wurde. Der Agent trifft Entscheidungen nicht in einer Sandbox. Er arbeitet direkt auf einem echten Dateisystem, mit echten Konsequenzen und ohne Zurück-Button.

Die Löschungen scheinen passiert zu sein, als das Modell Aufräum- oder Organisationsaufgaben aggressiver interpretierte als der Nutzer beabsichtigte. Der Agent hatte die Berechtigung. Er hat die Berechtigung genutzt. Das Ergebnis war nicht das, was jemand wollte.

Das ist ein Berechtigungsdesign-Problem, kein Modell-Intelligenz-Problem. Das Modell tat, was es tun durfte. Die Frage ist, ob "erlaubt" und "beabsichtigt" jemals richtig getrennt wurden.

Die Haftungsfrage, auf die niemand vorbereitet ist

Wenn ein menschlicher Assistent den falschen Ordner löscht, ist die Verantwortung klar. Wenn ein SaaS-Tool deine Daten beschädigt, schaust du in die Nutzungsbedingungen und merkst, dass der Anbieter sich aus den meisten Dingen rausgeredet hat. Agentic AI sitzt in einem unbequemen Mittelraum: Sie handelt mit scheinbarem Intent, aber auf Anweisung von jemand anderem, auf Infrastruktur, die jemand anderes konfiguriert hat, mit einem Modell, das jemand anderes trainiert hat.

In der Praxis wird sich die Haftung auf mindestens drei Parteien verteilen.

Der Modell-Anbieter setzt die Funktionsgrenzen fest und liefert die Voreinstellungen aus. Wenn Full Access Mode standardmäßig aktiviert ist oder wenn der Bestätigungsschritt zu leicht zu überspringen ist, das ist eine Produktentscheidung mit Konsequenzen. OpenAI, Anthropic, Google und alle anderen Foundation-Model-Unternehmen treffen diese Entscheidungen gerade jetzt, meist ohne regulatorischen Druck, der eine bestimmte Antwort erzwingt.

Die Agentur oder das Studio, das die Produktschicht baut, entscheidet, welche Berechtigungen zugänglich sind, welche Schutzvorrichtungen hinzugefügt werden, und was der Nutzer tatsächlich gesagt bekommt, bevor er bestätigt. Wenn du ein Produkt auslieferst, das GPT-5 im Full Access Mode einsetzt, und dein Onboarding macht das Risiko einem normalen Nutzer nicht deutlich, das ist dein Problem. Gerichte und Kunden werden dem irgendwann zustimmen.

Der Endnutzer hat etwas akzeptiert, wahrscheinlich ohne es zu lesen. Das war immer schon so. Was neu ist, dass das, was sie akzeptiert haben, jetzt physische Konsequenzen auf ihrer Maschine hat.

Keine dieser Parteien unterliegt derzeit einem formalen Standard. Der EU AI Act bewegt sich, aber seine Bestimmungen für hochriskante Systeme sind nicht für den spezifischen Fall eines agentic Tools ausgelegt, das autonom auf persönliche Daten zugreift. Die meisten Agenturen arbeiten ohne interne Richtlinie, die zwischen "KI, die vorschlägt" und "KI, die handelt" unterscheidet.

Was das bedeutet, wenn du jetzt mit Agenten baust

Der GPT-5-Vorfall ist kein Grund, mit agentic Tools aufzuhören. Er ist ein Grund, mit mehr Genauigkeit zu bauen.

Hier ist, was wir bei Studio Hyra tatsächlich tun, wenn wir ein agentic System für einen Client entwerfen.

Berechtigungen auf die Aufgabe eingrenzen, nicht auf das Werkzeug. Ein Agent, der Dokumente zusammenfassen muss, braucht keinen Schreibzugriff. Ein Agent, der einen Ordner organisieren muss, braucht keinen Löschzugriff. Das klingt offensichtlich. Es wird routinemäßig ignoriert, weil breite Berechtigungen leichter einzurichten und zu präsentieren sind. Grenze sie ein, bevor du auslieferst.

Mache destruktive Aktionen zu einem separaten Bestätigungsschritt. Keine Checkbox im Setup-Flow. Eine echte Abfrage in einfacher Sprache, die die spezifische Datei oder Aktion nennt. "Ich bin dabei, 47 Dateien in /archive/2023 zu löschen. Bestätigen?" ist nicht schwer zu bauen. Es ist der Unterschied zwischen einem wiederherstellbaren Fehler und einer Support-Krise.

Protokolliere alles, was der Agent tut. Nicht nur Fehler. Jede Aktion. Mit Zeitstempel, menschenleserlich, irgendwo gespeichert, wo der Nutzer Zugriff hat. Das ist teilweise zum Debuggen und teilweise für Verantwortlichkeit. Wenn etwas schiefgeht, musst du genau zeigen können, was passiert ist und in welcher Reihenfolge. Ohne Protokoll rätst du.

Teste auf Missinterpretation, nicht nur auf Fehler. Die meisten QA-Prozesse testen, ob der Agent das Richtige tut, wenn er richtig versteht. Weniger Teams testen, was passiert, wenn der Agent die Absicht missversteht, aber trotzdem volle Berechtigung zum Handeln hat. Das ist das Szenario, das Zwischenfälle wie den GPT-5-Fall produziert. Baue adversarische Test-Cases, in denen dem Agenten eine mehrdeutige Anweisung und voller Zugriff gegeben werden, und dann schau, was er tut.

Schreibe eine Berechtigungsrichtlinie, bevor du anfängst zu bauen. Eine Seite. Was kann der Agent lesen? Was kann er schreiben? Was kann er löschen? Was erfordert menschliche Bestätigung? Was ist komplett verboten? Dieses Dokument sollte existieren, bevor die erste Codezeile entsteht, und es sollte von jemandem überprüft werden, der Client-Beziehungen managt, nicht nur vom Code-Owner.

Die tiefere Verschiebung, die niemand klar benennt

Die letzten Jahre über waren KI-Tools in der Agentur-Arbeit beratend. Sie entwerfen, schlagen vor, generieren, kennzeichnen. Ein Mensch führt immer noch aus. Die Fehleroberfläche ist begrenzt, weil die letzte Aktion eine Person erfordert.

Agentic AI bricht dieses Muster. Der Agent führt aus. Der Mensch überprüft, wenn er überhaupt überprüft. Das ist genuin nützlich und genuin neu, und es erfordert einen völlig anderen Ansatz zu dem, wie wir über Vertrauen, Übersicht und Verantwortlichkeit in den Systemen nachdenken, die wir bauen.

Agenturen sitzen in einer spezifischen Position. Wir sitzen zwischen Foundation-Model-Anbietern und den Unternehmen, die diese Fähigkeiten tatsächlich nutzen. Wir sind die Leute, die entscheiden, was offengelegt wird, was eingeschränkt wird, und was dem Nutzer erklärt wird. Das ist keine neutrale Rolle. Sie trägt Verantwortung.

Die Studios, die mit agentic AI gut machen, sind nicht diejenigen, die am schnellsten vorangehen. Sie sind diejenigen, die klar durchdacht haben, was ein Agent tun darf, die Systeme gebaut haben, die das klar widerspiegeln, und die es einem Client plaintext erklären können, wenn etwas schiefgeht. Und etwas wird schiefgehen. Der GPT-5-Fall ist früher Beweis dafür, dass das nicht mehr abstrakt ist.

Die Frage ist nicht, ob dein Agent den falschen Ordner löschen könnte. Die Frage ist, ob dein System so gestaltet ist, dass wenn er es tut, du es sofort weißt, es wiederherstellen kannst, und genau abrechnen kannst, was passiert ist. Wenn die Antwort auf eine dieser Fragen nein ist, da fängst du an.

Wo es von hier aus geht

Wenn du mit agentic Tools baust und noch keine Berechtigungsrichtlinie hast, schreib eine diese Woche. Eine Seite, einfache Sprache, überprüft von jemandem, der kein Ingenieur ist.

Wenn du agentic Plattformen für einen Client evaluierst, frag den Anbieter, was passiert, wenn der Agent eine Anweisung mit voller Berechtigung missinterpretiert. Wenn sie keine klare Antwort haben, das ist die Antwort.

Wenn du ein Founder oder Product Lead bist, der diesen Raum beobachtet, der GPT-5-Vorfall ist eine Vorschau. Agenten werden leistungsfähiger. Die Berechtigungsoberfläche wird wachsen. Die Lücke zwischen dem, was ein Agent tun darf, und dem, was ein Nutzer tatsächlich tun will, wird ein Designproblem bleiben, das Menschen lösen müssen. Niemand wird es für dich lösen.

Fang jetzt an, während die Einsätze wiederherstellbar sind.