Google Cloud und Mysten Labs haben gemeinsam einen „verifizierbaren Agenten-Schiedsrichter“ entwickelt (VAA, angekündigt am 6. Oktober). In der Branche wird das groß gefeiert, aber wenn man die Architektur genauer liest, wird klar: Sie löst nur die Hälfte, die am schwersten zu fälschen ist.
Zunächst einmal: Was macht das System tatsächlich? Die Ausführungsprotokolle des KI-Agenten – Prompts, Modellausgaben und Tool-Aufrufe – bleiben weiterhin im Google-Cloud-Speicher des jeweiligen Unternehmens. Niemand kann die Geschäftsinhalte lesen. On-Chain gespeichert werden nur **Integritätsnachweise** für diese Protokolle; sie liegen auf Walrus, während die Koordination über Sui läuft. Die Aufteilung ist clever: Die Protokolle gehören dem Kunden, die Beweise der öffentlichen Blockchain. Jeder kann überprüfen, dass „nichts verändert wurde“, ohne an die Daten selbst heranzukommen.
Auch die Käufer wurden bereits benannt: Ab 2027 drohen Unternehmen nach dem EU-KI-Gesetz bei fehlenden Protokollen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Das erste Budget in der Agentenwirtschaft fließt daher womöglich nicht in Fähigkeiten, sondern in „Nachweise“. Auch die begleitenden Funktionen sind durchaus konkret: Wiedergabe strittiger Vorgänge, Rekonstruktion von Vorfällen, Anbindung an Googles A2A-Protokoll sowie die Zuordnung von Aufruf, Zahlung und Autorisierung für Agentenzahlungen auf Sui und x402.
Doch das Wort „verifizierbar“ erfüllt schon lange zwei Aufgaben. Die eine: nachweisen, dass ein Protokoll nicht manipuliert wurde – das lässt sich kryptografisch lösen. Die andere: prüfen, ob eine Handlung außerhalb der erteilten Befugnisse lag – das ist eine Frage der Berechtigungsrichtlinien. Die Identität kann nur beantworten: „Darf dieser Agent handeln?“ Sie beantwortet nicht: „Liegt diese konkrete Handlung innerhalb seiner Befugnisse?“ VAA perfektioniert den ersten Teil, doch der zweite bleibt offen: Wer pflegt das Verzeichnis, das festlegt, „welcher Stempel gilt und auf welchen Bereich er Zugriff gewährt“? Bisher hat niemand eine Lösung geliefert. Auch die Studie von ToFu lohnt sich: Unter 273 MCP-Servern und 3405 Tools wurden 343 semantische Sicherheitslücken gefunden – „formal korrekt“ ist ein Urteil des Parsers, keine Sicherheitsentscheidung.
Mein 60-Sekunden-Test: Wenn jemand mit einem „verifizierbaren Agenten“ wirbt, frage ich nur eines: Legt das Verzeichnis vor. Wenn das nicht möglich ist, sollte man ehrlich zugeben, dass hier eine Lücke besteht. Und wenn ein System ohne Versionsprotokoll gefragt wird: „Welcher Zustand galt letzte Woche zu diesem Zeitpunkt?“, sollte es mit UNKNOWN antworten. Das ist kein Mangel, sondern Ehrlichkeit.
$SUI
Dies stellt keine Anlageberatung dar. DYOR
Zunächst einmal: Was macht das System tatsächlich? Die Ausführungsprotokolle des KI-Agenten – Prompts, Modellausgaben und Tool-Aufrufe – bleiben weiterhin im Google-Cloud-Speicher des jeweiligen Unternehmens. Niemand kann die Geschäftsinhalte lesen. On-Chain gespeichert werden nur **Integritätsnachweise** für diese Protokolle; sie liegen auf Walrus, während die Koordination über Sui läuft. Die Aufteilung ist clever: Die Protokolle gehören dem Kunden, die Beweise der öffentlichen Blockchain. Jeder kann überprüfen, dass „nichts verändert wurde“, ohne an die Daten selbst heranzukommen.
Auch die Käufer wurden bereits benannt: Ab 2027 drohen Unternehmen nach dem EU-KI-Gesetz bei fehlenden Protokollen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Das erste Budget in der Agentenwirtschaft fließt daher womöglich nicht in Fähigkeiten, sondern in „Nachweise“. Auch die begleitenden Funktionen sind durchaus konkret: Wiedergabe strittiger Vorgänge, Rekonstruktion von Vorfällen, Anbindung an Googles A2A-Protokoll sowie die Zuordnung von Aufruf, Zahlung und Autorisierung für Agentenzahlungen auf Sui und x402.
Doch das Wort „verifizierbar“ erfüllt schon lange zwei Aufgaben. Die eine: nachweisen, dass ein Protokoll nicht manipuliert wurde – das lässt sich kryptografisch lösen. Die andere: prüfen, ob eine Handlung außerhalb der erteilten Befugnisse lag – das ist eine Frage der Berechtigungsrichtlinien. Die Identität kann nur beantworten: „Darf dieser Agent handeln?“ Sie beantwortet nicht: „Liegt diese konkrete Handlung innerhalb seiner Befugnisse?“ VAA perfektioniert den ersten Teil, doch der zweite bleibt offen: Wer pflegt das Verzeichnis, das festlegt, „welcher Stempel gilt und auf welchen Bereich er Zugriff gewährt“? Bisher hat niemand eine Lösung geliefert. Auch die Studie von ToFu lohnt sich: Unter 273 MCP-Servern und 3405 Tools wurden 343 semantische Sicherheitslücken gefunden – „formal korrekt“ ist ein Urteil des Parsers, keine Sicherheitsentscheidung.
Mein 60-Sekunden-Test: Wenn jemand mit einem „verifizierbaren Agenten“ wirbt, frage ich nur eines: Legt das Verzeichnis vor. Wenn das nicht möglich ist, sollte man ehrlich zugeben, dass hier eine Lücke besteht. Und wenn ein System ohne Versionsprotokoll gefragt wird: „Welcher Zustand galt letzte Woche zu diesem Zeitpunkt?“, sollte es mit UNKNOWN antworten. Das ist kein Mangel, sondern Ehrlichkeit.
$SUI
Dies stellt keine Anlageberatung dar. DYOR