W3C: Ein Auftrag ist kein Freibrief für KI-Agenten

Ein neues W3C-Diskussionspapier skizziert, wie Webstandards den Einsatz von KI-Agenten sicherer machen sollen. Im Mittelpunkt stehen Schutz vor Prompt Injection, kontrollierbare Berechtigungen und Barrierefreiheit.

Anlass ist laut W3C der Wandel vom lesenden zum handelnden Agenten: KI-Systeme rufen nicht mehr nur Informationen ab, sondern bedienen Websites im Auftrag ihrer Nutzer. Dabei können sie auf persönliche Daten zugreifen und Informationen zwischen Websites übertragen. Das W3C-Strategieteam fordert deshalb klare Sicherheitsgrenzen und verlässliche Verfahren, mit denen Nutzer folgenschwere Aktionen freigeben.

Philippe Le Hegaret, beim W3C für die technische Strategie verantwortlich, beschreibt die Vorschläge im Diskussionspapier „W3C and the State of the Web in the AI Era“. Der am 21. Oktober 2026 veröffentlichte Text soll die Debatte beim W3C-Treffen TPAC vorbereiten. Er enthält Empfehlungen des Strategieteams, keine bereits verabschiedeten Standards. Die offizielle Präsentation ist für den 29. Oktober vorgesehen.

Fremder Text trifft auf weitreichende Rechte

Ein zentrales Problem ist Prompt Injection. Agenten verarbeiten Inhalte, denen sie nicht vertrauen dürfen, verfügen zugleich aber über Zugriffsrechte ihres Nutzers. Anders als bei Cross-Site Scripting muss ein Angreifer dafür nicht unbedingt ausführbaren Code einschleusen. Eine Anweisung in gewöhnlichem Seitentext, einem Dokument oder einer Werkzeugantwort kann genügen, um einen Agenten zu einer unerwünschten Aktion zu verleiten. Ob der Angriff gelingt, hängt von dessen Berechtigungen und dem Umgang mit fremden Inhalten ab.

Als Beispiel dient dieses Szenario: Ein Agent recherchiert auf einer öffentlichen Website und hat zugleich Zugriff auf interne Dokumente. Die Website fordert ihn auf, vertrauliche Inhalte an einen externen Dienst zu übermitteln. Die Same-Origin Policy verhindert einen solchen Angriff nicht unbedingt, denn der Agent kann mit seinen eigenen Zugriffsrechten Informationen zwischen Websites übertragen, die selbst nicht auf die Daten der jeweils anderen zugreifen dürften.

Das Strategieteam will deshalb zusammenhängende Bedrohungsmodelle für Agenten, WebMCP und browserinterne KI-Funktionen erarbeiten lassen. Zunächst sollen die Gruppen Architekturen und Vertrauensgrenzen klären. Dabei müssen sie unterschiedliche Einsatzformen berücksichtigen: Wenn ein Entwickler eine KI-API des Browsers nutzt, stellen sich andere Sicherheitsfragen als bei einem Agenten, der mit den Rechten eines Nutzers durchs Web navigiert. Zu den Prüfpunkten gehören auch gefälschte Werkzeuge und Agenten, die ihre eigenen Aktionen genehmigen.

Zustimmung braucht mehr als einen Bestätigungsdialog

Bevor ein Agent folgenschwere Aktionen ausführt, soll er die Zustimmung des Nutzers einholen. Nutzer sollen erkennen können, was ein Agent getan hat, Aktionen möglichst rückgängig machen und selbst entscheiden, welcher Agent für sie handelt. Bei Zahlungen nennt das Strategieteam konkrete Anforderungen: Ausgabenlimits, widerrufbare Befugnisse, eindeutige Belege und nachvollziehbare Wege für Reklamationen.

Das Beispiel einer Reisebuchung veranschaulicht die Unterscheidung: Der Auftrag, passende Flüge zu suchen, ist nicht automatisch eine Freigabe, ein kostenpflichtiges Ticket zu kaufen. Eine Bestätigung müsste die konkrete Buchung erkennbar machen. Zugleich warnt das W3C-Diskussionspapier vor Bestätigungsmüdigkeit. Wer jede Kleinigkeit freigeben muss, könnte auch sicherheitsrelevante Rückfragen irgendwann ungeprüft bestätigen.

Die vorgeschlagene Agentic Web Working Group soll deshalb Muster für Zustimmung und die Übergabe an Menschen bearbeiten. Identitäts- und Authentifizierungsgruppen sollen untersuchen, wie Agenten delegierte Befugnisse nachweisen können, ohne selbst Zugangsdaten besitzen zu müssen. Verifiable Credentials und dezentrale Identifikatoren könnten helfen, Agenten zu identifizieren und ihre Bevollmächtigung nachzuweisen. Die zuständigen W3C-Gruppen sollen prüfen, ob die vorhandenen Datenmodelle dafür ausreichen.

Barrierefreiheit ist kein Kanal für Agentenbefehle

Ein weiterer Konflikt betrifft die Semantik von Websites. Agenten nutzen bereits HTML und Informationen zur Barrierefreiheit, um Oberflächen zu verstehen. Das Strategieteam warnt jedoch davor, ARIA – Accessible Rich Internet Applications – auf die Bedürfnisse von Agenten zuzuschneiden und damit die Bedienbarkeit für Menschen zu verschlechtern. Es schlägt ausdrücklich Leitlinien gegen Agentenanweisungen in aria-label und gegen Prompt Injection über ARIA vor.

Für Entwickler bedeutet das: Die zugängliche Beschriftung eines Buttons sollte weiterhin dessen Funktion vermitteln. Dort einen ausführlichen Arbeitsauftrag für einen Agenten unterzubringen, würde Informationen für assistive Technik mit Maschinenanweisungen vermischen. Auch automatisch erzeugte Alternativtexte sollen laut Diskussionspapier weder die Beschreibungen der Autoren noch deren Absicht vollständig ersetzen.

Wo vorhandenes HTML ausreicht und wo zusätzliche Schnittstellen nötig sind, bleibt Gegenstand der Diskussion. Die vorgeschlagene Arbeitsgruppe soll das Verhältnis von HTML, ARIA und WebMCP klären. Für Anforderungen aus den beteiligten Gruppen empfiehlt das Strategieteam zwei gekoppelte Listen: Was braucht der Agent, um zuverlässig zu handeln, und was braucht der Mensch, um sicher zu bleiben und die Kontrolle zu behalten? Bei Konflikten sollen die menschlichen Bedürfnisse Vorrang haben.

Datenschutz muss das Agentengedächtnis einschließen

Agenten können Daten zwischen Websites, Sitzungen und ihrem eigenen Speicher bewegen. Das erweitert die Datenschutzfragen über einzelne Seitenaufrufe hinaus. Die Privacy Working Group soll deshalb untersuchen, wie sich solche Datenflüsse begrenzen lassen, welche Informationen in Modelle gelangen und welche Kontrolle Nutzer über lokale oder cloudbasierte Inferenz erhalten.

Das Papier schlägt dabei auch einen Inkognitomodus ohne Agentengedächtnis vor. Gemeint ist ein Arbeitsauftrag an die Standardisierung, keine angekündigte Browserfunktion. Der Unterschied zum privaten Browsen ist grundlegend: Ein Browser kann auf lokale Verlaufsdaten verzichten, während ein begleitender Agent Inhalte dennoch in einem dauerhaften Speicher ablegt.

Auch Protokolle von Prompts und Werkzeugaufrufen sollen in die Datenschutzprüfung einfließen. Solche Aufzeichnungen können bei der Fehlersuche helfen, enthalten aber möglicherweise vertrauliche Informationen. Das Strategieteam will klären lassen, welche Daten sie erfassen dürfen und wer sie einsehen kann.

Offene Standards statt abgeschotteter Agentenwelten

Über die unmittelbaren Nutzerrisiken hinaus warnt das W3C-Papier vor einer stärkeren Zentralisierung. Agenten, die bevorzugt Partner-Websites bedienen, Abhängigkeiten von einzelnen Modellen und herstellerspezifische Werkzeugregister könnten das interoperable Web schwächen. Der vorgeschlagene Wertekatalog lehnt deshalb sowohl Agenten-Lock-in als auch reine KI-Zugangswege ab, die das von Menschen bedienbare Web ersetzen.

Auch Inhalteanbieter sollen kontrollieren können, wie ihre Arbeit verwendet wird. Das Strategieteam sieht bislang kein systematisches Gegenstück zum bisherigen Austausch mit Suchmaschinen: Inhalte crawlen und im Gegenzug Besucher vermitteln. Es will untersuchen lassen, wie bestehende Arbeiten zu maschinenlesbaren Nutzungsvorbehalten und Rechtebeschreibungen unterschiedliche Interessen zusammenbringen können.

Die nächsten Schritte bestehen vor allem darin, diese Anforderungen in konkrete Arbeitsaufträge zu übersetzen. Das Strategieteam empfiehlt unter anderem, die Agentic Web Working Group mit einem ausdrücklichen Auftrag für Sicherheit, Datenschutz, Identität und delegierte Befugnisse einzurichten. Ob und wie daraus Spezifikationen entstehen, sollen die W3C-Gruppen nun diskutieren.