heise+ | So funktioniert Kill-Switch-Architektur für KI-Anwendungen

Die Frage klingt zunächst trivial, fast nach einer Anfängerübung: Ich habe eine agentische Anwendung, in der ein Orchestrator Agenten startet, die ihrerseits Subagenten starten, die Werkzeuge aufrufen, die wiederum Prozesse anstoßen. Wie baue ich einen Schalter, der das Ganze auf einen Schlag stilllegt? Eine saubere Antwort auf diese Frage führt zu einigen der ältesten Probleme verteilter Systeme. Sie widerlegt zudem eine Annahme, die fast jeder zuerst trifft: Ich kenne die Prozesse, also kann ich sie beenden.

• Agenten sind keine Prozesse. Sie über PIDs beenden zu wollen, ist daher die unzuverlässigste Methode, sie zu bremsen. Die Menge aktiver Agenten ist ein bewegliches Ziel, was es schwierig macht, sie dediziert per Signal anzusteuern.
• Agenten kann man stoppen, indem sie Berechtigungen verlieren oder sich bei einem ausbleibenden Signal beenden.
• Fünf Ebenen greifen ineinander: cgroups, Netz- und Zugangsentzug, ein Durchsetzungspunkt für Berechtigungen, eine autoritative Kontrollebene und kurzlebige Berechtigungstoken.
• Die vorgestellte Kill-Switch-Architektur kann nur ein garantiertes Erlahmen der Agenten nach einer begrenzten Zeit versprechen, einen sofortigen Ausschalter bietet auch sie nicht.

Denn diese Annahme trifft in zweifacher Hinsicht nicht zu. Erstens sind die Prozesse eben nicht bekannt. Das Betriebssystem vergibt Prozess-IDs dynamisch zur Laufzeit, und die Menge der laufenden Agenten ist ein bewegliches Ziel, das sich in genau dem Moment verändert, in dem man versucht, es einzufangen.

Eldar Sultanow ist IT-Stratege bei Capgemini mit Schwerpunkt auf moderner Softwarearchitektur und Gutachter für das Deutsche Zentrum für Luft- und Raumfahrt.

Zweitens – und das ist der eigentlich unbequeme Teil – ist das Beenden eines Prozesses etwas anderes als das Stoppen eines Agenten. Wenn ein Agent bereits eine Zahlung initiiert, ein externes Programm gestartet, eine Mail versandt oder ein DELETE-Kommando an die REST-API abgeschickt hat, macht das ein SIGKILL nicht rückgängig. Der Kill-Switch, den sich alle wünschen, ist also nicht das, was er zu sein scheint, und zwar aus strukturellen Gründen. Ein Blick darauf, was stattdessen möglich ist, ist also angebracht.