KI-Agent: Definition, Funktionsweise und Beispiele

Beispiel aus der Praxis

Der Hermes Pocket AI Agent ist ein selbst gehosteter Sprachagent von Ozan Orhan. Als Interface dient ein kleines Handgerät auf Basis eines ESP32-S3, das Sprache aufnimmt, einen Status anzeigt und Antworten abspielt. Die eigentliche Agentenlogik läuft auf einem Server.

Eine gesprochene Anfrage wird transkribiert und an den Agenten übergeben. Der Agent entscheidet dann selbst, ob er ein Werkzeug braucht, etwa Todoist für Aufgaben, Notion für Notizen oder den Kalender. Die Werkzeuge erreicht er über MCP. Die Antwort geht als Sprache zurück an das Gerät.

Das Beispiel zeigt, was einen KI-Agenten von einem festen Ablauf unterscheidet: Welcher Schritt folgt, hängt von der Anfrage ab. „Was steht morgen an?“ führt zum Kalender, „Merk dir, dass ich Milch kaufen muss“ zu Todoist. Ein fester Workflow müsste jeden dieser Pfade vorab kennen.

Welche Bausteine braucht ein KI-Agent?

Ein KI-Agent besteht aus wenigen Teilen. Jeder davon beeinflusst, wie zuverlässig und wie sicher er arbeitet.

Sprachmodell: Das LLM liest die Aufgabe, plant den nächsten Schritt und formuliert die Antwort. Die Wahl des Modells bestimmt Qualität, Geschwindigkeit und Kosten.

Anweisungen: Der System Prompt beschreibt Aufgabe, Ton und Grenzen. Er steuert das Verhalten, ist aber keine Sicherheitsgrenze.

Werkzeuge: Funktionen, die der Agent aufrufen darf, etwa eine Suche, eine Datenbankabfrage oder eine API. Name und Beschreibung eines Werkzeugs entscheiden mit darüber, ob das Modell es richtig einsetzt.

Gedächtnis: Ein Sitzungsgedächtnis hält den Verlauf eines Gesprächs. Ein Langzeitgedächtnis speichert Informationen über mehrere Sitzungen hinweg. Im Hermes-Projekt sind beide bewusst getrennt.

Abbruchbedingungen: Ein Agent braucht eine Grenze, damit er nicht endlos weiterläuft. Anthropic empfiehlt dafür etwa eine maximale Zahl an Durchläufen (Anthropic, 2024). Der Tools Agent in n8n begrenzt die Durchläufe über die Option „Max Iterations“, deren Standardwert bei 10 liegt (n8n Docs, Stand: Oktober 2026).

Anthropic bezeichnet Agenten deshalb als Sprachmodelle, die in einer Schleife Werkzeuge auf Grundlage von Rückmeldungen aus ihrer Umgebung nutzen (Anthropic, 2024).

Welche Muster zwischen Workflow und KI-Agent gibt es?

Zwischen einem vollständig festen Ablauf und einem frei handelnden Agenten liegen mehrere Zwischenstufen. Anthropic unterscheidet Workflows, in denen Modelle und Werkzeuge über vorab festgelegte Codepfade gesteuert werden, von Agenten, die ihre Abläufe und Werkzeugnutzung selbst lenken (Anthropic, 2024). Für Workflows beschreibt Anthropic mehrere Muster.

Muster	Wer bestimmt den Ablauf	Beispiel
Prompt Chaining	Fest vorgegeben, ein Modellaufruf nach dem anderen	Erst Gliederung, dann Text, dann Prüfung
Routing	Ein Modell ordnet die Eingabe einem festen Pfad zu	Anfragen nach Thema an verschiedene Abläufe verteilen
Parallelisierung	Fest vorgegeben, Teilaufgaben laufen gleichzeitig	Mehrere Prüfungen eines Textes parallel
Orchestrator und Worker	Ein Modell zerlegt die Aufgabe, Worker bearbeiten Teile	Änderungen über mehrere Dateien verteilen
Evaluator und Optimizer	Ein Modell erzeugt, ein zweites bewertet in Runden	Übersetzung mit Rückmeldung verbessern
KI-Agent	Das Modell wählt Schritte und Werkzeuge selbst	Sprachassistent mit mehreren Werkzeugen

Viele produktive Automatisierungen liegen bewusst auf den ersten Stufen. Der Recruiting Jobs Sync nutzt ein Modell nur für einen klar umrissenen Extraktionsschritt, die Reihenfolge bleibt fest. Wie sich diese Entscheidung in n8n konkret darstellt, beschreibt der Artikel n8n Agents vs. AI-Agent-Node. Allgemein zu festen Abläufen siehe Workflow-Automatisierung.

Wie greift ein KI-Agent über MCP auf Werkzeuge zu?

Das Model Context Protocol ist ein offener Standard, über den KI-Anwendungen Werkzeuge und Daten ansprechen. Ein MCP-Server stellt Werkzeuge bereit, der Agent ruft sie über einen MCP-Client auf. Der Vorteil: Ein Werkzeug wird einmal gebaut und kann von verschiedenen Agenten genutzt werden.

Ein Beispiel ist Ozan Orhans Wissensbasis mit RAG und MCP. Sie stellt internes Wissen über einen MCP-Server als ein einziges, nur lesendes Suchwerkzeug bereit. Jeder MCP-fähige Agent kann es nutzen, ohne eine eigene Dokumentpipeline oder Datenbankanbindung zu brauchen. Wie Agenten auf diese Weise mehrere Quellen schrittweise abfragen, erklären der Eintrag Agentic RAG und der Artikel Agentic RAG mit MCP.

Für die Sicherheit gilt: Der Agent kann nur, was seine Werkzeuge und deren Zugangsschlüssel erlauben. Kleine Werkzeuge mit genau einer Aufgabe sind deshalb besser als ein Werkzeug mit vollem API-Zugriff. Den Aufbau eines solchen Servers zeigt der Artikel n8n MCP Server erstellen.

Welche Risiken haben KI-Agenten?

Mehr Selbstständigkeit bringt nach Anthropic höhere Kosten und das Risiko, dass sich Fehler über mehrere Schritte aufschaukeln (Anthropic, 2024). Ein falsch gelesenes Zwischenergebnis kann zu einem falschen Werkzeugaufruf führen, dessen Ergebnis den nächsten Schritt weiter in die falsche Richtung lenkt.

OWASP beschreibt das Risiko unter dem Namen Excessive Agency: Ein System kann schädliche Aktionen ausführen, weil es zu viele Funktionen, zu weitreichende Rechte oder zu viel Selbstständigkeit hat (OWASP, 2025). Als Gegenmaßnahmen nennt OWASP minimale Rechte, eine menschliche Freigabe für folgenreiche Aktionen und Berechtigungsprüfungen im Zielsystem statt im Modell.

Ein besonderes Risiko ist Prompt Injection. Agenten lesen Inhalte aus E-Mails, Webseiten oder Dokumenten und bedienen gleichzeitig Werkzeuge. Versteckte Anweisungen in diesen Inhalten können den Agenten zu Aktionen verleiten, die niemand beabsichtigt hat.

Die gängigen Schutzschichten sind Guardrails für Ein- und Ausgaben, eine Freigabe nach dem Prinzip Human in the Loop und Tests in einer abgeschotteten Umgebung. Anthropic empfiehlt für Agenten ausdrücklich umfangreiche Tests in Sandbox-Umgebungen zusammen mit passenden Guardrails (Anthropic, 2024).