AnythingLLM-Agenten: Werkzeuge begrenzen, Aktionen freigeben

Ein KI-Agent ist ein Sprachmodell mit Werkzeugzugriff. AnythingLLM nennt solche Fähigkeiten Skills. Agent Flows verbinden Arbeitsschritte in einem grafischen Editor. So liest der Agent etwa eine freigegebene Textdatei und erstellt daraus einen Bericht.

Wie erkennen Sie aktive AnythingLLM-Agenten?

Beginnen Sie in den Einstellungen des Workspace, also des Arbeitsbereichs. Laut Chat-Modi-Dokumentation steht Agent Mode in Versionen nach v1.11.1 bereit. Neue Arbeitsbereiche verwenden ihn standardmäßig. Er ermöglicht automatische Werkzeugaufrufe, abhängig von der entsprechenden Fähigkeit des Modells und seines Anbieters.

Unter „Settings > Agent Skills“ wählen Sie die verfügbaren Fähigkeiten. Einige sind voreingestellt aktiv. Speichern Sie Änderungen und prüfen Sie zusätzlich die Auswahl unter „Tools“ im Chat. Die Agenteneinrichtung beschreibt diese Einstellungen.

Kontrollieren Sie vor einer Zusammenfassung, ob neben Dokumentenlesen auch Websuche aktiviert ist. Query Mode konzentriert Antworten auf Dokumentenwissen; Chat Mode ergänzt allgemeines Modellwissen.

Welche Daten verlassen den lokalen Rechner?

Erfassen Sie Modellanbieter, Suchdienst und jedes angebundene Zielsystem. Die Modellkonfiguration unterscheidet das Standardmodell, das Modell des Arbeitsbereichs und das Agentmodell. Prüfen Sie diese Auswahl getrennt.

Web-Browsing verwendet laut Agenteneinrichtung standardmäßig DuckDuckGo. Suchbegriffe gelangen damit an einen externen Dienst. Ein lokales Modell allein macht diese Datenwege nicht lokal.

Beispiel: Für eine öffentliche Lieferantenrecherche geben Sie Produktnamen frei. Kundennamen und Vertragsinhalte bleiben im internen Arbeitsablauf. Bei personenbezogenen Daten braucht der Verarbeitungszweck eine tragfähige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Lassen Sie Anbieterrollen und Datenwege datenschutzrechtlich bewerten; unsere Checkliste mit Datenschutz-Fragen für Ihre KI-Plattform hilft bei der Vorbereitung. Eine kontrollierte lokale KI-Infrastruktur beginnt mit dieser Übersicht.

Welche Werkzeuge passen in eine begrenzte Freigabe?

Unterscheiden Sie eingebaute Skills von Flow-Blöcken, den einzelnen Ablaufbausteinen. Der Flow-Editor steht in Docker, dem Betrieb in Softwarecontainern, und Desktop, der Anwendung auf einem Einzelrechner, bereit. Der Werkzeugumfang unterscheidet sich.

Beim File System Agent binden Sie unter Docker Ordner des Servers unter /app/server/storage/anythingllm-fs/ ein. Diese Einbindung macht den Ordner im Container verfügbar. Der Zusatz :ro setzt ihn auf Betriebssystemebene auf Lesen. Desktop bietet ab v1.12.0 Ordnerfreigaben, die auch Unterordner und Schreibzugriffe umfassen.

Read File und Write File stellen in der Desktop-Anwendung Textdatei-Blöcke bereit. Save Files lässt Sie Speicherort und Dateinamen wählen. Für den SQL Agent empfiehlt die Dokumentation ausdrücklich reine Datenbank-Leserechte: Eine Anweisung zu SELECT, dem lesenden SQL-Befehl, verhindert andere Datenbankbefehle technisch nicht.

Beispiel: Ein Testordner mit Musterrechnungen wird schreibgeschützt eingebunden. Geeignete Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Art. 25 Abs. 1 und 2 DSGVO begrenzen personenbezogene Daten auf den erforderlichen Umfang und Zugang.

Wo muss die menschliche Entscheidung greifen?

Gmail Agent, Outlook Agent und Google Calendar Agent stehen ab v1.12.1 im Einzelnutzermodus bereit. Gmail und Outlook führen normale Nachrichtensuche und Nachrichtenlektüre direkt aus. Vor dem Download von Mailanhängen holen beide Ihre Zustimmung ein. Auch Mailänderungen, das Erstellen oder Bearbeiten von Entwürfen und der Versand erfordern Zustimmung. Google Calendar liest Kalender und Termine direkt; vor dem Erstellen oder Ändern von Terminen sowie Änderungen Ihres Teilnahmestatus fragt dieser Skill nach Zustimmung. Diese Zustimmungen gelten nur für diese drei Skills.

Gmail und Google Calendar benötigen eine eingerichtete Google-Apps-Script-Verbindung, einen eigenen geheimen Zugangsschlüssel und erteilte Kontoberechtigungen. Outlook benötigt eine Entra-App, also eine registrierte Microsoft-Anwendung, einen administrativen Zugang zur Einrichtung und die Anmeldung bei Microsoft. Die Anleitung verlangt sechs Berechtigungen, darunter Mails lesen, ändern und senden; unter Docker zusätzlich ein Client Secret, einen geheimen Anwendungsschlüssel.

Eine wirksame Freigabe entscheidet über die konkrete Aktion, bevor das Werkzeug sie ausführt.

Beispiel: Vor dem Mailversand prüfen Sie Empfänger und Inhalt. OWASP, ein Projekt für Anwendungssicherheit, empfiehlt minimale Rechte und menschliche Zustimmung vor folgenreichen Aktionen. Ein Systemprompt beschreibt gewünschtes Verhalten; das ausführende System setzt Berechtigungen durch. Weitere Grundlagen erläutert unser Beitrag zur Sicherheit von Werkzeuganbindungen.

Bei einer eigenen Dateifreigabe sollten Pfad und Inhalt vorab sichtbar sein. Binden Sie die Ausführung an diese geprüften Werte. Ändert sich der Inhalt, holen Sie erneut Zustimmung ein. Alternativ übernimmt ein Mensch den Vorschlag getrennt ins Zielsystem.

Ab v1.13.0 laufen Scheduled Jobs nach Zeitplan ohne Aufsicht, nur im Einzelnutzermodus. Für jeden Job legen Sie fest, welche Werkzeuge er nutzen darf; jeder Lauf wird mit Werkzeugaufrufen und Ergebnis protokolliert. Geben Sie geplanten Aufgaben zunächst nur lesende Werkzeuge frei und prüfen Sie die ersten Läufe im Protokoll.

Wie prüfen Sie die Grenzen vor dem Pilot?

Testen Sie zuerst mit künstlichen Daten. Ein klarer Auftrag verbindet jede Fähigkeit mit einem Verantwortlichen und einer Gegenprobe:

1. Erfassen Sie Version, Betriebsart, Chatmodus und Agentmodell.
2. Listen Sie aktive Skills, Flows, geplante Aufgaben (Scheduled Jobs), Konten und Datenziele auf.
3. Begrenzen Sie Ordner- und Datenbankrechte auf den Testbestand.
4. Prüfen Sie Bestätigungen vor Anhang-Downloads, Änderungen und Versand.
5. Versuchen Sie eine ausgeschlossene Aktion sowie eine abweichende Anweisung in einer Testdatei und kontrollieren Sie das tatsächliche Ergebnis.
6. Benennen Sie Verantwortliche, passende Protokollinhalte und die Person, die Zugänge bei Problemen sofort entzieht.

Beispiel: Eine Testanweisung fordert den Agenten auf, eine geschützte Musterdatei zu überschreiben. Prüfen Sie anschließend die Datei selbst und bei externen Aufrufen den Eingang im Zielsystem. Wiederholen Sie die Gegenprobe nach Änderungen an Modell, Skill oder Flow. Scheitert eine Grenze, pausieren Sie die betreffende Fähigkeit bis zur Korrektur.

Für die Einrichtung bietet DSGPT AnythingLLM für Unternehmen an. Dazu gehören Docker-Bereitstellung, Grundkonfiguration, erstes Modell und eine erste Arbeitsbereichsstruktur. Datenflussdokumentation und ein erweitertes Rechtekonzept lassen sich projektbezogen ergänzen. Nehmen Sie Ihren Testordner und die gewünschten Aktionen als Ausgangspunkt ins Einrichtungsgespräch mit.

Fazit: Befugnisse an der ausführenden Stelle begrenzen

Beginnen Sie mit der Inventur aktiver Werkzeuge und setzen Sie Rechte im jeweiligen System durch. Der Agent erstellt die Auswertung, die zuständige Person entscheidet über den Versand.

Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.

Quellen: Mintplex Labs, Chat Modes, AI Agent Setup, Large Language Models, Agent Flows, File System Agent, Save Files, SQL Agent, Read File, Write File, Gmail Agent, Outlook Agent, Google Calendar Agent, Scheduled Jobs, aktualisiert am 14.09.2026; OWASP, LLM06:2025 Excessive Agency, Ausgabe 2025; Europäisches Parlament/Rat, DSGVO vom 27.04.2016, Rechtstext und amtliches PDF, Amtsblatt 04.05.2016. Alle Quellen abgerufen am 30. Oktober 2026.

Zuletzt aktualisiert am 30. Oktober 2026