Ungeprüfter AuftragUnverified mandate

Du siehst einen KI-Agenten gegenüber einem anderen mit einer Befugnis handeln, die eine Person gegeben haben soll. Der andere kann das nicht prüfen.

You see one AI agent act toward another with an authority it says a person gave it, and the other cannot check the chain.

In deinem Verein sagt ein Freund, die Organisatorin habe den Schlüssel freigegeben, und die Person an der Theke kann nicht prüfen, ob das stimmt. Bei KI-Agenten beruft sich ein Agent auf eine Befugnis von einer Person, und der andere kann die Kette nicht prüfen.

At your club a friend says the organiser approved the key, and the person at the counter cannot check whether that is true. With AI agents one agent cites an authority from a person, and the other cannot check the chain.

Die Situation, in der ein Agent gegenüber einem anderen Agenten mit einer Befugnis handelt, die der handelnde Agent nach eigener Angabe von einer Person erhalten hat, und der empfangende Agent die Kette dieser Befugnis nicht prüfen kann.

The situation in which one agent acts toward another agent under an authority that the acting agent states it received from a person, and the receiving agent cannot check the chain of that authority.

Im Unterschied zum Confused Deputy (Hardy, 1988), einem Programm, das Befugnis aus mehr als einer Quelle hält und die Befugnis der einen Quelle auf eine Anfrage anwendet, die zur anderen gehört, ist diese Situation nicht diese Anwendung einer Befugnis, die das Programm bereits hält. Im Unterschied zum OAuth-2.0-Token-Exchange (RFC 8693), einem Protokoll, mit dem ein Autorisierungsserver ein Token ausgeben kann, das eine Delegation mit einem Subjekt und einem Akteur festhält, die ein Empfänger einsehen kann, ist diese Situation der Fall, in dem der empfangende Agent die Kette nicht prüfen kann. Im Unterschied zur Prompt-Injection (OWASP LLM01:2025), einer Veränderung des Modellverhaltens oder der Ausgabe durch eine Eingabe in einer nicht vorgesehenen Weise, ist diese Situation nicht diese Veränderung. Im Unterschied zum Spurverlust in der Delegationskette, dem Zustand, in dem eine genannte Person, die den Weg durch eine bestimmte mehrstufige Delegation zuvor nachvollziehen konnte, diesen Weg nicht mehr nachvollziehen kann, ist diese Situation das Handeln eines Agenten gegenüber einem anderen unter einer angegebenen Befugnis, nicht dieser verlorene Nachvollzug. Im Unterschied zur menschlich gesteuerten Agentenstaffel, einem Arbeitsmuster, in dem eine Person mehrere Agenten nacheinander einsetzt und zwischen den Agenten eine Prüfhandlung oder eine Entscheidung (Aufsichtshandlung) dieser Person liegt, enthält diese Situation diese Prüfung nicht. Im Unterschied zum Absichts-Anker, der festgehaltenen Bedingung, dass die Absicht nur dem menschlichen Kern eines benannten Verbunds zugewiesen ist, ist diese Situation nicht diese Zuweisung. Nicht prüfen können meint, dass der empfangende Agent kein Mittel hat, etwa einen prüfbaren Ausweis oder ein Token, nicht bloß, dass er nicht geprüft hat.

Unlike the confused deputy (Hardy, 1988), a program that holds authority from more than one source and applies the authority of one source to a request that belongs to another, this situation is not that application of authority the program already holds. Unlike OAuth 2.0 token exchange (RFC 8693), a protocol by which an authorization server can issue a token that records delegation, with a subject and an actor a receiver can inspect, this situation is the case in which the receiving agent cannot check the chain. Unlike prompt injection (OWASP LLM01:2025), an alteration of model behavior or output by input in a way that was not intended, this situation is not that alteration. Unlike delegation-trail loss, the state in which a named person who could previously trace the path through one identified multilevel delegation can no longer trace that path, this situation is one agent acting toward another under a stated authority, not that person's lost trace. Unlike a human-directed agent relay, a working pattern in which a person deploys several agents one after another, with an oversight check or an oversight decision by that person between the agents, this situation does not include that check. Unlike an intent anchor, the recorded condition that intention is assigned only to the human core of a named composite, this situation is not that assignment. Cannot check means that the receiving agent has no means, such as a verifiable credential or a token, not merely that the receiving agent did not check.

Source: AUGMANITAI coinage (ENTMANITAI, 2026-10-16). The confused deputy in Hardy (1988) is a program that holds authority from more than one source and applies one source's authority to another source's request. RFC 8693 specifies OAuth 2.0 token exchange, including delegation that a token can record for a receiver to inspect. OWASP LLM01:2025 describes prompt injection as input that alters model behavior or output in a way that was not intended. Delegation-trail loss, the human-directed agent relay, and the intent anchor are neighbouring terms in this vocabulary. No conformity to a named standard is claimed.

Names the case in which one agent acts toward another agent under an authority that the acting agent states it received from a person, and the receiving agent cannot check the chain of that authority.