← Alle Werkzeuge

Werkzeug · Agenten-Governance

Agent Governance Toolkit

von Microsoft

Quelloffene Leitplanken-Schicht für autonome Agenten: Jede Aktion läuft vor der Ausführung durch eine Regel-Engine (YAML, OPA Rego oder Cedar), die sie erlaubt, verweigert oder zur menschlichen Freigabe eskaliert – Framework-übergreifend und ohne Eingriff in den Agenten-Code.

Open SourceOpen SourceCLIAPI

Einschätzung

Deterministische Leitplanken für Agenten

Die richtige Ebene für das Problem: Regeln, die vor der Ausführung greifen, sind prüfbar und wiederholbar – anders als Prompt-Leitplanken, die mit dem Modell würfeln. Wer Agenten mit echten Rechten betreibt (Datenbank, Zahlungen, Dateisystem), bekommt hier eine Schicht, die es ohne Framework-Wechsel gibt. Einschränkend: ausdrücklich Public Preview mit angekündigten Brüchen, und die Wirksamkeit gegen Prompt-Injection bleibt naturgemäß begrenzt – gesperrt wird die Handlung, nicht die Absicht.

Der Ansatz ist bewusst deterministisch: Nicht ein zweites Modell soll den Agenten bändigen, sondern eine Regelprüfung, die vor jedem Werkzeugaufruf greift. Das Repository beschreibt sich als „Policy enforcement, zero-trust identity, execution sandboxing, and reliability engineering for autonomous AI agents“ und beansprucht, alle zehn Risiken der OWASP Agentic Top 10 abzudecken („Covers 10/10 OWASP Agentic Top 10“). Die Ankündigung vom 2. April 2026 formuliert das als Erstanspruch: „the first toolkit to address all 10 OWASP agentic AI risks with deterministic, sub-millisecond policy enforcement“ – die Blogfassung nennt dafür eine Latenz unter 0,1 Millisekunden im 99. Perzentil.

Praktisch besteht die Einrichtung aus zwei Dateien und einer Klammer um den Agenten: eine deklarative `policy.yaml` (welche Prüfpunkte, welche Regelsammlung) und die eigentlichen Regeln – wahlweise als YAML-Regeln, als OPA-Rego-Bundle oder in Cedar. Angebunden wird über die nativen Erweiterungspunkte der Frameworks, laut Ankündigung etwa „LangChain’s callback handlers, CrewAI’s task decorators, Google ADK’s plugin system, Microsoft Agent Framework’s middleware pipeline“; der Agenten-Code selbst enthält keine Richtlinienlogik. Das Repository listet unter anderem Microsoft Agent Framework, Semantic Kernel, AutoGen, LangGraph/LangChain, CrewAI, OpenAI Agents SDK, Claude Code, Google ADK, LlamaIndex, Haystack, Mastra, Dify, Azure AI Foundry und die GitHub-Copilot-CLI als Ziele.

Der Stand ist bewusst als Vorschau markiert: „Public Preview — production-quality public preview releases. May have breaking changes before GA.“ Installiert wird mit `pip install "agent-governance-toolkit[full]"`; die Fassung 4.1.0 fasst die ursprünglich sieben Bausteine (Agent OS, Agent Mesh, Agent Runtime, Agent SRE, Agent Compliance, Agent Marketplace, Agent Lightning) zu vier Paketen plus Meta-Paket zusammen (`core`, `runtime`, `sre`, `cli`). Für die Isolation empfiehlt das Projekt ausdrücklich zusätzlich das Betriebssystem: „Run each agent in a separate container for OS-level isolation.“ Lizenz ist MIT, das Repository stand am 9. August 2026 bei 5,8 Tausend Sternen.

Wofür es gut ist

  • Zerstörerische Werkzeugaufrufe eines Agenten hart unterbinden, statt auf Prompt-Disziplin zu hoffen (etwa `DROP TABLE` gegen eine Produktionsdatenbank)
  • Schwellen für menschliche Freigaben setzen – oberhalb eines Betrags oder einer Risikoklasse eskaliert der Lauf, statt durchzulaufen
  • Jede Agenten-Entscheidung protokollieren, um sie hinterher prüfbar zu machen (Audit statt Nacherzählung)
  • Dieselben Leitplanken über mehrere Agenten-Frameworks hinweg gelten lassen, ohne den Agenten-Code umzubauen

Stärken

  • Deterministische Prüfung vor der Ausführung – kein zweites Modell im Entscheidungspfad, damit reproduzierbar und protokollierbar
  • Framework-agnostisch über native Erweiterungspunkte: derselbe Regelsatz für LangGraph, CrewAI, OpenAI Agents SDK, Semantic Kernel und weitere
  • Drei Regelsprachen zur Wahl (YAML für einfache Fälle, OPA Rego und Cedar für gewachsene Richtlinien)
  • Menschliche Freigabe ist ein eingebauter Verdikt-Typ, kein Anbau
  • MIT-Lizenz, Installation als einzelnes Python-Paket

Schwächen

  • Ausdrücklich Public Preview – das Projekt kündigt Brüche vor der allgemeinen Verfügbarkeit selbst an
  • Der Erstanspruch („first toolkit … all 10 OWASP agentic AI risks“) und die Latenzangabe unter 0,1 ms sind Selbstauskünfte Microsofts; unabhängig nachgemessen ist beides nicht
  • Die Latenzangabe steht in der Ankündigung, nicht mehr im Repository-Stand vom 09.08.2026 – die Zahlen wandern
  • Gegen Prompt-Injection hilft die Schicht nur mittelbar: Sie kann die verbotene Handlung sperren, nicht die manipulierte Absicht erkennen
  • Sandboxing verlangt weiterhin Betriebssystem-Mittel; das Projekt empfiehlt selbst einen eigenen Container je Agent

Im Vergleich

Wofür dieses Werkzeug die bessere Wahl ist – und wann ein direkter Konkurrent.

  • Gegenüber den Leitplanken der Agenten-Frameworks selbst (LangChain-Callbacks, CrewAI-Decorators) ist der Unterschied nicht die Technik, sondern der Ort: Die Richtlinie liegt außerhalb des Agenten und gilt über Frameworks hinweg, statt je Projekt neu ausformuliert zu werden. Gegenüber modellbasierten Wächtern (Guard-Modelle, Prompt-Leitplanken) ist der Preis ein anderer: Deterministische Regeln fangen nur, was jemand vorher benannt hat – dafür fangen sie es zuverlässig.

Direkt ausprobieren

github.com/microsoft/agent-governance-toolkit

Zur offiziellen Seite ↗

ℹ️ Über den YouTube-Sweep am 09.08.2026 als Katalog-Lücke aufgefallen: C47 (AI Anytime) hat am 08.08.2026 fünf Videos dazu veröffentlicht, darunter eine ausführliche Vorführung mit LangGraph und CrewAI (`video-korpus/4_iXjMDRnvc.md`). ⚠️ Sämtliche Angaben dieses Eintrags stammen aus Repository (A) und Microsoft-Ankündigung (A), keine aus den Videos. Aus der Vorführung übernommen ist ausschließlich, dass die Regelprüfung in der Praxis greift (blockiertes `DROP TABLE`, erzwungene Freigabe oberhalb einer Betragsgrenze) – die dort gezeigte Weboberfläche ist die Zutat des Kanals, nicht Teil des Toolkits.

Verwandte Werkzeuge

Agenten-ArbeitsplatzGrok BotMessenger-artiger Agenten-Arbeitsplatz aus dem SpaceXAI-Cursor-Verbund: die Bots teilen sich einen Rechner in der Cloud, melden sich von dort in die bestehenden Werkzeuge des Nutzers ein und bedienen deren Oberflächen – mehrere Bots laufen parallel und schreiben einander.Agenten-ArbeitsplatzQM (Quartermaster)Selbst betriebene Mehrspieler-Agentenplattform, die Y Combinator für den eigenen Betrieb gebaut und unter MIT-Lizenz veröffentlicht hat: eine Web- und Slack-Oberfläche vor austauschbaren Harnesses – Claude Code, Codex, OpenCode oder Pi laufen auf demselben Kern.Agenten-ArbeitsplatzClaude CoworkAnthropics Agenten-Arbeitsplatz für Nicht-Entwickler: dieselbe Architektur wie Claude Code, „with no terminal required“ – Aufgabe übergeben, Claude arbeitet in ausgewählten Ordnern und angebundenen Diensten weiter.