Nützliche KI braucht gute Werkzeuge und klare Grenzen
Warum mich bei KI-Anwendungen die Werkzeuge, Berechtigungen und überprüfbaren Ergebnisse mehr interessieren als die nächste beeindruckende Chat-Demo.
Mich interessiert an KI vor allem, ob sie bei einer konkreten Aufgabe hilft. Einen Text zusammenfassen, Informationen finden, einen Entwurf vorbereiten oder einen mühsamen Arbeitsschritt verkürzen: Dafür sehe ich viele gute Einsatzmöglichkeiten.
Sobald ein Modell aber mit echten Daten und Anwendungen arbeitet, wird eine andere Frage wichtig. Welche Werkzeuge bekommt es, und was darf damit passieren?
Function Calling und MCP machen diese Frage sehr praktisch. Die aktuellen Dokumentationen vom September 2026 zeigen, wie sich Modelle an eigene Funktionen und externe Dienste anbinden lassen. Für mich steckt die eigentliche Entwicklungsarbeit in der Gestaltung dieser Verbindungen.
Ein Werkzeug sollte eine verständliche Aufgabe haben
OpenAI beschreibt Funktionen über Namen, Beschreibungen und ein Schema für ihre Argumente. Der strikte Modus kann die Einhaltung dieses Schemas absichern. Die Dokumentation zu Function Calling erklärt die Anforderungen.
Ich würde einem Assistenten für Projektarbeit beispielsweise drei gezielte Werkzeuge geben: Aufgaben suchen, eine Aufgabe lesen und einen Änderungsvorschlag vorbereiten. Ein universelles Werkzeug, das beliebige Datenbankabfragen ausführt, wäre für diesen Zweck unnötig schwer zu kontrollieren.
Auch Anthropic betont in seinem Beitrag über Werkzeuge für Agenten, dass verständliche Schnittstellen und ihre Evaluation zusammengehören. Daraus nehme ich für mich mit: Ein Werkzeug sollte aus Sicht der Aufgabe entworfen werden.
prepareTaskUpdate sagt bereits etwas darüber aus, was passieren soll. Zu diesem Vertrag gehören für mich auch klare Fehlermeldungen, begrenzte Ergebnisse und stabile Kennungen. Ein Modell sollte nicht erraten müssen, ob „Projekt Müller“ die aktuelle Zusammenarbeit oder ein längst abgeschlossenes Projekt meint.
Lesen, vorbereiten und ausführen
MCP bietet eine gemeinsame Schnittstelle für Werkzeuge. In der Responses API lassen sich verfügbare MCP-Werkzeuge begrenzen und Aufrufe mit einer Freigabe verbinden. OpenAI beschreibt dafür unter anderem allowed_tools und require_approval in der MCP-Dokumentation.
Für meine Beispielanwendung würde ich drei Schritte sichtbar machen:
- Der Assistent liest die erlaubten Aufgaben.
- Er zeigt eine konkrete vorgeschlagene Änderung.
- Nach der vorgesehenen Freigabe führt das Backend genau diese Änderung aus.
Die Freigabe müsste den Datensatz und die neuen Werte zeigen. Ein allgemeines „Darf ich fortfahren?“ hilft mir wenig. Ändert sich der Vorschlag nachträglich, sollte die frühere Bestätigung nicht automatisch dafür gelten.
Welche Schritte ohne Rückfrage laufen dürfen, würde ich nach ihrem tatsächlichen Risiko festlegen. Auch ein Lesezugriff kann vertrauliche Daten an einen externen Dienst übertragen. Gleichzeitig braucht das Erstellen eines lokalen Entwurfs nicht denselben Ablauf wie das Versenden einer Nachricht.
Fremder Text bekommt keine zusätzlichen Rechte
Eine gelesene E-Mail kann Anweisungen enthalten. Daraus entsteht aber keine Berechtigung, andere Daten zu exportieren. OpenAI beschreibt diese Art von Prompt Injection in seinem Leitfaden zur Agentensicherheit.
Meine Konsequenz daraus wäre eine technische Trennung: Inhalte liefern Informationen, während der Server Identität, Workspace und erlaubte Operationen prüft. Ein korrekt geformtes JSON-Objekt allein beweist weder eine Berechtigung noch eine sinnvolle Entscheidung.
Ich würde außerdem eine eindeutige Kennung für jede bestätigte Schreiboperation speichern. Kommt dieselbe Ausführung erneut an, kann das Backend das vorhandene Ergebnis zurückgeben. So wird aus einer Wiederholung nicht plötzlich eine zweite Aufgabe oder eine doppelte Nachricht.
Ich möchte den Ablauf testen können
Eine überzeugende Vorführung reicht mir nicht als Maßstab. Die Empfehlungen von OpenAI zu Evaluationen beziehen normale Aufgaben ebenso wie Grenzfälle und gezielte Angriffe ein.
Für meinen Aufgabenassistenten würde ich eine kleine Sammlung konkreter Fälle anlegen: zwei gleich benannte Projekte, fehlende Mitgliedschaft, ein inzwischen geänderter Datensatz, eine doppelte Ausführung und eine Aufgabenbeschreibung mit eingeschleusten Anweisungen.
Mich würde interessieren, ob der Assistent die richtige Aufgabe auswählt, bei Mehrdeutigkeit nachfragt und Änderungen erst im vorgesehenen Schritt ausführt. Zusätzlich würde ich Laufzeit, Fehlversuche und Kosten pro erledigter Aufgabe beobachten.
Genau solche Fragen machen KI für mich als Entwickler spannend. Ein hilfreiches Produkt entsteht, wenn Modell, Werkzeuge und Anwendung gemeinsam einen verlässlichen Ablauf bilden. Daran würde ich seine Qualität messen.