Salesforce: Vertrauen in KI-Agenten ist gut, Kontrolle ist besser
Wer KI-Agenten einsetzen will, muss sie auch einhegen können. Salesforce will das mit seinem Einstein Trust Layer möglich machen.
(Bild: Jonathan Weiss/Shutterstock.com)
- Prof. Jonas Härtfelder
Salesforce hat seine Sicherheitsarchitektur für KI-Agenten konkretisiert. Der sogenannte Einstein Trust Layer entfernt personenbezogene Daten vor der Übergabe an externe Sprachmodelle, prüft deren Antworten auf Toxizität und Prompt-Injection-Versuche und protokolliert sämtliche Verarbeitungsschritte revisionsfähig. Parallel zeigte das Unternehmen Agentforce Voice erstmals in deutscher Sprache.
Im Zentrum der Salesforce-Architektur steht der Einstein Trust Layer. Verarbeitet ein KI-Agent eine Anfrage, erzeugt das System im Hintergrund einen strukturierten Prompt mit Rolleninformationen, definierten Guardrails und kontextbezogenen Unternehmensdaten.
Platzhalter für personenbezogene Daten
Per Dynamic Grounding ergänzt die Plattform zur Laufzeit strukturierte Daten aus der Data Cloud. Bevor der Prompt an ein externes Sprachmodell übergeben wird, entfernt der Trust Layer personenbezogene Informationen und ersetzt sie durch Platzhalter. Das Modell soll somit die semantische Struktur der Anfrage verarbeiten, ohne Zugriff auf Klardaten zu erhalten.
Nach der Modellantwort folgen weitere Prüfschritte: Eine Reasoning Engine analysiert das Ergebnis auf Toxizität, mögliche Prompt-Injection-Versuche und inhaltliche Konsistenz. Erst wenn diese Prüfungen bestanden sind, werden die Platzhalter wieder durch die ursprünglichen Daten ersetzt. Gegenüber Modellpartnern gilt laut Salesforce eine Zero-Retention-Policy; übermittelte Inhalte sollen nicht gespeichert werden. Ein Audit-Trail dokumentiert sämtliche Schritte und macht nachvollziehbar, welcher Agent auf welche Datengrundlage zugegriffen und welche Aktion ausgelöst hat.
Modellagnostik und Testumgebung
Die Plattform ist modellagnostisch ausgelegt. Unternehmen können zwischen Modellen von OpenAI und Anthropic wählen oder eigene Modelle einbinden (Bring Your Own Model). Für eng umrissene Aufgaben wie die Zusammenfassung von Servicefällen nutzt Salesforce zusätzlich Small Language Models, die auf CRM-Domänen zugeschnitten sind.
Über einen Prompt Builder lassen sich Modelle pro Anwendungsfall auswählen und mit synthetischen Testdaten prüfen. Damit verlagert Salesforce einen Teil der Verantwortung für Qualität und Sicherheit auf Administratoren, die Modellwahl und Guardrails definieren.
Slack und Voice als Anwendungsebene
Der seit Januar verfügbare Slackbot dient als konversationelle Oberfläche für diese Agentenarchitektur. Neu ist Canvas: Ein Dokument bündelt Inhalte aus Konversationen und angebundenen Systemen. Bei komplexeren Anfragen delegiert der Slackbot an spezialisierte Agenten mit definierten Zuständigkeitsbereichen. Externe Systeme werden über Integrationsschnittstellen angebunden. Im Test antwortete der Bot auf deutschsprachige Eingaben teilweise auf Englisch.
Mit Agentforce Voice erweitert Salesforce die bestehende Agentenarchitektur um eine Sprachschnittstelle. Wie Slack dient auch Voice als Zugriffsebene auf dieselben Daten- und Prozessschichten. Neben dem Einsatz im Telefonkanal soll sich die Sprachschnittstelle auch in Anwendungen oder in physischen Systemen wie Servicerobotern einbinden lassen.
Anfragen werden dabei in Teilaufgaben zerlegt, relevante Kunden- und Prozessdaten abgefragt und definierte Aktionen angestoßen. Da sämtliche Interaktionen in der Data Cloud zusammengeführt werden, hat der Agent kanalübergreifend auch Zugriff auf frühere Kontakte.
Neue Abrechnung über Agentic Work Units
Parallel führt Salesforce mit den sogenannten Agentic Work Units (AWU) eine neue Abrechnungseinheit ein. Statt verbrauchter Tokens misst das Unternehmen abgeschlossene Aufgaben, etwa eine vollständige Reasoning-Kette oder einen erfolgreichen Systemaufruf.
Nach Unternehmensangaben wurden bislang 2,4 Milliarden AWUs verarbeitet, mit deutlichem Wachstum gegenüber dem Vorquartal. Wie transparent diese Einheiten im Vergleich zu tokenbasierten Modellen sind, hängt von der Definition und Messbarkeit der zugrunde liegenden Prozesse ab.
Videos by heise
Architektur statt Modellleistung
Mit dem Einstein Trust Layer verlagert Salesforce den Schwerpunkt von der reinen Modellleistung hin zur Kontrollarchitektur. Maskierung, Prüfmechanismen und Auditierbarkeit sollen den Einsatz autonomer Agenten in regulierten Unternehmensumgebungen ermöglichen.
Ob die mehrstufigen Prüfprozesse in der Praxis zuverlässig greifen, bleibt abzuwarten. Halluzinationsprüfungen basieren ebenfalls auf probabilistischen Modellen; auch die Maskierung setzt voraus, dass sensible Informationen vollständig erkannt werden. Je komplexer angebundene Systeme und Prozesse sind, desto anspruchsvoller wird die konsistente Durchsetzung dieser Kontrollmechanismen. Der produktive Einsatz agentischer Systeme dürfte daher weniger von einzelnen Sprachmodellen abhängen als von der Stabilität und Transparenz der Governance-Schicht.
(axk)
