KI-Agenten mit echtem Geld: Das Limit hat niemand gebaut
Am 20. August 2026 hat Binance den Live-Handel für KI-Agenten geöffnet. Sie kapitalisieren ein Unterkonto, verbinden ChatGPT, Codex, Claude Code oder Cursor über den MCP-Server der Börse, legen fest, was der Agent anfassen darf, und er handelt. Eine eigene Obergrenze für Verluste gibt es nicht. Der Betrag, den Sie auf dieses Unterkonto überwiesen haben, ist die Obergrenze. Das ist die Kontrolle.
Zwei Jahre Agentensicherheit drehten sich darum, wozu ein Modell überredet werden kann: lesen, sagen, aufrufen. Der Schadensradius war Information. In dieser Woche wurde der Schadensradius ein Kontostand, und die Antwort auf „was hält ihn auf“ ist eine Zahl, die Sie in ein Überweisungsformular getippt haben. Binance nennt über 300 Millionen registrierte Nutzer, das ist also keine Nischenentscheidung einer kleinen Börse. Es ist die Woche, in der Agentenrisiko aufgehört hat, ein Forschungsthema zu sein.
Was Agent OS tatsächlich ist
Agent OS ist eine Anbindungsschicht, kein Handelsbot. Es stellt Marktdaten, Wallet, Zahlungs- und Handelsfunktionen von Binance einer externen KI-Anwendung über das Model Context Protocol zur Verfügung und begrenzt dann, was diese Anwendung erreichen kann. Der Agent bekommt ein eigenes Unterkonto. Sie entscheiden, ob es Spot, Futures oder beides abdeckt, und Sie können den Zugriff jederzeit entziehen.
Die Abschottungsarbeit ist echt und gehört genannt. Auszahlungen aus einem Agenten-Unterkonto sind standardmäßig deaktiviert. Der Agent sieht Salden, Positionen und Transaktionshistorie seines eigenen Unterkontos sowie Saldeninformationen des Hauptkontos, aber er kommt weder an Ihre E-Mail-Adresse noch an Ihre KYC-Daten. Sie können außerdem verlangen, dass jede einzelne Order bestätigt wird, statt den Agenten unbeaufsichtigt laufen zu lassen. Die separate Agentic Wallet bringt harte Tageslimits mit: rund 50.000 Dollar für normale Swaps, 100.000 für DeFi-Transaktionen, 20 Dollar für x402-Zahlungen.
Das Unternehmen weiß also offensichtlich, wie man ein Ausgabenlimit schreibt. Für die Wallet hat es gleich drei geschrieben. Das Handels-Unterkonto, also genau die Fläche, auf der ein Agent eine Position zerlegen kann, hat keins.
Die Zahl, die fehlt
Es gibt keinen maximalen Drawdown pro Agent, keinen dokumentierten automatischen Stopp, keine Verlustgrenze unterhalb des eingezahlten Betrags. Binance-Vizepräsident Jeff Li erklärte TechCrunch die Logik dahinter: Man habe die Kontrolle auf Kontoebene gelegt, um die Mittel der Nutzer zu schützen. Abschottung auf Kontoebene ist eine ernst gemeinte Entwurfsentscheidung. Sie bedeutet, dass ein Agent, der entgleist, einen Eimer leert und nicht die Kasse. Sie bedeutet aber auch, dass die einzige Größe, die Sie einstellen können, der Inhalt des Eimers ist.
Der aufschlussreichere Satz fiel im selben Interview: „Wir können die Begründung hinter der Aktion des Nutzers schlicht nicht sehen.“ Die Entscheidung fällt in einem Modell, das die Börse nicht betreibt. Der Handelsplatz sieht die Order, nie den Grund dafür. Damit kann er eine Strategie nicht von einem Jailbreak unterscheiden. Er sieht nur die Ausführung.
TechCrunch fasste den Start so zusammen: Agenten handeln, und sie im Zaum zu halten bleibt weitgehend Sache der Nutzer. Das trifft es, und es ist zugleich der gesamte Entwurf. Die Verantwortung ist nicht irgendwo im Stack verloren gegangen. Sie wurde bewusst der Person zugewiesen, die am wenigsten in der Lage ist, um drei Uhr nachts die Argumentation eines Sprachmodells zu prüfen.
Die Community stellte binnen 48 Stunden die richtige Frage
Der Ankündigungsbeitrag von Binance sammelte innerhalb eines Tages rund tausend Likes und über dreihundert Antworten, und ein großer Teil dieser Antworten ist eine einzige Frage in verschiedenen Formulierungen. Eine typische Fassung, am 22. August unter dem Tag #AskBinance: Wenn ein Agent eine fehlerhafte Order ausführt oder einer Prompt Injection zum Opfer fällt, gibt es dann einen Notstopp oder ein automatisches Verlustlimit, und kann ein Nutzer je Agent einen maximalen Drawdown festlegen?
Ein Entwickler formulierte das dahinterliegende Problem im selben Zeitfenster deutlicher und bekam dafür die stärkste Resonanz im Thread: Einem KI-Agenten echtes Geld zu geben, gehört zum Beängstigendsten, was man in der Technik tun kann, weil die meisten Agenten-Wallets nichts anderes sind als private Schlüssel direkt neben einem LLM-Prompt, und ein Jailbreak oder ein falscher Tool-Aufruf nimmt alles mit. Er bewarb damit seine eigene Guardrail-Architektur. Der Pitch zündete, weil die Lücke, die er benennt, existiert.
Leserisiko und Ausgaberisiko sind nicht dasselbe Problem
| Frage | Agentenrisiko, wie wir es modelliert haben | Agentenrisiko mit kapitalisiertem Konto |
|---|---|---|
| Was ist der schlimmste Fall? | Offenlegung, ein schlechter Commit, ein ungewollter API-Aufruf | Der eingezahlte Betrag ist weg |
| Wer merkt es zuerst? | Ein Mensch, der die Ausgabe prüft | Die Position, nach der Ausführung |
| Lässt es sich rückgängig machen? | Commit zurücknehmen, Schlüssel rotieren | Eine ausgeführte Order ist endgültig |
| Was sieht der Handelsplatz? | Den Tool-Aufruf und seine Argumente | Die Order, nie die Begründung |
| Was ist die stehende Kontrolle? | Ein Mensch, der jeden Schritt freigibt | Der Betrag, den Sie eingezahlt haben |
Jede Zeile der rechten Spalte bricht eine Gewohnheit aus der linken. Am schwersten wiegt die letzte. Nahezu jede Agentenkontrolle, die die Branche vorgeschlagen hat, läuft auf einen Menschen in der Schleife hinaus, und genau das bietet Binance an: Freigabe je Order. Das funktioniert, und es löscht den Grund, das Produkt überhaupt zu benutzen. Ein Agent, für den Sie bei jedem Trade wach sein müssen, ist ein langsameres Chatfenster.
Das ist der Zusammenstoß. Der Wert des Produkts ist der unbeaufsichtigte Betrieb, und unsere einzige ausgereifte Kontrolle ist Beaufsichtigung. Wir argumentieren seit zwei Jahren, dass sich Prompt Injection nicht patchen lässt, und die gemessenen Erfolgsraten gegen produktive Agenten sprechen dafür, eine gelungene Übernahme als normalen Betriebszustand zu behandeln und nicht als Vorfall. Wenn die Übernahme normal ist, muss die Begrenzung eine Zahl sein, mit der der Agent nicht diskutieren kann.
Diese Zahl gibt es als Primitiv nicht. Es gibt Scopes je Schlüssel und Rate Limits je Nutzer, beides geerbt aus einer Welt, in der der Aufrufer ein Mensch oder ein selbst geschriebener Dienst war. Niemand liefert „diese Identität darf zwei Prozent dieses Buches verlieren, danach wird sie eingefroren“. Rate Limits zählen Anfragen. Schaden zählt nichts.
Jemand hat die Kontrollen gebaut
Auf der Consensus 2026 in Miami startete Anchorage Digital, was das Unternehmen Agentic Banking nennt: Bankkonten für KI-Agenten, aufgesetzt auf der National Trust Charter, die es seit Januar 2021 vom US Office of the Comptroller of the Currency hält. Nicht-menschliche Akteure bekommen überprüfbare Identitäten. Institute geben Gegenparteien frei, setzen Ausgabenlimits und erzwingen Richtlinien in Echtzeit. Jede Agentenaktion wird protokolliert und mit Zeitstempel versehen. Ein Agent, der sich danebenbenimmt, lässt sich aus der Ferne sofort anhalten.
Der Unterschied zwischen den beiden Produkten liegt nicht in der technischen Raffinesse. Er liegt in der Annahme darüber, wer die Verluste erklären muss. Anchorage geht davon aus, dass eine Aufsicht eines Tages ein Institut fragt, warum sein Agent dieses Geld bewegt hat, also ist die Erklärung ins Produkt eingebaut. Binance geht davon aus, dass der Nutzer das Ergebnis trägt, also bekommt der Nutzer ein Überweisungsformular und einen Widerrufsknopf. Beides ist in sich schlüssig. Nur eines davon ist eine Kontrolle.
Was zu tun ist, wenn ein Agent in Ihrem Unternehmen Geld ausgeben kann
Das kommt weit außerhalb von Krypto an. Beschaffungsagenten, Werbebudget-Agenten und Treasury-Agenten laufen alle auf dieselbe Form hinaus: ein Modell mit einer Berechtigung, die Geld bewegt. Vier Punkte gelten überall.
- Setzen Sie die Obergrenze bewusst. Wenn der Kontostand das Verlustlimit ist, dann ist der Überweisungsbetrag eine Risikoentscheidung und gehört in dieselbe Diskussion wie jedes andere Exposure. Niemand sollte die Höhe des Limits aus einem Kontoauszug erfahren.
- Geben Sie dem Agenten eine eigene Identität. Ein Agent auf dem Schlüssel eines Menschen erbt dessen Befugnisse und hinterlässt keine trennbare Spur, das ist das Muster hinter wucherndem Non-Human-Identity-Bestand. Eine Identität pro Agent, zugeschnitten auf eine Aufgabe.
- Bauen Sie den Notaus selbst. Der Handelsplatz hat keinen Drawdown-Stopp, also legen Sie einen daneben: Salden und Positionen auf Ihrer Seite abfragen und den Zugriff des Agenten entziehen, sobald eine Schwelle reißt. Das ist derselbe Reflex wie bei Leitplanken für Coding-Agenten, wo der zerstörerische Befehl unmöglich sein muss und nicht bloß unerwünscht.
- Protokollieren Sie die Eingabe, nicht nur die Ausgabe. Die Börse hält die Order fest. Sie müssen festhalten, was der Agent gelesen hat, bevor er sie platziert hat, denn dort wird eine Übernahme sichtbar. Zugangsdaten im Agentenkontext sind genau das, worauf Angreifer zielen, wie das Muster des Session-Token-Diebstahls gezeigt hat, und eine Orchestrierungsschicht, die Ihnen gehört, ist der Ort, an dem diese Spur entsteht.
Es gibt eine fünfte Möglichkeit, die regelmäßig übersprungen wird und oft die richtige ist: hierfür keinen Agenten einsetzen. Ein geplantes Skript mit fester Strategie lässt sich von einer Webseite, die es gelesen hat, nicht überreden.
Die ehrliche Lesart
Der Agent ist in dieser Woche nicht fähiger geworden. Er hat ein gefülltes Konto bekommen. Binance hat die Datenabschottung sorgfältig gebaut, Auszahlungen eingezäunt und die Verlustfrage dann mit ernster Miene an den Kunden gereicht, samt zutreffender Begründung: Man sehe die Argumentation nicht, also könne man sie auch nicht kontrollieren. Geschenkt. Eine Branche, die zwei Jahre lang bewiesen hat, dass Modelle sich zu Dingen überreden lassen, hat nun das erste Massenprodukt ausgeliefert, bei dem Überredung direkt Geld kostet, und die stehende Antwort ist weiterhin ein aufmerksamer Mensch.
Die interessante Frage ist nicht mehr, ob ein Agent übernommen werden kann. Nehmen Sie an, er kann es. Die Frage ist, wie hoch die Zahl dann ist, wer diese Zahl gewählt hat, und ob irgendetwas einfriert, bevor sie erreicht wird. Auf dem größten Handelsplatz der Welt lautet die Antwort heute: Ihr Überweisungsbetrag, Sie, und nein.