Methode · Control Plane · Agentic FinOps & AgentOps
Die Agentic Control Plane: Wie FinCrime-Agenten gestoppt, geprüft und freigegeben werden
Produktionsreife entsteht nicht durch bessere Prompts, sondern durch Orchestrierung, Loop Breaker, Budgetgrenzen, Tool-Rechte, Human Review und Audit Trails.
Ein autonomer KI-Agent ist nicht produktionsreif, weil er eine Aufgabe lösen kann. Er ist produktionsreif, wenn er begrenzt werden kann.
Watchdog-Lesart
Die Control Plane ist die Klammer zwischen AgentOps und Agentic FinOps: Sie macht Autonomie routbar, beobachtbar, abbrechbar, budgetierbar und menschlich verantwortbar.
Das klingt defensiv, ist aber die zentrale Architekturfrage. Ein Agent, der Tools aufruft, Daten liest, Entscheidungen vorbereitet und Kosten erzeugt, braucht mehr als ein Prompt Template. Er braucht eine Control Plane: eine Schicht, die Zustände modelliert, Tool-Rechte verwaltet, Budgetgrenzen durchsetzt, Loops abbricht, Human Review erzwingt und jede relevante Entscheidung in einen Audit Trail schreibt.
Ohne diese Schicht wird Agentic AI im FinCrime-Betrieb zur kontrollierten Illusion. Das System wirkt intelligent, aber niemand kann später sagen, warum es welchen Weg genommen hat, welche Grenze gegriffen hat und wer die Verantwortung übernommen hat.
Die These lautet: Die Agentic Control Plane ist die Betriebsarchitektur zwischen AgentOps und Agentic FinOps.
Warum Orchestrierung der erste Kontrollpunkt ist
Agenten werden oft als frei planende Systeme beschrieben. In produktionsnahen FinCrime-Anwendungen ist genau diese Freiheit das Problem. Ein Agent darf nicht beliebig zwischen Datenquellen, Tools, Modellen und Fallzuständen springen. Er braucht einen expliziten Ablauf.
Zustandsbasierte Orchestrierung ist deshalb mehr als Engineering-Komfort. LangGraph modelliert Workflows als Graphen aus Knoten, Kanten und persistentem Zustand. Die Details können je nach Framework variieren, aber das Architekturprinzip ist entscheidend: Agentenarbeit wird nicht als lose Chatfolge behandelt, sondern als kontrollierter Zustandsübergang.
Für FinCrime heißt das:
AlertReceivedEvidenceRetrievedRiskHypothesisDraftedToolCallValidatedEvaluatorPassedHumanReviewRequiredCaseNoteApproved
Jeder Schritt hat erlaubte Vorgänger, erlaubte Nachfolger und Abbruchbedingungen. Das ist der Unterschied zwischen einem Agenten, der arbeitet, und einem Agenten, der betrieben werden kann.
Loop Breaker: der wichtigste Not-Aus
Reasoning Loops sind kein Randfehler. Sie sind ein Strukturproblem agentischer Systeme. Ein Agent kann dieselbe Recherche wiederholen, ein Tool mit leicht veränderten Parametern erneut aufrufen, Ergebnisse immer wieder neu zusammenfassen oder auf eine fehlende Information warten, die nie kommt.
Die Control Plane braucht deshalb Loop Breaker:
- maximale Zahl von Iterationen pro Task
- maximale Tool-Calls pro Tool-Klasse
- maximale Zeit pro Subtask
- maximale Kosten pro Trace
- Erkennung wiederholter Zustände
- Abbruch bei unverändertem Erkenntnisgewinn
- Eskalation an Human Review
Wichtig ist die letzte Regel. Ein Loop Breaker darf nicht einfach abbrechen und ein halb fertiges Ergebnis als Antwort ausgeben. Er muss den Zustand markieren: LoopTerminated, InsufficientEvidence, HumanReviewRequired.
Im FinCrime-Kontext ist ein ehrlicher Abbruch wertvoller als eine plausible Vervollständigung.
Budget Circuit Breaker: Kosten als Laufzeitkontrolle
Agentic FinOps beginnt nicht im Monatsreport. Es beginnt während der Agent läuft.
Ein Agent, der Kontext erweitert, Retrieval wiederholt, große Modelle routet und externe Tools nutzt, kann Kosten dynamisch erzeugen. Deshalb braucht die Control Plane Budget Circuit Breaker:
- Budget pro Fall
- Budget pro Kundensegment
- Budget pro Tool
- Budget pro Modellklasse
- Budget pro Review-Pfad
- Eskalation bei Kostenanomalien
Das Ziel ist nicht, jedes teure Modell zu verhindern. Das Ziel ist, teure Modellnutzung fachlich zu begründen. Ein komplexer UBO-Graph oder eine hochwertige Fallzusammenfassung darf teuer sein, wenn der Nutzen und die Kontrolle stimmen. Ein Agent, der wegen eines fehlerhaften Loops dieselbe Datenquelle zwanzigmal abfragt, darf es nicht.
Kosten werden damit Teil der Entscheidungsprovenienz. Das Routing Ledger aus dem Agentic FinOps-Artikel wird zur Laufzeitspur der Control Plane.
Tool Permissioning: nicht jedes Tool für jeden Zustand
Tool-Calling ist die Grenze, an der ein Agent die Welt berührt. Im FinCrime-Betrieb kann das heißen: Register abfragen, Graphen traversieren, interne KYC-Daten lesen, Sanktionshinweise vergleichen, Case-Management-Notizen vorbereiten oder externe APIs nutzen.
Jedes Tool braucht deshalb Rechte, aber nicht pauschal. Rechte hängen am Zustand.
Ein Agent darf in der Voranalyse vielleicht öffentliche Quellen lesen, aber keine Case Note schreiben. Er darf im KYC-Kontext eine Zusammenfassung erstellen, aber keine Verdachtsentscheidung formulieren. Er darf im Human-Review-Zustand Vorschläge liefern, aber nicht selbst freigeben.
Eine Control Plane braucht mindestens:
- Tool-Katalog mit Datenklassen
- erlaubte Zustände pro Tool
- erlaubte Parameterbereiche
- Redaction-Regeln
- Approval-Anforderungen
- Rate- und Kostenlimits
- Logging- und Auditpflichten
MCP oder andere Tool-Protokolle lösen dieses Problem nicht automatisch. Sie machen Tools auffindbar. Die Control Plane entscheidet, wann ein Tool erlaubt ist.
Human Review ist ein Zustand, kein Button
Viele KI-Produkte behandeln Human-in-the-Loop als UI-Element. Im FinCrime-Betrieb reicht das nicht. Human Review muss ein Zustand im Prozessmodell sein.
Das bedeutet:
- Der Agent markiert, warum Review nötig ist.
- Der Mensch sieht Belege, Unsicherheiten und Evaluator-Ergebnisse.
- Die Freigabe erzeugt ein eigenes Event.
- Ablehnung erzeugt ein eigenes Event.
- Änderungen an der Fallnotiz werden versioniert.
- Die Verantwortung ist personell zurechenbar.
Die Agentic Audit Pipeline aus dem bestehenden Dossier beschreibt diesen Punkt bereits: Der Agent bereitet vor, aber die verantwortliche Entscheidung bleibt menschlich. Die Control Plane operationalisiert das als Zustand, nicht als gut gemeinte Prozessnotiz.
Die Standardwerke: worauf diese Control Plane aufsetzt
Die Control Plane steht nicht im luftleeren Raum. Sie kombiniert ältere Ops-Kanons mit neuen AgentOps-Patterns.
Aus DevOps übernimmt sie Flusskontrolle, Deployment-Disziplin und DORA-Denken aus Accelerate.
Aus DevSecOps übernimmt sie Shift-Left-Security und Sicherheitsautomatisierung aus Securing DevOps.
Aus DataOps übernimmt sie Datenlineage, Pipeline-Governance und Datenqualität aus Fundamentals of Data Engineering.
Aus MLOps übernimmt sie Modellmonitoring, Drift-Denken und Produktionsmetriken aus Designing Machine Learning Systems.
Aus DDD und DecOps übernimmt sie Zustände, Domänensprache und explizite Entscheidungsmodelle aus Evans’ Domain-Driven Design und DMN.
Aus FinOps übernimmt sie Kostenattribution und variable Cloud-Ökonomie aus Cloud FinOps.
Aus der AgentOps-Frontier übernimmt sie Traces, Sessions, GenAI-Spans, Evaluators, Loop Detection und agentische State Machines aus OpenTelemetry, LangSmith, Phoenix, AgentOps.ai, LangGraph und ReAct-artigen Forschungsarbeiten.
Das ist der Grund, warum eine Agentic Control Plane keine neue Modevokabel ist. Sie ist die Klammer, die bekannte Betriebsdisziplinen in ein nicht-deterministisches System überführt.
Ein minimales Zielbild
Eine robuste Control Plane für FinCrime-Agenten muss nicht groß anfangen. Sie braucht aber harte Mindestfelder:
Kontrollfeld · Minimaler DatensatzAgentRun
run_id
case_id
agent_version
policy_version
graph_state
allowed_tools
used_tools
loop_count
token_budget
cost_budget
actual_cost
evaluator_results
human_review_state
final_decision_owner
Jeder dieser Werte ist ein Kontrollpunkt. Fehlt policy_version, lässt sich nicht sagen, welche Regel galt. Fehlt allowed_tools, lässt sich nicht sagen, ob ein Tool erlaubt war. Fehlt loop_count, bleibt ein Reasoning Loop unsichtbar. Fehlt human_review_state, verschwindet Verantwortung.
Die Watchdog-These
Agenten werden in FinCrime-Systemen nicht dadurch sicher, dass sie bessere Prompts bekommen. Sie werden sicherer, wenn ihre Freiheit architektonisch begrenzt wird.
Die Agentic Control Plane ist diese Begrenzung. Sie verwandelt Agentenarbeit von improvisierter Autonomie in kontrollierte Zustandsübergänge: routbar, beobachtbar, abbrechbar, budgetierbar, prüfbar und menschlich verantwortbar.
Das ist kein Innovationsbremsklotz. Es ist die Voraussetzung dafür, dass Agentic AI in AML, Fraud und KYC überhaupt produktionsfähig wird.
Quellen und Einordnung
- LangGraph Docs: Persistence
- LangGraph Docs: LangSmith Observability
- OpenTelemetry: Semantic conventions for generative AI systems
- AgentOps Docs: Sessions
- NIST: AI Risk Management Framework
- ReAct: Synergizing Reasoning and Acting in Language Models
- O'Reilly: Accelerate
- Manning: Securing DevOps
- O'Reilly: Fundamentals of Data Engineering
- O'Reilly: Designing Machine Learning Systems
- O'Reilly: Domain-Driven Design
- FinOps Foundation: Cloud FinOps book
Transparenz: Dieser Beitrag wurde mit Codex aus Nutzerimpulsen, Watchdog-Dossierlogik und den dokumentierten Primär- beziehungsweise Standardquellen vorbereitet. Redaktionelle Prüfung vor weiterer Distribution bleibt erforderlich.
