AI-agent

Arkitektonisk er en agent en kontrolløkke omkring en tilstandsløs model. Harnessen sender modellen en kontekst med målet, en systemprompt, samtalen indtil nu og et sæt værktøjsdefinitioner (navn, beskrivelse i naturligt sprog og et JSON Schema for argumenterne). Modellen svarer enten med tekst eller med et eller flere strukturerede værktøjskald; harnessen validerer og udfører hvert kald, lægger resultatet ind i konteksten som en værktøjsresultat-besked og kalder modellen igen. Løkken stopper, når modellen giver et endeligt svar, når et budget for trin eller tokens er brugt op, eller når et menneske afbryder. Mønstret blev kendt med ReAct (Yao m.fl., 2022), der vekslede mellem "tanke", "handling" og "observation", og blev en produktfunktion med indbygget function calling i de kommercielle API'er fra 2023; Model Context Protocol har siden standardiseret, hvordan værktøjer og datakilder stilles til rådighed for sådanne løkker.

Modellen udfører aldrig selv noget. Alle agentens evner gives af harnessen: hvilke værktøjer der er registreret, hvilke legitimationsoplysninger de kører med, om kald godkendes automatisk eller sættes i kø til bekræftelse, og hvad sandkassen tillader (filsystem, udgående netværk, shell). Derfor skelner man ofte, fx i Anthropics "Building effective agents" (2024), mellem workflows, hvor koden fastlægger rækkefølgen af LLM-kald, og agenter, hvor modellen selv vælger næste trin. Workflows er lettere at teste og revidere; agenter bytter forudsigelighed for fleksibilitet på åbne opgaver.

Fejlmønstrene er anderledes end hos en chatassistent. Fejl hober sig op over mange trin, så en lille fejllæsning tidligt kan føre til en lang kæde af selvsikre, men forkerte handlinger. Lange kørsler fylder kontekstvinduet med værktøjsoutput, hvilket forringer genkaldelsen og er hoveddrivkraften bag context engineering-teknikker som at opsummere eller beskære resultater. Agenter kan køre i ring, gentage et fejlende kald eller melde succes uden at have tjekket den, så produktionsopsætninger tilføjer grænser for antal trin og omkostninger, timeouts og eksplicitte verifikationstrin som at køre tests.

Sikkerhedsbilledet domineres af, at værktøjsresultater blot er mere tekst i konteksten. Alt, hvad agenten læser - en webside, en mail, en fil i et repository - kan bære indirekte prompt injection, der omdirigerer det næste værktøjskald. OWASP Top 10 for LLM Applications 2025 har dette som LLM01 Prompt Injection og den deraf følgende overdrevne handlefrihed som LLM06 Excessive Agency, opdelt i for meget funktionalitet, for mange rettigheder og for meget autonomi. De praktiske kontroller følger af den opdeling: registrér kun de værktøjer, opgaven kræver, kør dem under en dedikeret servicekonto med mindste privilegium i stedet for brugerens eget token, kræv menneskelig godkendelse (human-in-the-loop) før uigenkaldelige eller dyre handlinger, isolér udførelsen i en sandkasse, og log hvert værktøjskald med dets argumenter, så handlinger kan rekonstrueres bagefter.