Cloudflare veröffentlicht ein Positionspapier zu Agenten und Websites und kündigt die TAD-Koalition an: vierzehn Herausforderungen für Websites und ein Plan auf Basis von Web Bot Auth und MOLE, doch die Standards sind meist Entwürfe, das Whitepaper fehlt noch und die ausgelieferten Kontrollen decken nur Cloudflare-Verkehr ab

Am 5. November 2026 veröffentlichte Cloudflare „Agents aren't humans (but they kinda are)“, ein langes Positionspapier von Bryan Becker, und kündigte die Koalition Trusted Agent Delegation (TAD) an. Es knüpft an den Produktbeitrag vom 4. November über Sichtbarkeit und Kontrolle für persönliche Agenten an, den diese Ausgabe nicht wiederholt; neu sind die Argumentation und der Normungsplan. Das Papier ist Interessenvertretung eines Anbieters, der Bot- und Zugriffskontrollen verkauft, die Aussagen zu Kosten und Bedarf sind also Cloudflares eigene Rahmung.

Ausgangspunkt ist, dass ein persönlicher KI-Agent ein Vermittler ist. Er handelt für einen Nutzer, wird meist von einem Betreiber als verwalteter Dienst betrieben und erreicht eine Website von der Infrastruktur des Betreibers aus. Die Website sieht den Agenten und nicht den Nutzer, und ein Agent kann viele Nutzer tragen. Cloudflare sagt, eine Website brauche für diese Beziehung normalerweise drei Dinge: Identität, Reputation und Rechenschaft. Das einzige Leitprinzip, das Intermediationsprinzip, lautet: Die Geschäftsbeziehung zwischen Nutzern und Websites und die Sicherheitsverantwortung jeder Seite müssen gelten, was auch dazwischen sitzt. Als Betreiberbeispiele nennt das Papier Muse von Meta und dots von OpenAI und sagt, Agentenverkehr könne das gewöhnliche menschliche Surfen in naher Zukunft überflügeln, womit die alte Antwort, Vermittler zu blockieren, nicht mehr tragen würde.

Um das Problem greifbar zu machen, erzählt das Papier von einer persönlichen Assistentin namens Ezra, die Besorgungen für vier Kunden erledigt, und zeigt dann eine Tabelle mit vierzehn Herausforderungen auf Website-Seite. Dazu gehören Kontoteilung, freundlicher Betrug, Identitätsfälschung, Verkehrsvermischung (missbraucht ein Kunde einen gemeinsamen Agenten, kann die Website nur den Agenten sperren und damit alle seine Nutzer), Ressourcenerschöpfung, unvergütete Nutzung von Inhalten und der Umstand, dass CAPTCHAs und risikobasierte Authentifizierung nicht mehr wie vorgesehen funktionieren. Cloudflare schließt, dass in fast allen Fällen die Website die Hauptkosten trägt. Das ist eine durch Argumente und Beispiele gestützte Behauptung, keine Messung, und keine der vierzehn wird beziffert.

Cloudflare erklärt auch, warum zwei verbreitete Vorschläge nicht genügen. Ein CAPTCHA an den Nutzer weiterzureichen beweist nur, dass in diesem Moment irgendein Mensch anwesend ist, sagt nichts darüber, für wen der Agent sonst handelt, und bringt die Reibung zurück, die Agenten beseitigen sollen. Eng gefasste Zugriffsbereiche werden in der Praxis selten genutzt, weil Agenten die Erlaubnis für alles verlangen, und selbst ein enger Bereich sagt, was der Agent darf, nicht wer einsteht, wenn etwas schiefgeht.

Die vorgeschlagene Richtung ist ein Bündel bestehender und entstehender Standards. Für die Identität bevorzugt Cloudflare Web Bot Auth, bei dem ein Agent seine Anfragen signiert; die Dokumentation nennt IETF-Entwürfe als Grundlage, Ed25519-Schlüssel und ein Schlüsselverzeichnis an einem festen Well-known-Pfad. Das Papier nennt einen ungelösten Fall, nämlich einen Agenten, der in einem Browser einen anderen Agenten nutzt, wobei die Website die ganze Kette sehen muss. Die Dokumentation ergänzt, Cloudflare experimentiere mit dem Forwarded-Header, um die Identität eines Betreibers durch eine solche Kette zu tragen, und kennzeichnet das als experimentell und änderbar. Für Ratenbegrenzung ohne Nutzerkennungen verweist das Papier auf MOLE, den es als beabsichtigten Nachfolger von Private Access Tokens bezeichnet, und für Zahlungen auf x402. Es beschreibt vier Stufen identifizierender Angaben, von nichts über Sitzung und Konto bis zu einer eindeutigen Kennung eines Dritten, und sagt, Websites sollten nicht mehr verlangen als nötig. Gewünscht werden außerdem eine Möglichkeit, Aussagen wie „über 18“ oder „Karteninhaber“ zu übermitteln, und ein maschinenlesbarer Weg, mit dem Websites veröffentlichen, was Agenten dürfen; die IETF-Arbeitsgruppe AI Preferences behandle Nutzungspräferenzen wie Training und Suche, aber nach Cloudflares Ansicht nicht den weiteren Bedarf.

Die eigentliche Ankündigung ist die TAD-Koalition. Ihr erklärtes Ziel ist es, Vertreter aus dem gesamten Ökosystem zusammenzubringen, um die Problemlage zu besprechen, bestehende Protokolle zu prüfen und klar umrissene Probleme in die IETF zu tragen, mit Nebentreffen bei IETF-Treffen und Workshops. Die Website der Koalition kündigt ein Whitepaper an und zeigt einen angestrebten Anwendungsfall: Ein wiederkehrender Käufer wechselt den Agenten, während die Website ihre Beziehung zum Käufer behält und die weitergegebenen persönlichen Daten begrenzt. Lokale und quelloffene Agenten auf dem eigenen Gerät des Nutzers stehen laut Papier nicht im ersten Fokus.

Zum Schluss nennt das Papier, was Cloudflare-Kunden jetzt tun können, was die Funktionen vom 4. November wiederholt: Security Analytics zählt persönliche Assistenten als eigene Verkehrskategorie, Zugriffsrichtlinien pro Agent erlauben es, einen Agenten zuzulassen, ihn nur auf Seiten mit Werbung zu blockieren oder ganz zu sperren, und Account Abuse Protection, im Early Access, zeigt, ob eine Anmeldung oder Registrierung von einem persönlichen Agenten kam und von welchem, sodass sich ein einzelnes Konto mit einer WAF-Regel auf seine gehashte Nutzerkennung behandeln lässt. Das Papier nennt auch Business Insights, ein Berichtswerkzeug für Kunden von Enterprise Bot Management, für ein breiteres Bild des KI-Crawler-Verkehrs.

Unsere Einschätzung: Nützlich sind das Vokabular und die Liste der Fehlerfälle, mit der ein Website-Betreiber prüfen kann, welche der vierzehn auf ihn zutreffen. Die Standards sind überwiegend Entwürfe, MOLE wird als beabsichtigt beschrieben, das Whitepaper ist noch nicht veröffentlicht, und die ausgelieferten Kontrollen decken nur Verkehr über Cloudflare ab. Die Koalition sollte man als erklärte Absicht lesen und nicht als beschlossenen Standard.