Operative Kategorie
Gedächtnis
Was der Agent sich merkt.
Conversational Memory
Die laufende Nachrichtenhistorie, die der Agent jeden Turn liest.
Aktuelle Konversations-Turns werden aufbewahrt und wieder eingespielt, damit das Modell Kontext für den nächsten Turn hat — als vollständiges Transkript, als festes Fenster der letzten N Turns oder als laufende Zusammenfassung, sobald die Rohhistorie das Budget übersteigt. Dies ist die Kurzzeit-Ebene des Agentengedächtnisses.
Abwägung Verbesserter Konversationskontext wird auf Kosten höherer Token-Kosten, Datenschutzrisiken und Kontextfenstererschöpfung gewonnen.
Episodic Memory
Vergangene Aufgaben, persistiert, damit der Agent sein eigenes Déjà-vu erkennen kann.
Abgeschlossene Interaktionen werden als diskrete, zeitgestempelte Episoden gespeichert — ein natürlichsprachlicher Memory-Stream — und später über einen kombinierten Score aus Aktualität, Wichtigkeit und Relevanz abgerufen, sodass der Agent wiederverwenden kann, was in einer ähnlichen vergangenen Situation funktioniert hat.
Abwägung Erfahrungsbasierte Anpassung wird auf Kosten hoher Kurations- und Datenschutzpflege gewonnen.
Semantic / Vector / Graph Memory
Was der Agent weiß, indiziert für den Abruf.
Langfristiges Wissen wird strukturell, als Embeddings oder als Entitäten und Relationen gespeichert – unabhängig von einzelnen Gesprächen. Den Speicher passend zum Zugriffsmuster wählen und einfach beginnen: Vektor-DBs für Ähnlichkeitsabfragen, Key-Value (Redis) für schnelle exakte Suche, relational für strukturierte/auditierbare Abfragen und Graph-DBs erst dann, wenn Vektor plus relational zum Engpass wird.
Abwägung Wiederverwendbares, hochstrukturiertes Wissen wird auf Kosten erheblicher Aktualisierungs-, Modellierungs- und Ranking-Herausforderungen gewonnen.
Working Memory / Scratchpad
Aufgabenbezogene Notizen, die der Agent während des Denkens führt.
Ein temporärer Arbeitszustand hält Zwischenschritte, Variablen und offene Aufgaben während eines einzelnen Ausführungsdurchlaufs.
Abwägung Bessere Steuerung während eines einzelnen Durchlaufs wird auf Kosten zusätzlicher Zustandsverwaltungslogik gewonnen.
Virtual Context Management
Der Agent als eigener Speichermanager: Fakten wie ein Betriebssystem ein- und auslagern.
Der Agent behandelt sein endliches Kontextfenster wie RAM und einen externen Speicher wie eine Festplatte, wobei er Informationen unter eigener Kontrolle zwischen den Ebenen ein- und auslagert — er entscheidet selbst, was im Fenster bleibt, was in den Langzeitspeicher ausgelagert wird und was bei Bedarf zurückgeholt wird —, um über Verläufe zu arbeiten, die weit größer als das Fenster sind.
Abwägung Effektiv unbegrenzter Speicher unter einem festen Fenster wird auf Kosten zusätzlicher Inferenzaufrufe für die Auslagerungsverwaltung und des Risikos gewonnen, etwas auszulagern, das der Agent später benötigt.
Recorder
Den Zustand snapshot-artig sichern, damit der Durchlauf fortgesetzt statt neu gestartet werden kann.
Der Systemzustand (einschließlich Schlussfolgerungen und Weltmodell) wird explizit erfasst und externalisiert, sodass ein Lauf über Schritte, Sitzungen und Prozesse hinweg wiederhergestellt, fortgesetzt oder erneut abgespielt werden kann – nicht nur nach einem Abbruch.
Abwägung Erhöhte Ausfallsicherheit und Wiederaufnahme-Fähigkeit werden auf Kosten höherer Speicherkosten und Persistenz-Overhead gewonnen.
Skill Build
Erfolgreiche Trajektorien in benannte, wiederverwendbare Prozeduren überführen.
Der Agent destilliert erfolgreiche Aktionssequenzen zu wiederverwendbaren, benannten Skills — oft ausführbarer Code — und legt sie in einer wachsenden Skill-Library ab, die er bei zukünftigen Aufgaben abruft und komponiert, statt von Grund auf neu zu planen. Dies ist prozedurales Gedächtnis.
Abwägung Kontinuierliche Leistungsverbesserung wird auf Kosten des Risikos gewonnen, dass Skills sich zu stark an vergangene Fälle anpassen oder ältere Skills katastrophal vergessen werden.
Die Datenschicht
Was Memory den Daten schuldet, die es speichert
Das Memory eines Agenten ist ein Datenspeicher, und die OWASP GenAI Data Security Risks 2026 benennen seine Versagensmuster. Acht der einundzwanzig treffen die Patterns auf dieser Seite. Jede Zeile verweist auf die Patterns, die den Schutz tragen, und auf die Bedrohung, die dasselbe Versagen aus Sicht des Angreifers benennt.
| Risiko der Datenschicht | Geschützt durch | Verwandte Bedrohung |
|---|---|---|
| DSGAI01Sensitive Data LeakageEin Retrieval-Speicher gibt sensible Zeichenketten wortwörtlich zurück. Und was ein Modell oder ein Adapter sich eingeprägt hat, bleibt extrahierbar, auch wenn die Quelle gelöscht ist. | Semantic / Vector / Graph Memory, Least Privilege Agent | LLM02 Sensitive Information Disclosure |
| DSGAI04Data, Model & Artifact PoisoningWas eine Ingestion-Pipeline annimmt, wird zu dem, was das System glaubt. Ein vergiftetes Dokument bleibt falsch, bis jemand seine Herkunft unabhängig prüft. | Integrator, Statistical Guardrails | T1 Memory Poisoning |
| DSGAI11Cross-Context & Multi-User Conversation BleedSitzungszustand, Caches oder ein gemeinsamer Index lassen das Gespräch eines Nutzers in das eines anderen überlaufen — Isolation ist eine Grenze in den Daten, keine in der Benutzeroberfläche. | Conversational Memory, Least Privilege Agent | LLM02 Sensitive Information Disclosure |
| DSGAI13Vector Store Platform Data SecurityDer Vektor-Store selbst ist das Ziel: zu freigiebige APIs, unverschlüsselte Embeddings, langlebige Zugangsdaten, verwechselte Namensräume zwischen Mandanten. | Semantic / Vector / Graph Memory | LLM09 Vector and Embedding Weaknesses |
| DSGAI14Excessive Telemetry & Monitoring LeakageDas Tracing eines Agenten zeichnet ganze Prompts, Tool-Aufrufe und abgerufene Chunks auf. Damit wird der Observability-Stack zu einer zweiten Kopie des Memory. | Recorder, Audit Trail | LLM02 Sensitive Information Disclosure |
| DSGAI15Over-Broad Context Windows & Prompt Over-SharingWer das Kontextfenster mit vollständigen Datensätzen füllt, schickt Daten, die das Kernsystem nie hätten verlassen müssen, an Anbieter, Caches und Logs. | Virtual Context Management, Working Memory / Scratchpad | LLM08 Hidden Context Exposure |
| DSGAI17Data Availability & Resilience FailuresSchwächelt die Retrieval-Schicht, erscheint keine Fehlerseite, sondern stille Falschinformation — die Antworten klingen weiter sicher, obwohl die Daten dahinter veraltet sind. | Semantic / Vector / Graph Memory, Checkpointing | T5 Cascading Hallucination Attacks |
| DSGAI18Inference & Data ReconstructionWiederholte Anfragen erschließen, ob ein Datensatz im Store lag, und rekonstruieren Inhalte aus Embeddings oder Scores. Caching und Wiederverwendung verstärken das. | Semantic / Vector / Graph Memory | LLM09 Vector and Embedding Weaknesses |