Referenzarchitektur / Interner Prototyp

Enterprise KI-Agenten-Integrationsschicht

Eine produktionsorientierte Backend-Ausführungsschicht, die es KI-Agenten ermöglicht, Tools aufzurufen, Workflows auszulösen, mit Enterprise-APIs zu interagieren und Aktionen sicher mit Identität, Policy, Freigabe-Gates, Logging, Wiederholungsversuchen, Audit-Trails und Monitoring auszuführen.

Kontext

Die meisten KI-Piloten scheitern, sobald sie reale Systeme berühren müssen. Das Risiko ist nicht das Modell; das Risiko ist unkontrollierte Ausführung: Berechtigungen, Identität, Freigaben, Audit-Trails, Wiederholungen, Datenabfluss und unklare Verantwortlichkeit. Diese Referenzarchitektur zeigt, wie wir einen Agenten von der Demo zu einer kontrollierten produktiven Ausführungsschicht bringen.

Problem

KI-Agenten können über eine Aufgabe nachdenken, haben aber in den meisten Organisationen keinen sicheren, kontrollierten Weg, auf realen Systemen zu handeln. Direkter Datenbank- oder API-Zugang ist riskant, Integrationen sind fehleranfällig, sensible Aktionen haben keinen Freigabeschritt, und es gibt selten einen Audit-Trail, wenn ein Agent eine Geschäftsaktion auslöst.

Was gebaut / modernisiert wurde

Wir entwerfen eine Backend-Ausführungsschicht, die zwischen der KI-Plattform und den Enterprise-Systemen sitzt. Eine Anfrage fließt vom Nutzer oder KI-Agenten über eine Policy- und Identitätsschicht in ein MCP- / OpenAPI-Tool-Gateway, durch ein Freigabe-Gate für sensible Aktionen und erst dann zu Business-APIs, Databricks-Jobs oder Legacy-Systemen. Jeder Schritt wird validiert, bei Bedarf asynchron ausgeführt, bei Fehlern wiederholt und als strukturiertes Audit-Event mit Telemetrie und Ergebnis-Normalisierung aufgezeichnet.

AI Execution Layer Architecture

User / AI Agent
Copilot, Agenten-Framework oder Plattform
Policy & Identity Layer
OIDC-Identität, Scopes, RBAC, Per-Tool-Policy
MCP / OpenAPI Tool Gateway
Allowlisted, schema-validierte Tools
Approval Gate
Menschliche Freigabe für sensible Aktionen
Business APIs / Databricks Jobs / Legacy Systems
Reale Systeme of Record
Audit Log / Telemetry / Result Normalization
Strukturierte Events und Traces

Der Weg, den jede Anfrage vom Agenten zur kontrollierten Systemaktion nimmt.

Secure Tool-Calling Flow

Tool-Request
Agent wählt ein allowlisted Tool
Authentifizieren & autorisieren
OAuth 2.1 / OIDC, Scoped Access, Rollenprüfung
Eingabe validieren
Schema-Validierung, Per-Tool-Policy-Check
Freigabe (falls sensibel)
Menschliches Gate vor Schreibaktionen
Mit Safeguards ausführen
Idempotency-Key, Timeout, Retry, Circuit Breaker
Normalisieren & auditieren
Ergebnis-Normalisierung, strukturiertes Audit-Event

Wie ein einzelner Tool-Call geprüft wird, bevor er ein System erreicht.

Audit Event Lifecycle

Anfrage empfangen
Identität, Tool, Parameter erfasst
Policy-Entscheidung
Erlaubt / verweigert mit Begründung
Ausführungsergebnis
Erfolg, Retry oder Dead-Letter
Strukturiertes Audit-Event
Correlation-ID, Akteur, Aktion, Ergebnis
Telemetrie & Klassifizierung
Traces, Token/Kosten, Fehlerklasse

Jeder Tool-Call erzeugt einen nachvollziehbaren, klassifizierten Datensatz.

Security-Flow

OAuth 2.1 / OIDC-fähiges Authentifizierungsmuster
Scoped Tool-Access pro Agent und pro Workflow
Rollenbasierte Berechtigungen am Gateway durchgesetzt
Per-Tool-Policy-Checks vor der Ausführung
Menschliche Freigabe für sensible Aktionen
Request-Validierung vor der Ausführung
Strukturierte Audit-Events nach der Ausführung

Tool-Calling-Kontrollen

Nur allowlisted Tools — kein offener Systemzugriff
Schema-validierte Eingaben bei jedem Tool-Call
Idempotency-Keys für externe Aktionen
Retry- und Timeout-Policies pro Tool
Dead-Letter-Queue für fehlgeschlagene Jobs
Circuit Breaker für instabile nachgelagerte Systeme
Kein direkter Modellzugriff auf Datenbanken oder privilegierte APIs

Observability

OpenTelemetry-kompatible Traces über den gesamten Call-Pfad
Strukturierte Logs für jede Anfrage und jeden Tool-Call
Tool-Call-Event-Historie mit Correlation-IDs
Token- und Kosten-Monitoring pro Workflow
Job-Status-Tracking für asynchrone und langlaufende Arbeit
Fehlerklassifizierung für Triage und Alerting

Databricks & Daten-Workflow-Integration

Databricks Jobs API für kontrollierte Datenausführung
Parameterisierte Workflow-Runs vom Gateway aus
Job-Status-Polling statt blindem Fire-and-Forget
Ergebnis-Normalisierung zurück in typisierte Contracts
Delta Lake / kontrollierte Daten-Workflows
Trennung zwischen KI-Interaktion und Datenausführung

Produktions-Urteilsvermögen — was wir bewusst nicht zulassen

Kein uneingeschränkter Agenten-Zugriff auf Produktionsdatenbanken
Keine stillen externen Aktionen ohne Policy-Checks
Keine versteckten Prompts als Sicherheitsgrenzen
Keine unkontrollierten langlaufenden Schleifen
Keine unauditierten Tool-Calls
Keine hartkodierten Secrets
Keine reine Prototyp-Architektur, die als produktionsreif dargestellt wird

Geschäftsnutzen

Agenten können mit kontrollierten, auditierbaren Berechtigungen auf reale Systeme einwirken
Sensible Aktionen passieren ein menschliches Freigabe-Gate, bevor sie ausgeführt werden
Fehler werden wiederholt, in die Dead-Letter-Queue geschrieben und aufgezeichnet, anstatt still verloren zu gehen
Ein klarer Weg vom KI-Prototyp zu einer produktionsreifen Ausführungsschicht

Technologien

Python
FastAPI
MCP
OpenAPI
OAuth 2.1 / OIDC
PostgreSQL
Azure Service Bus
Databricks Jobs
Delta Lake
Docker
Terraform
OpenTelemetry

Relevante Rollen

Senior AI Backend Engineer
AI Integration Engineer
MCP / OpenAPI Tool Gateway Engineer
DevOps / Terraform Engineer

Status & Transparenz

Referenzarchitektur und interner Prototyp. Sie dokumentiert die Muster, Kontrollen und das Urteilsvermögen, die wir beim Bau einer Enterprise-KI-Ausführungsschicht anwenden — kein konkreter vertraulicher Kundeneinsatz.

Nächster Schritt