Der Agent bereitet die Aktion vor, führt sie aber nicht selbst aus: Er legt sie einem Menschen zur Bestätigung vor, und erst dessen Freigabe löst sie aus. Das schützt kritische Workflows und schafft zugleich einen Punkt, an dem die Qualität der Entscheidung geprüft wird.
Sicherheitsrelevant ist dieser Schritt, weil er dort greift, wo die Rechtevergabe nicht mehr trägt. Least Privilege begrenzt, was ein Agent tun kann; es verhindert aber nicht, dass er im Rahmen seiner Rechte das Falsche tut. Genau das ist die Wirkung von Memory Poisoning und manipulierten Eingaben: Der Agent handelt erlaubt und trotzdem im Sinne des Angreifers. Ein HITL-Kontrollpunkt fängt genau diesen Fall ab, den die Rechtevergabe passieren lässt.
Ihre Wirksamkeit hängt daran, dass sie selten bleibt. Wer jede Aktion bestätigen lässt, erzeugt eine Routine des Durchwinkens: Die Freigabe existiert dann formal, prüft aber nichts mehr. Sinnvoll ist sie deshalb dort, wo eine Entscheidung Geld, Daten oder Verträge in Gefahr bringt. Human in the Loop ist dabei keine „Ampelentscheidung“, sondern schließt das Zusammentragen der Informationen ein, ohne die der Mensch die Aktion gar nicht beurteilen kann.