Ergebnis lesen

Ein Check wird mit GET /v1/checks/{check_id} (Agent-Token oder Kontoschlüssel) oder mit dem MCP-Werkzeug get_check gelesen. Wie Sie einen erhalten, zeigt der Schnellstart. Das Ergebnis von get_check trägt neben demselben JSON das optionale Feld summary: höchstens zehn Zeilen Deutsch mit dem Gesamtwert, dem Urteil, dem dringendsten Schritt, dem Plan in Schritten und der Adresse der Prüfseite. Das zeigt Ihnen die verbundene KI; die Seite und die Befundliste sagen dasselbe ausführlich.

Zustände eines Checks

Die Befundliste

finding_list im Check enthält die Felder des veröffentlichten Schemas catalog/schema/finding-list-1.14.0.json. Die Felder:

Ein Befund

Der Plan

plan im Check nennt die Schritte, die noch zu tun sind, in der Reihenfolge der Prüfseite und der Zusammenfassung: zuerst nach Schwere, dann danach, was ein Schritt im Wert bringt. Ein Schritt enthält die Befunde, die eine Änderung beseitigt. Das Feld ist null, bis die eigenen Regeln fertig sind, und [], wenn nichts mehr zu tun ist.

Beispiel

Eine Befundliste aus einem echten Check, gekürzt auf zwei Befunde und ihre Regelergebnisse. Sie entspricht dem veröffentlichten Schema. In einem Check steht sie unter finding_list.

{
  "schema_version": "1.14.0",
  "check_id": "6d2f0c1e-3c7a-4d55-9e4b-2f4f9a1c7b10",
  "submission_id": "0199f3c1-8a2e-7b41-9c3d-5e6f7a8b9c01",
  "data_class": "configuration",
  "created_at": "2026-10-10T09:14:06Z",
  "catalog_version": "1.65.0",
  "scoring_version": "1.6.0",
  "filter_version": "1.5.0",
  "overall_score": 20,
  "class_scores": {
    "purpose": {
      "score": 71,
      "applicable_rules": 2
    },
    "authority": {
      "score": 50,
      "applicable_rules": 4
    },
    "state": {
      "score": 0,
      "applicable_rules": 2
    },
    "rules": {
      "score": 0,
      "applicable_rules": 2
    },
    "handoffs": {
      "score": 0,
      "applicable_rules": 2
    },
    "tests": {
      "score": 0,
      "applicable_rules": 1
    },
    "exceptions": {
      "score": 0,
      "applicable_rules": 1
    },
    "loop_hygiene": {
      "score": null,
      "applicable_rules": 0
    },
    "bloat": {
      "score": 100,
      "applicable_rules": 4
    },
    "network": {
      "score": 100,
      "applicable_rules": 6
    }
  },
  "controllability_score": 0,
  "action_scores": {
    "stop": {
      "score": 33,
      "applicable_rules": 3
    },
    "restrict": {
      "score": 82,
      "applicable_rules": 8
    },
    "take_over": {
      "score": 0,
      "applicable_rules": 1
    },
    "trace": {
      "score": 0,
      "applicable_rules": 1
    }
  },
  "controllability_omitted_reason": null,
  "controllability_notice": "This score measures static configuration checks for human control. It does not verify that controls work at runtime or that the agent is safe.",
  "score_scope": "static_configuration",
  "runtime_verified": false,
  "unknown_structure": [],
  "skipped_rules": [],
  "submitted_through": "agent",
  "submitted_by_account_id": null,
  "solution_tier": "premium",
  "previous_submission_id": null,
  "findings": [
    {
      "finding_id": "ca8f1080-a8e9-5d3c-a45c-db13b26f2865",
      "rule_id": "AU-02",
      "rule_class": "authority",
      "rule_version": "1.65.0",
      "check_type": "deterministic",
      "control_action": "stop",
      "location": {
        "file": "CLAUDE.md",
        "line": 5,
        "field_path": null
      },
      "evidence": "Never ask before sending an e-mail.",
      "severity": {
        "level": "medium",
        "reason": "No component names something the agent must never do on its own."
      },
      "proposal": "Add a line naming an action the agent is never allowed to take by itself. Example: \"The agent must never delete a customer record on its own.\"",
      "status": "new",
      "next_step": "Change the setup as proposed, then submit it again.",
      "provenance": [
        {
          "source": "own"
        }
      ],
      "pattern_ids": ["PAT-AU-01"],
      "owasp_asi": ["ASI02", "ASI03"],
      "five_eyes_area": "privilege",
      "standards_note": null,
      "change_list": [
        {
          "harness": "claude-code",
          "harness_version": "1.3.0",
          "target": "choose",
          "file": null,
          "anchor": null,
          "old": "",
          "new": "The agent must never delete a customer record on its own.",
          "rule_id": "AU-02",
          "rule_version": "1.65.0",
          "finding_id": "ca8f1080-a8e9-5d3c-a45c-db13b26f2865"
        }
      ],
      "owasp_ast": ["AST03"],
      "limits": [
        "The search reads German and English wording only and judges the presence of a statement, not its meaning: a sentence that fits the words and says nothing is beyond a word list.",
        "A prohibition sentence meets this rule only when it names an action of a published list of verbs: a sentence that forbids a real action the list lacks does not meet it, and a sentence with a listed verb meets it whatever it forbids. The list grows by version."
      ]
,
      "risk": "Without an explicit ban the agent does anything when in doubt.",
      "self_check": "Read your instruction files and look for a sentence that names something the agent must never do on its own, such as deleting or paying."
    },
    {
      "finding_id": "f9dfc19a-fdb5-5d6e-841b-fcbeae5714e1",
      "rule_id": "NW-05",
      "rule_class": "network",
      "rule_version": "1.65.0",
      "check_type": "deterministic",
      "control_action": null,
      "location": {
        "file": null,
        "line": null,
        "field_path": null
      },
      "evidence": null,
      "severity": {
        "level": "info",
        "reason": "The package holds no field of the Netzwerk detection table for its harness, so how it reaches the model and its tools cannot be judged statically. Default model endpoints are not visible to a static check. Fields the harness does not read are not in the table and are not judged."
      },
      "proposal": "Where the harness has a field for it, name the model endpoint, a proxy, the egress allow-list and the tool endpoints in its settings or in .mcp.json, so the Netzwerk rules can judge them. Claude Code has no cost bound setting; set a cost cap at your gateway.",
      "status": "not_checkable",
      "next_step": "This part of the setup cannot be judged statically.",
      "provenance": [
        {
          "source": "own"
        }
      ],
      "pattern_ids": ["PAT-NW-01"],
      "owasp_asi": [],
      "five_eyes_area": "none",
      "standards_note": "Notice that the check has no field of the detection table for the harness; it limits the check, it answers no risk of the two standards.",
      "change_list": [],
      "owasp_ast": [],
      "limits": [
        "Default model endpoints are not visible to a static check: the package names no model endpoint, allow-list, cost bound or tool endpoint, so the Netzwerk rules could not judge it. This notice changes no score."
      ],
      "risk": "This is not an error, but the check cannot see how your agent reaches the network and so judges nothing about it.",
      "self_check": "Open the settings of your harness and look for the fields that name the model address and the tool servers; if you find none, check by hand how your agent reaches the model and its tools."
    }
  ],
  "external_observations": [],
  "rule_outcomes": [
    {
      "rule_id": "AU-02",
      "rule_class": "authority",
      "outcome": "violated",
      "reason": null,
      "basis": null,
      "notice": false
    },
    {
      "rule_id": "NW-05",
      "rule_class": "network",
      "outcome": "violated",
      "reason": null,
      "basis": null,
      "notice": true
    }
  ],
  "score_cap": {
    "applied": true,
    "rule_class": "handoffs",
    "limit": 20,
    "mean_score": 36
  },
  "subscore_caps": [],
  "groups": [],
  "assurance_limits": [
    {
      "key": "no_runtime_test",
      "de": "Das Verhalten zur Laufzeit und die Widerstandsfähigkeit gegen eingeschleuste Anweisungen werden nicht getestet.",
      "en": "Behaviour at run time and resistance to injected instructions are not tested."
    },
    {
      "key": "statement_rules_read_wording",
      "de": "Die Regeln, die eine Aussage suchen, lesen Deutsch und Englisch und beurteilen, ob eine Aussage vorkommt, nicht, was sie bedeutet.",
      "en": "Statement-presence rules read German and English and judge the presence of a statement, not its meaning."
    }
  ],
  "not_judged": [
    {
      "key": "netzwerk",
      "de": "Das Netzwerk wurde nicht beurteilt: Das Paket nennt kein Feld, das die Netzwerkregeln lesen (Modell-Endpunkt, Freigabeliste für Hosts, Kostengrenze), oder die Tabelle kennt für dieses Harness kein solches Feld, oder ein Host im Endpunktfeld ist weder öffentlich bekannt noch belegt. Fehlende Netzwerkbefunde heißen hier nicht, dass das Netzwerk geprüft und in Ordnung ist.",
      "en": "The network was not judged: the package names no field the network rules read (model endpoint, allow-list of hosts, cost bound), or the table holds no such field for this harness, or a host in an endpoint field is neither publicly known nor confirmed. No network findings here does not mean the network was checked and found sound."
    }
  ],
  "language": "en"
}

Wie die Zahlen entstehen

• Es zählen nur deterministische Regeln. Eine Regel ist verletzt, wenn sie mindestens einen Befund erzeugt hat; sie zählt einmal, egal wie oft sie traf. Eine Regel, die nicht anwendbar ist, fällt aus der Rechnung, sie gilt nicht als bestanden.
• Jede Regel wiegt nach ihrer Schwere: high 5, medium 2, info 1. Eine Zahl ist 100 * (1 - Gewicht der verletzten Regeln / Gewicht der anwendbaren Regeln), auf eine ganze Zahl gerundet. Ein Befund mit dem Status not_checkable ist ein Hinweis und ändert keine Zahl; der Befund der Regel NW-14 hat diesen Status und zählt nach seiner Schwere.
• Eine Klassenzahl nutzt die Regeln einer Klasse, eine Aktionszahl die Regeln einer Kontrollaktion. null ist nicht 0: null heißt, keine Regel war anwendbar, 0 heißt, jede anwendbare Regel wurde verletzt. applicable_rules steht neben jeder Zahl.
• Seit der Bewertung 1.6.0 liegt eine Klassenzahl höchstens bei 70, wenn eine Regel, die auch eine Einstellung erfüllen könnte (AU-01 mit permissions.ask, AU-02 mit permissions.deny), allein durch einen Satz erfüllt ist und keine Regel der Klasse durch eine Einstellung erfüllt ist. Die Grenze gilt, bevor die Gesamtzahl und deren Grenze berechnet werden; subscore_caps nennt jede gesenkte Klasse. Eine Klasse, deren Regeln keine Einstellung erfüllen kann, etwa die Übergabe, wird nicht begrenzt.
• Die Gesamtzahl ist die kleinere von zwei Zahlen: der Mittelwert der Klassenzahlen, die nicht null sind, und die niedrigste Zahl unter den Kontrollklassen authority, handoffs, exceptions, loop_hygiene und network plus 20. score_cap sagt, ob die Grenze galt und welche Klasse sie setzte. Eine schwache Kontrollklasse hält die Gesamtzahl also unten.
• Jede Zahl gehört zu einer catalog_version und einer scoring_version. Ein Katalogwechsel allein zeigt nicht, dass ein Setup besser oder schlechter wurde: Vergleichen Sie unter demselben Katalog oder rechnen Sie beide nach.

Was das Ergebnis nicht sagt

• Der Geltungsbereich ist static_configuration, und runtime_verified ist immer false. Eine Aussage in Ihren Dateien ist kein Beweis, dass der laufende Agent sie befolgt, und ein fehlender Befund ist kein bestandener Test.
• assurance_limits listet, was das Ergebnis nicht belegt: Verhalten zur Laufzeit und Widerstand gegen eingeschleuste Anweisungen werden nicht getestet; die Regeln, die nach einer Aussage suchen, lesen Deutsch und Englisch und beurteilen, dass eine Aussage da ist, nicht was sie bedeutet; Einstellungen außerhalb des Pakets sind nicht sichtbar.
• limits an einem Befund sagt, was der Check an dieser Stelle nicht beurteilen konnte. unknown_structure listet Dateien, deren Rolle der Check nicht kannte.

Die Regeln und die Muster sind öffentlich: GET /v1/catalogs/rules und GET /v1/catalog/patterns brauchen keine Anmeldung.