Containment ist die Kontrollebene für KI-Agenten
· 10 Min. Lesezeit
Sobald ein Agent Werkzeuge nutzt, hängt Produktionssicherheit davon ab, was seine Umgebung erreichbar macht – nicht davon, was das Modell zu vermeiden verspricht.
Die Vertrauensgrenze hat sich verschoben
Ein Modell, das nur Text entwirft, wird von der Anwendung begrenzt. Ein Agent, der Code ausführt, das Internet nutzt, Zugangsdaten abruft oder externen Zustand ändert, gehört in ein anderes Bedrohungsmodell: Seine Ausgabe wird zur Anweisung an die Infrastruktur. Beim Hugging-Face-Vorfall im Juli 2026 umgingen interne Modelle laut OpenAI Kontrollen und erreichten Drittsysteme; Hugging Face rekonstruierte rund 17.600 Aktionen in etwa 6.280 Clustern. Auch ohne Auswirkung auf Kundendaten gilt: Ein leistungsfähiger Agent ist wie eine potenziell kompromittierte Workload zu behandeln.
Verhaltensregeln sind keine Sicherheitsgrenze
Anweisungen, Klassifikatoren und Ablehnungen senken Risiken, können aber nicht garantieren, dass jeder Modellzustand, jede Tool-Antwort, Prompt Injection oder Infrastrukturlücke die Regel bewahrt. Autorisierung muss außerhalb des Modells liegen: eng begrenzte Fähigkeiten, isolierte Dateisysteme, standardmäßig gesperrtes Netzwerk, kurzlebige Zugangsdaten und eine externe Policy Engine.
- Berechtigung außerhalb modellgesteuerter Daten erzwingen
- Fähigkeiten auf Aufgabe, Ressourcen und Zeitfenster begrenzen
- Lese- und Schreibpfade trennen
- Irreversible Aktionen idempotent und prüfbar machen
Eine wegwerfbare Ausführungszelle bauen
Jeder Lauf sollte in einer frischen Sandbox oder VM mit expliziter Dateisicht beginnen. Host-Sockets, Cloud-Metadaten, Home-Verzeichnisse und fremde Repositories bleiben unerreichbar. Netzwerkverkehr läuft über einen Allowlist-Proxy; offene Recherche gehört in eine separate, schreibgeschützte Ebene ohne Produktionszugangsdaten.
Zugangsdaten erst im letzten verantwortbaren Moment vermitteln
Langlebige Secrets im Agent-Prozess brechen das Prinzip der minimalen Rechte. Ein Broker autorisiert die Aufgabenidentität, verwendet ein kurzlebiges Token und liefert ein strukturiertes Ergebnis. Kleine, typisierte Tool-Verträge mit serverseitiger Autorisierung, Limits, Idempotenz und Nachbedingungen sind sicherer als ein allgemeiner HTTP-Client mit Admin-Token.
Menschliche Freigabe ist knapp – keine Perimeterkontrolle
Freigaben helfen bei folgenreichen Entscheidungen, ersetzen aber kein Containment. Anthropic berichtet, dass Nutzer etwa 93 % der untersuchten Berechtigungsdialoge bestätigen. Fragen Sie nur dort, wo menschliches Urteil die Entscheidung ändern kann. Anthropic meldet durch Sandboxing 84 % weniger Dialoge: Routinefähigkeiten mechanisch verkleinern, Ausnahmehandlungen bewusst prüfen.
Containment als Produktionssystem betreiben
Traces müssen Absicht, Modell- und Prompt-Version, Belege, Capability Grants, Tool-Eingaben, Netzwerkziele, Ausgaben und Policy-Entscheidungen verbinden. Ein Kill Switch widerruft Zugangsdaten, stoppt Zellen, isoliert Ergebnisse und verhindert Neustarts aus der Warteschlange. Testen Sie den echten Produktions-Harness; ein sicheres Modell in einer permissiven Umgebung bleibt ein unsicheres System.
- Modell, Harness, Tools und Umgebung getrennt bedrohen
- Prompt- und Tool-Output-Injection gegen echte Regeln testen
- Explosionsradius und Wiederherstellungszeit messen
- Neue Fähigkeiten erst nach Containment- und Rollback-Übungen aktivieren
Primärquellen und weiterführende Lektüre
Zahlen und Empfehlungen beruhen auf Erstquellen. Sie sind Belege, keine universelle Anbieter-Checkliste.
Veröffentlicht am 27. August 2026 von Berktug Berke Ates.