AI Sandboxing für sichere Agentenausführung

Worum es geht

AI Sandboxing führt riskante Agentenfähigkeiten in einer kurzlebigen, isolierten Umgebung aus. Dateisystem, Netzwerk, Prozesse, Secrets und Ressourcen werden explizit begrenzt, damit fehlgeleiteter Code nicht auf Host oder Nachbarsysteme übergreift.

Der Kontrollpfad

1

Auftrag prüfen

Code, Dateien und Risiko klassifizieren

2

Umgebung starten

Frische Identität und Laufzeit erzeugen

3

Zugriffe begrenzen

Netz, Mounts und Ressourcen einschränken

4

Ergebnis exportieren

Nur geprüfte Artefakte übernehmen

Mögliche Folgen

Begrenzte Laufzeit

Kontrolliertes Netz

Verworfene Umgebung

Ein Containername allein ist keine Sandbox. Entscheidend sind Kernel-Grenzen, Identität, Egress, Mounts und eine verlässliche Entsorgung.

Die drei wichtigsten Maßnahmen

Schutzschicht 1

Starke Isolation

Nutze kurzlebige VMs, MicroVMs oder gehärtete Container ohne privilegierten Modus und ohne Host-Sockets.

Schutzschicht 2

Minimale Freigaben

Mounts read-only halten, Secrets bedarfsgerecht injizieren und Netzwerkziele über Allowlisting begrenzen.

Schutzschicht 3

Harte Limits

CPU, Speicher, Prozesse, Dateigröße, Laufzeit und Ausgaben außerhalb des Agenten erzwingen.

Ein kompromittierter Lauf bleibt kurzlebig, ressourcenbegrenzt und vom Host sowie anderen Mandanten getrennt.

Drei Umsetzungsmuster

Code in einer MicroVM ausführen

Coding

Patch

MicroVM

Artefaktprüfung

Repository-Snapshot und Build-Cache werden gezielt eingebunden; Host-Sockets und produktive Credentials bleiben draußen.

Parser isolieren

Dokumente

Upload

Quarantäne

Extraktion

PDFs, Archive und Office-Dateien werden ohne Netzwerk und mit engen Prozesslimits verarbeitet.

Egress kontrollieren

Browser

Navigation

Proxy-Policy

Erlaubtes Ziel

DNS, HTTP-Ziele, Downloads und Uploads laufen über einen protokollierten, richtliniengebundenen Proxy.

Minimalstandard und Tests

Die Sandbox muss nach jedem Lauf verworfen werden. Ergebnisse verlassen sie nur über einen engen, geprüften Exportpfad.

Minimalstandard

• Jeder riskante Lauf startet in einer frischen, nicht privilegierten Umgebung.
• Host-Dateisystem, Runtime-Sockets und Metadatenendpunkte sind nicht erreichbar.
• Netzwerkzugriff ist standardmäßig gesperrt und explizit freigegeben.
• CPU, Speicher, Prozesse, Speicherplatz, Laufzeit und Ausgaben haben harte Limits.
• Secrets sind kurzlebig, auf den Lauf gebunden und nicht in Images enthalten.
• Exportierte Dateien und Logs werden vor der Weiterverwendung geprüft.

Testfälle müssen mindestens abdecken:

• Escape-Versuche und Zugriff auf Host-Sockets oder Metadatenendpunkte
• unerlaubten Egress, DNS-Tunneling und interne Netzwerkziele
• Fork Bombs, Endlosschleifen, große Dateien und Speichererschöpfung
• Secret-Zugriff, Symlink-Traversal und schädliche Exportartefakte

Quellen

• NIST SP 800-190 – Application Container Security Guide
• OWASP Docker Security Cheat Sheet
• CIS Benchmarks