Secrets Management für KI-Agenten

Worum es geht

Agenten benötigen Zugang zu APIs, Datenbanken und Tools, dürfen Zugangsdaten aber weder sehen noch weiterreichen. Secrets Management stellt Identitäten und Berechtigungen erst zur Laufzeit, für einen engen Zweck und möglichst kurzlebig bereit.

Der Kontrollpfad

1

Workload identifizieren

Agent und Auftrag eindeutig binden

2

Policy prüfen

Ziel, Scope und Kontext autorisieren

3

Credential ausstellen

Kurzlebig und zweckgebunden

4

Nutzung protokollieren

Zugriff und Widerruf korrelieren

Mögliche Folgen

Minimaler Scope

Kurze Laufzeit

Widerrufbar

Die drei wichtigsten Maßnahmen

Schutzschicht 1

Secrets aus dem Kontext halten

Keine Keys in Prompts, Memory, Tool-Ausgaben, Logs oder Repositories ablegen.

Schutzschicht 2

Dynamisch ausstellen

Workload Identity, Token Exchange und kurzlebige Credentials statt gemeinsamer langlebiger Schlüssel verwenden.

Schutzschicht 3

Nutzung begrenzen

Credential an Agent, Tool, Ziel, Mandant, Scope und Laufzeit binden; Rotation und Widerruf automatisieren.

Ein kompromittierter Prompt erhält weder das Secret selbst noch einen unbegrenzten Zugriffspfad.

Drei Umsetzungsmuster

Token Broker vor das Tool setzen

SaaS

Agent

Broker

API

Der Broker prüft Scope und Ziel und nutzt das Credential ohne Offenlegung an das Modell.

Workload Identity verwenden

Cloud

Runtime

Identität

Ressource

Kurzlebige Identitäten ersetzen statische Cloud-Keys in Umgebungsvariablen.

Widerruf vorbereiten

Incident

Signal

Sperre

Rotation

Betroffene Credentials lassen sich zielgerichtet sperren und ohne langen Ausfall ersetzen.

Minimalstandard und Tests

Minimalstandard

• Secrets erscheinen nicht in Prompts, Memory, Antworten oder Standardlogs.
• Produktive Agenten nutzen eigene Maschinenidentitäten statt Shared Credentials.
• Credentials sind kurzlebig, minimal berechtigt und an einen Zweck gebunden.
• Secret Stores und Broker erzwingen Zugriff serverseitig.
• Rotation, Revocation und Break-Glass-Verfahren sind dokumentiert.
• Secret-Nutzung ist ohne Secret-Wert auditierbar.

Tests müssen Leaks über Prompt, Fehler, Trace und Tool-Ausgabe, Scope-Eskalation, Cross-Tenant-Nutzung, abgelaufene Tokens sowie Rotation und Notfallwiderruf abdecken.

Quellen

• OWASP Secrets Management Cheat Sheet
• NIST SP 800-57 Part 1 Rev. 5
• SPIFFE: Workload Identity