Ein Agent mit Shell, Dateizugriff und Netzwerk ist kein besseres Chatfenster. Er kann reale Zustände verändern. Deshalb braucht er einen Arbeitsraum, in dem ein Fehler nicht sofort den normalen Rechner oder ein produktives System trifft.
Ich nenne diesen Raum Airlock. Die Luftschleuse trennt unklare Eingaben und mächtige Werkzeuge vom eigentlichen Zielsystem.
Was der Airlock begrenzt
Der Agent sieht nur die Verzeichnisse, die für seinen Auftrag nötig sind. Secrets und unnötige Umgebungsvariablen bleiben draußen. Produktionszugriff ist nicht Teil des normalen Arbeitsraums. Netzwerkziele werden begrenzt und beobachtet.
Damit sinkt die mögliche Wirkung eines falschen Befehls, eines manipulierten Pakets oder einer irreführenden Tool-Ausgabe. Die Isolation macht das Modell nicht zuverlässiger. Sie macht einen Fehler beherrschbarer.
Die Übergabe ist eine eigene Grenze
Ein Ergebnis verlässt den Airlock nicht allein deshalb, weil der Agent fertig meldet. Übergeben werden benannte Artefakte, ein Diff und die dazugehörigen Prüfergebnisse. Pakete, neue Abhängigkeiten und externe Verbindungen bleiben sichtbar.
Ein Mensch oder eine getrennte Policy entscheidet anschließend, was in den nächsten Bereich darf. Für produktive oder irreversible Wirkungen ist eine neue, konkrete Freigabe nötig.
Airlock statt Vollzugriff
Praktisch bedeutet das: eng gemountete Arbeitsverzeichnisse, kurzlebige Identitäten, keine globalen Installationen ohne Review, gesicherte Laufzeitprotokolle und ein verwerfbarer Arbeitsstand. Der genaue Aufbau hängt vom Risiko ab. Ein lokaler Textentwurf braucht weniger Schutz als Code mit Zugang zu Produktionsdaten.
OWASP beschreibt zu breite Funktionalität, Rechte und Autonomie als Excessive Agency. Der Airlock ist eine konkrete Antwort darauf. Er gibt dem Agenten genug Wirkung für die Aufgabe, aber keinen bequemen Weg in alles andere.
Kurz gesagt
Der Airlock schützt nicht durch Vertrauen in das Modell. Er begrenzt Zugriff und Wirkung technisch. Erst die geprüfte Übergabe verbindet den Agentenraum mit dem Zielsystem.
Quellen
OWASP: Agentic AI Threats and Mitigations
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.