Sandboxing / Eindämmung

Sicherheitsziel

Sandboxing und Eindämmung begrenzen die Auswirkungen von Code, Tools, Interpretern, Browsern, Dokumentverarbeitung, Sub-Agenten und anderer potenziell beeinflusster Ausführung, indem sie diese hinter deterministische Isolations- und Ressourcengrenzen außerhalb des Modells stellen. Ziel ist nicht, Beeinflussung zu verhindern. Ziel ist, dass beeinflusste Ausführung nur erreicht, was die Grenze zulässt.

Bedrohungsmodell

Prompt Injection kann verändern, was ein Agent vorschlägt, und manche Vorschläge führen zu Ausführung: ein generiertes Skript, ein Parser auf einer nicht vertrauenswürdigen Datei, eine Browsersitzung auf einer unbekannten Seite oder ein delegierter Sub-Agent. Erkennung kann die Beeinflussung übersehen, und Autorisierung kann die Ausführung zu Recht erlauben, weil die Aufgabe sie legitim erfordert. Eindämmung geht davon aus, dass beeinflusste Ausführung stattfinden kann, und begrenzt, was sie erreicht.

Eine eingedämmte Verweigerung beweist keine böswillige Absicht. Sie beweist nur, dass die versuchte Wirkung außerhalb der Grenze lag.

Was eine Sandbox ist und was nicht

Getrennte Kontrollebenen

Diese Entscheidungen bleiben getrennt und haben getrennte Nachweise. Vertrauen, Autorisierung, Erreichbarkeit, Informationsfluss und Eindämmung werden nicht zu einem Wert verschmolzen.

Platzierung in der Architektur

Eindämmung gehört um Komponenten, die Inhalte ausführen oder interpretieren, deren Verhalten die Anwendung nicht vollständig vorhersagen kann: Code-Interpreter, generierte Skripte, shellartige Tools, Browser und Renderer, Dokument- und Archivverarbeitung, Mediendecoder sowie delegierte Sub-Agenten oder Tool-Worker.

Die Ausführung selbst bleibt auch innerhalb der Grenze nicht vertrauenswürdig. Die Grenze, ihre Richtlinie und ihre Freigabeschranke gehören der Anwendung.

Isolationsoptionen und Abwägungen

Keine einzelne Technologie reicht universell aus. Ein Container ist keine virtuelle Maschine, und eine virtuelle Maschine mit breiten Mounts, Zugangsdaten und Netzwerk kann trotzdem weit mehr offenlegen als beabsichtigt. Konfiguration und umgebende Kontrollen bestimmen die tatsächliche Grenze.

Isolation pro Aufgabe und pro Lauf

Wo praktikabel, wird pro Aufgabe oder Lauf eine frische Umgebung bereitgestellt. Sandboxes, Arbeitsbereiche und Caches werden nie zwischen Nutzern oder Mandanten geteilt. Geteilte, langlebige Sandboxes erlauben beeinflusster Ausführung in einer Aufgabe, Zustand zu hinterlassen, der eine andere beeinflusst.

Eindämmung im Dateisystem

Ein nicht eingebundener Pfad existiert für den Workload nicht. Das ist stärker als eine Regel, die dem Workload sagt, ihn nicht zu lesen.

Eindämmung von Prozessen und Betriebssystem

Workloads laufen mit einer nicht privilegierten Identität ohne Root-Rechte und mit reduzierten Fähigkeiten. Systemaufruf- oder Prozessrichtlinien werden angewendet, wo die Plattform sie unterstützt, ein eigener Prozess-Namespace wird genutzt, wo anwendbar, und der Workload erbt keine Umgebungsvariablen, Zugangsdaten oder Handles des Hosts. NIST SP 800-53 SC-39 beschreibt getrennte Ausführungsdomänen für Prozesse; diese Seite überträgt dieses allgemeine Prinzip auf Agentenausführung.

Ressourcengrenzen

Erschöpfung beendet die Aufgabe mit Nachweis, statt den Host oder benachbarte Workloads lahmzulegen. Erschöpfung allein ist kein Beleg für böswillige Absicht.

Netzwerk-Grundhaltung

Workloads, die kein Netzwerk brauchen, erhalten keines. Wo Netzwerk nötig ist, läuft es über vermittelte, separat gesteuerte Netzwerk- und Egress-Beschränkungen. Eine Sandbox darf keinen direkten Pfad an der Egress-Ebene vorbei bieten, und Netzwerk in einer Sandbox entscheidet nicht, welche Ziele erreichbar sind.

Secrets und Zugangsdaten

Breite Produktions-Secrets gehören weder in die Sandbox noch in ihre Umgebung, ihr Dateisystem oder den Modellkontext. Braucht eine Aufgabe tatsächlich ein Credential, wird ein aufgabenbezogenes, kurzlebiges ausgestellt und nach Aufgabenende widerrufen oder ablaufen gelassen. Ein nie bereitgestelltes Credential kann durch beeinflusste Ausführung nicht offengelegt werden. Dies ist Engineering-Empfehlung, die aus Least Privilege folgt, kein Zitat einer genannten Quelle.

IPC, lokale Dienste, Metadaten und Verwaltungsebenen

Interprozesskanäle, lokale Host-Dienste, Cloud-Metadaten-Endpunkte und Verwaltungsebenen werden isoliert oder blockiert, sofern der Workload sie nicht ausdrücklich braucht. Diese Schnittstellen tragen oft Zugangsdaten oder Steuerfunktionen und können einen eingedämmten Workload zu einem nicht eingedämmten machen.

Browser- und Dokumentverarbeitungs-Worker

Browser, Renderer und Dokument- oder Archivverarbeitung verarbeiten Inhalte, deren Herkunft die Anwendung nicht kontrolliert, darunter Dokumente und abgerufene Seiten. Sie laufen in isolierten Workern, und gerenderte Inhalte, extrahierter Text und erzeugte Artefakte gelten als nicht vertrauenswürdig. Browser-Isolation begrenzt, was das Rendern bewirken kann; sie ist keine Autorisierung für irgendetwas, das die Seite vom Agenten verlangt.

Eindämmung von Sub-Agenten und Tool-Workern

Delegierte Worker laufen in einer eigenen begrenzten Umgebung und können keine breiteren Fähigkeiten erben, als die Delegation vorsah. Ihre Ergebnisse kommen als variable Daten zurück, genau wie Tool-Ausgaben, und tragen nicht die Befugnis des übergeordneten Agenten.

Artefaktexport und Freigabegrenze

Alles, was die Sandbox verlässt, überquert eine separate Freigabegrenze. Der Export braucht unabhängige Autorisierung der resultierenden Aktion, Informationsflussprüfung der Daten, Ausgabevalidierung von Struktur und Format sowie, wo anwendbar, eine Inhaltsprüfung. Eindämmung macht Ausgaben nicht semantisch sicher.

Lebenszyklus und Zurücksetzen

Jeder Lauf beginnt in einem frischen oder zuverlässig zurückgesetzten Zustand, nach Abschluss wird aufgeräumt, flüchtige Umgebungen werden zerstört. Persistenz über Läufe hinweg wird vermieden, sofern sie nicht ausdrücklich erforderlich, begrenzt und geregelt ist, und selbst dann gilt sie als nicht vertrauenswürdige Eingabe für den nächsten Lauf.

Verhalten im Fehlerfall

Kann die erforderliche Eindämmung nicht bereitgestellt oder ihre Richtlinie nicht durchgesetzt werden, läuft geschützte Ausführung nicht. Sie fällt nie stillschweigend auf uneingeschränkte Ausführung auf dem Host zurück. SANDBOX_UNAVAILABLE wird protokolliert und der Fehler sichtbar gemacht.

Verhältnis zu anderen Kontrollen

Tool-Chain-Analyse und Plan-Drift-Erkennung können verdächtige Abfolgen oder Abweichungen melden, die Eindämmungsgrenze bleibt aber auch ohne sie deterministisch und durchsetzbar.

Richtlinien, Versionierung und Ausnahmen

Die Eindämmungsrichtlinie ist versionierte Konfiguration: Image- oder Laufzeitversion, Mounts, Netzwerkmodus, Grenzen und Regeln für Zugangsdaten. Ausnahmen haben einen ausdrücklichen Verantwortlichen, einen Geltungsbereich und ein Ablaufdatum. Modellausgaben gewähren nie eine Ausnahme und erweitern nie eine Sandbox.

Beobachtbarkeit, Nachweise und Begründungscodes

Beispielhafte Begründungscodes, als Engineering-Empfehlung und nicht als Standard: FILESYSTEM_PATH_DENIED, NETWORK_DISABLED, RESOURCE_LIMIT_EXCEEDED, PROCESS_POLICY_DENIED, SECRET_NOT_AVAILABLE, EXPORT_REQUIRES_RELEASE und SANDBOX_UNAVAILABLE.

Szenario A: Schreibgeschützte Dokumentverarbeitung

Ein Nutzer bittet um eine Zusammenfassung des Archivs quarterly-report.example.zip. Entpacken und Parsen laufen in einem flüchtigen Arbeitsbereich, das Archiv ist schreibgeschützt eingebunden, ohne Netzwerk und mit begrenztem Zwischenspeicher. Die Ausführung ist innerhalb der Sandbox erlaubt. Der extrahierte Text bleibt nicht vertrauenswürdig, und jede Datei, die hinaus soll, wartet auf die Freigabeprüfung.

Szenario B: Generiertes Hilfsskript

Der Agent erzeugt ein Hilfsskript, um eine Tabelle umzuformatieren. Es läuft in einem Worker ohne Netzwerk, mit schreibgeschützter Eingabe und begrenztem Zwischenspeicher. Es darf innerhalb der Sandbox laufen. Das bedeutet nicht, dass das Skript vertrauenswürdig, korrekt oder anderswo sicher ausführbar ist.

Szenario C: Nur auf dem Host vorhandener Secret-Pfad verweigert

Code in der Sandbox versucht, einen nur auf dem Host vorhandenen Pfad zu lesen, dargestellt als /host-secrets/service.example, der nicht eingebunden ist. Der Zugriff scheitert an der Dateisystem- und Fähigkeitsgrenze mit FILESYSTEM_PATH_DENIED. Kein Secret wurde offengelegt, und das Ereignis allein belegt keine Absicht.

Szenario D: Ressourcenkontingent überschritten

Ein Workload überschreitet sein Speicher- oder Prozesskontingent oder sein Zeitlimit. Er wird mit RESOURCE_LIMIT_EXCEEDED und der auslösenden Grenze beendet. Host und andere Workloads laufen weiter. Der Lauf wird nicht allein wegen der Ressourcenerschöpfung als böswillig eingestuft.

Szenario E: Export bis zur Freigabe zurückgehalten

Die Sandbox erzeugt report-draft.example.csv und schlägt vor, die Datei an records.partner.example.test zu senden. Der Export wird mit EXPORT_REQUIRES_RELEASE zurückgehalten, bis unabhängige Autorisierung, Informationsflusskontrolle, Ausgabevalidierung und Freigaberichtlinie erfüllt sind. Solange er zurückgehalten wird, ist nichts exportiert.

Was die Szenarien zeigen und was nicht

Tests und Validierung

Diese Tests prüfen, dass die Grenze hält. Sie sind kein Katalog von Techniken zum Ausbruch aus der Isolation, und diese Seite enthält bewusst keine.

Kennzahlen

Dies sind operative Kennzahlen, kein Sicherheitsnachweis. Sie werden nicht zu einem Wert zusammengefasst.

Häufige Fehler

Umsetzungs-Checkliste

Standards und Quellen

Reichweite der Quellen: NIST SC-39 ist allgemeine Leitlinie zur Prozessisolation, AC-6 und SC-7 werden nur zur Abgrenzung gegenüber Least Privilege und Netzgrenzschutz genannt. NIST SP 800-190 ist allgemeine Leitlinie zur Containersicherheit aus dem Jahr 2017; sie entstand vor modernen LLM-Agenten und behandelt sie nicht. Die OWASP-Liste für agentische Anwendungen liefert Risikokontext für den Missbrauch von Agenten und Tools, LLM01:2026 nur Risikokontext zu Prompt Injection. Keine genannte Quelle definiert Sandboxing / Eindämmung als vollständigen Kontrollstandard für KI-Agenten. Isolationsoptionen, Begründungscodes, Datensatzfelder, Szenarien und Kennzahlen auf dieser Seite sind Engineering-Empfehlungen.

Häufige Fragen