Baustein 1: Geringstmögliche Rechte
Der wirksamste einzelne Schutz ist banal: Ein Werkzeug oder Agent sollte nie mehr Rechte haben, als seine konkrete Aufgabe erfordert. Ein Agent, der nur lesen darf, kann durch eine erfolgreiche Injection oder ein vergiftetes Werkzeug höchstens falsche Informationen ausgeben – aber keine Datei löschen, kein Geld überweisen, keine Zugangsdaten abgreifen, die er nie besaß. Diese Regel klingt selbstverständlich, wird in der Praxis aber regelmäßig verletzt, weil es bequemer ist, einem Agenten von Anfang an weitreichende Rechte zu geben, statt sie schrittweise nach Bedarf zu erweitern.
Baustein 2: Echte statt behauptete Isolation
Im Juli 2026 fanden Sicherheitsforschende eine Schwachstelle in der lokalen Sandbox eines verbreiteten KI-Coding-Tools: Ein Agent konnte aus seiner eigentlich isolierten Linux-Umgebung ausbrechen und auf das komplette Dateisystem des Host-Rechners zugreifen – einschließlich SSH-Schlüsseln und Cloud-Zugangsdaten, ohne dass eine Nutzerin oder ein Nutzer etwas davon bemerkt hätte. Der Angriff nutzte eine Kette aus mehreren Design-Entscheidungen: Der gesamte Host-Dateisystem war über eine Netzwerk-Dateisystem-Einbindung innerhalb der VM erreichbar, kombiniert mit einer ausnutzbaren Kernel-Schwachstelle zur Rechteausweitung. Der Hersteller stufte die Meldung zunächst als rein informativ ein – keine offizielle Sicherheitslücke – und löste das Risiko am Ende nicht durch einen gezielten Patch, sondern indem die Standard-Ausführung stillschweigend auf eine Cloud-Umgebung umgestellt wurde, in der der lokale Ausbruchsweg gar nicht mehr existiert.
Die Lehre: Isolation ist eine technische Eigenschaft, keine Marketing-Aussage
Der entscheidende Punkt ist nicht, welches konkrete Tool betroffen war, sondern das Muster dahinter: Eine Sandbox, die als isoliert beworben wird, ist nur so isoliert, wie ihre tatsächliche technische Umsetzung es zulässt. Wer sich allein auf die Zusicherung eines Anbieters verlässt, statt die eigene Architektur zu prüfen – welche Daten sind für einen Agenten überhaupt erreichbar, unabhängig von seiner Absicht –, überträgt das Risiko ungeprüft auf den eigenen Betrieb.
Praxis-Teil: Baustein 3 – Freigabe-Gates für unumkehrbare Aktionen
Die dritte Säule ergänzt Rechte-Minimierung und Isolation um eine Verhaltensregel: Aktionen, die sich nicht rückgängig machen lassen – eine Zahlung, eine Löschung, eine Nachricht an einen Kunden, ein Löschen von Daten – bekommen ein echtes Freigabe-Gate, das eine bewusste menschliche Bestätigung verlangt, bevor die Aktion tatsächlich ausgeführt wird. Reversible Aktionen (etwas lesen, einen Entwurf erstellen) brauchen diese Bremse nicht – sie würde nur Reibung erzeugen, ohne echten Schutz zu bieten. Die Kunst liegt darin, diese Grenze bei der Architektur eines Agenten von Anfang an sauber zu ziehen, nicht nachträglich, wenn der Agent schon produktiv läuft.