Agent Sandboxing

Beim Sandboxing von Agenten werden ihre Aktionen – etwa Shell-Befehle, generierter Code, Dateiänderungen und das Surfen im Web – in einer isolierten Umgebung ausgeführt. Diese beschränkt, auf welche Dateien, Netzwerke, Anmeldedaten und Rechenressourcen die Aktionen zugreifen können. Ein auf einem großen Sprachmodell (LLM) basierender KI-Agent wählt jeden Befehl anhand gelesener Texte aus, die falsch oder feindselig sein können. Die Sandbox setzt ihre Beschränkungen im Betriebssystem oder Hypervisor durch. Sie gelten daher auch dann, wenn das Modell einer in einer Webseite oder README verborgenen Prompt Injection folgt oder einfach einen Fehler macht.

Warum Agenten Sandboxes benötigen#

Funktionsaufrufe und Werkzeugnutzung setzen den Text eines Modells in konkrete Aktionen um. Ein Agent, der eine Shell ausführen kann, kann daher auch Dateien löschen, SSH-Schlüssel lesen oder Quellcode hochladen. Der OWASP-Spickzettel zur Sicherheit von KI-Agenten zählt es zu den zu vermeidenden Praktiken, Agenten beliebigen Code ohne Sandbox ausführen zu lassen. Die OWASP Top 10 für agentische Anwendungen, veröffentlicht im Dezember 2025, führen unerwartete Codeausführung als eines der zehn Hauptrisiken agentischer Systeme auf. Sandboxes machen Agenten außerdem benutzerfreundlicher: Wenn eine Person jeden Befehl genehmigen muss, führt das zu Genehmigungsmüdigkeit. Anthropic stellte fest, dass Sandboxing von Claude Code bei der internen Nutzung die Anzahl der Berechtigungsabfragen um 84 % senkte, da Befehle innerhalb der Grenzen keine Abfrage mehr erfordern.

Was eine Sandbox einschränkt#

Eine Sandbox für einen Agenten kontrolliert üblicherweise fünf Bereiche:

• Dateisystem: Der Agent sieht einen temporären Arbeitsbereich oder ein einzelnes Repository, häufig auf einem schreibgeschützten Basisabbild. Auf Anmeldedaten, Browserprofile oder andere Projekte kann er nicht zugreifen.
• Netzwerk: Ausgehender Datenverkehr wird blockiert oder über einen Proxy geleitet, der nur ausdrücklich aufgeführte Domains wie etwa ein Paketregister zulässt. So kann ein übernommener Agent keine Daten an den Server eines Angreifers senden.
• Anmeldedaten: Geheimnisse bleiben außerhalb der Sandbox oder werden als kurzlebige, auf eine einzelne Aufgabe beschränkte Token bereitgestellt – gemäß dem Prinzip der geringsten Berechtigung für die Datensicherheit.
• Rechenressourcen: Beschränkungen für CPU-Zeit, Arbeitsspeicher, Prozessanzahl und Laufzeit verhindern Endlosschleifen und Fork-Bomben.
• Systemaufrufe: Filter wie seccomp blockieren Kernel-Schnittstellen, die von den Werkzeugen des Agenten nicht benötigt werden.

Wie stark die Isolation ist, hängt davon ab, wo die Grenze verläuft. Docker-Container verwenden denselben Kernel wie der Host und können daher durch einen Kernel-Exploit verlassen werden. gVisor ergänzt einen Kernel im Userspace, der die Systemaufrufe jedes Containers abfängt. Mikro-VMs wie Firecracker, das AWS für Lambda entwickelt hat, stellen jeder Sandbox einen eigenen Minimal-Kernel bereit. Sie starten in weniger als 125 ms und verursachen weniger als 5 MiB zusätzlichen Speicherbedarf. Gehostete Code-Interpreter und Cloud-Coding-Agenten führen jede Aufgabe üblicherweise in einem neuen Container oder einer neuen Mikro-VM aus, die anschließend verworfen wird. Auf Entwicklerrechnern verwendet die Claude-Code-Sandbox Seatbelt unter macOS und bubblewrap unter Linux. Shell-Befehle dürfen nur in das Arbeitsverzeichnis und ein temporäres Verzeichnis schreiben. Der Netzwerkverkehr läuft über einen Proxy, der jeden Host mit einer Zulassungsliste abgleicht.

Die Sandbox ist eine Ebene des Agenten-Harness, also der Software, die die Werkzeugaufrufe des Modells ausführt. Das Harness prüft jede vorgeschlagene Aktion anhand der Richtlinien, führt zulässige Aktionen in der Sandbox aus und hält vor unumkehrbaren Aktionen wie Zahlungen, Bereitstellungen oder Nachrichten außerhalb der Organisation an, damit eine Person sie freigeben kann:

Generierten Code sandboxen#

Agenten, die Code schreiben und ausführen – von Assistenten für Datenanalysen bis hin zu Werkzeugen für agentisches Programmieren –, benötigen besonders strenge Beschränkungen, denn generierter Code kann alles tun, was der Interpreter zulässt. Die innerste Ebene ist die gewöhnliche Prozessisolation, die sich mit der Python-Standardbibliothek veranschaulichen lässt: Dieses Skript führt vom Modell geschriebenen Code in einem temporären Verzeichnis mit leerer Umgebung und einer über das resource-Modul festgelegten CPU-Zeitbegrenzung aus (Linux und macOS).

import os
import resource
import subprocess
import sys
import tempfile

os.environ["API_KEY"] = "sk-live-123"  # Ein Geheimnis, das der Prozess des Agenten selbst enthält

# Vom Modell geschriebener Code: Er liest die Umgebung aus und läuft dann endlos weiter
generated = "import os\nprint('API_KEY =', os.environ.get('API_KEY'), flush=True)\nwhile True: pass"


def limit_cpu():
    """Stop the child process after 2 seconds of CPU time."""
    resource.setrlimit(resource.RLIMIT_CPU, (2, 2))


# Im isolierten Modus, in einem temporären Verzeichnis und mit leerer Umgebung ausführen
cmd = [sys.executable, "-I", "-c", generated]
with tempfile.TemporaryDirectory() as workspace:
    proc = subprocess.run(cmd, cwd=workspace, env={}, capture_output=True, text=True, preexec_fn=limit_cpu)

print(proc.stdout.strip())
print("exit code:", proc.returncode)

Der Unterprozess gibt API_KEY = None aus, weil er mit einer leeren Umgebung startet und das Geheimnis des übergeordneten Prozesses nicht sehen kann. Er wird mit dem Code -24 beendet. Das bedeutet, dass der Kernel ihn mit SIGXCPU beendet hat, als seine Endlosschleife die CPU-Zeitbegrenzung von 2 Sekunden erreichte. Ein Container oder eine Mikro-VM ergänzt diesen Prozess um Grenzen für Dateisystem und Netzwerk.

Sandboxing im Vergleich zu verwandten Kontrollen#

• KI-Schutzmechanismen: Klassifikatoren und Regeln, die Eingaben, Ausgaben oder vorgeschlagene Aktionen vor ihrer Ausführung prüfen. Die Sandbox begrenzt die Auswirkungen einer Aktion, nachdem ein Schutzmechanismus sie durchgelassen hat.
• Berechtigungen: Die Zugriffskontrolle legt fest, welche Werkzeuge und Ressourcen ein Agent überhaupt verwenden darf. Sandboxing setzt diese Entscheidungen auf Betriebssystemebene durch – unterhalb jeder Prüfung, die das Modell überreden könnte zu umgehen.
• Containerisierung: Software wird zusammen mit ihren Abhängigkeiten für eine reproduzierbare Bereitstellung verpackt. Ein Container dient als Sandbox, wenn er mit entzogenen Berechtigungen, eingeschränkten Einbindungen und Regeln für ausgehenden Netzwerkverkehr ausgeführt wird.
• Test-Sandboxes: Nicht für den Produktivbetrieb bestimmte Kopien eines Systems, in denen Software sicher ausprobiert wird. Agenten-Sandboxes umschließen hingegen jede Aktion eines Agenten – sowohl im Produktivbetrieb als auch während der Entwicklung.

Wo Agenten-Sandboxes eingesetzt werden#

• Programmieragenten: Jede Aufgabe erhält einen neuen Container oder eine neue virtuelle Maschine mit einem einzelnen Repository. Dort installiert der Agent Abhängigkeiten, führt Tests aus und gibt eine Änderungsliste zur menschlichen Prüfung zurück.
• Agenten zur Computersteuerung: Agenten, die einen Desktop oder Browser anhand von Screenshots und Klicks bedienen, laufen in einer virtuellen Maschine mit eigenen Konten, da jede angezeigte Seite Anweisungen enthalten kann, die sich an den Agenten richten.
• Code-Interpreter: Assistenten, die hochgeladene Tabellen oder Bilder analysieren, führen ihren Python-Code in einer Sandbox pro Sitzung aus, häufig ohne Internetzugriff.
• MCP-Server und Agenten-Skills: Werkzeuge von Drittanbietern und Skripte für Skills werden mit den Anmeldedaten des Nutzers ausgeführt. Sorgfältig konfigurierte Hosts starten lokale Server und Skripte daher innerhalb derselben Grenzen wie die Shell des Agenten.

Gehostete Agentenplattformen wenden dieselben Beschränkungen auf ihre eigenen Abläufe an. Ultralytics Platform Agents, die Erkennung mit YOLO26, Vision-Language-Modellen und Alarmblöcken verketten, begrenzen jeden gemeinsam genutzten Testlauf auf 60 Sekunden, 20 Eingabebilder und 20 Modell- oder Anbieteraufrufe. Ihr Webhook-Block sendet Daten nur an öffentliche HTTPS-URLs, folgt keinen Weiterleitungen und bricht nach 5 Sekunden ab.