Sicherheits- und Datenschutzmuster

Mehrschichtige Sicherheitsarchitektur, die das Schweizer-Käse-Modell für die KI-Sicherheit umsetzt

Dynamische Durchsetzung von Regeln auf Basis von Kontext, Datenflussanforderungen und bedingten Mustern

Dedizierter Guardrail-Agent, der Zielagenten durch dynamische Sicherheitsprüfungen überwacht und schützt

Interne Beobachtungspunkte, die vom Agenten nicht manipuliert werden können und tiefgreifende Täuschungsmanöver verhindern

Schützt die Speichersysteme von Agenten vor böswilliger Manipulation und schleichender Beschädigung

Verhindert, dass Agenten dazu manipuliert werden, über Werkzeuge bösartige Aktionen auszuführen

Verhindert Rechteausweitung und unbefugte Operationen durch strenge Zugriffskontrolle

Lebenslang adaptives Sicherheitssystem, das Sicherheitsprüfungen dynamisch generiert und verfeinert

Umfassende Bedrohungsmodellierung für Multi-Agenten-Umgebungen mit Sicherheitsorchestrierung

Schützt System-Prompts vor Extraktions- und Manipulationsversuchen

Datenschutzwahrende Datenverarbeitung mit mathematischen Datenschutzgarantien

Ansatz „niemals vertrauen, immer überprüfen“ für die Agentensicherheit

Datenschutzwahrende Zusammenarbeit mehrerer Agenten, ohne private Daten preiszugeben

Automatisierte Durchsetzung der Einhaltung von DSGVO, HIPAA, SOX und regulatorischen Vorgaben

Echtzeit-Sicherheitsüberwachung und automatisierte Bedrohungsreaktion

Sichere Authentifizierung, Autorisierung und Identitätsprüfung von Agenten

Umfassende Techniken zur Datenanonymisierung, darunter K-anonymity, L-diversity, T-closeness und die Erzeugung synthetischer Daten für agentische Systeme

Hardwarebasierte vertrauenswürdige Ausführungsumgebungen (TEEs), die KI-Agenten und die Datenverarbeitung in nicht vertrauenswürdigen Umgebungen schützen

Mehrstufige sichere Speicherarchitektur, die lokale Geräte-Vaults, entfernte Server-Vaults und verschlüsseltes Caching für agentische KI-Systeme kombiniert

Verteilte agentische Architektur, die lokale Verarbeitungsagenten mit entfernten Aggregationsagenten kombiniert und fortgeschrittene Anonymisierungstechniken für datenschutzfreundliche KI einsetzt

Teilt den Agenten in ein privilegiertes LLM, das nur vertrauenswürdige Nutzeranweisungen sieht und den Steuer- und Datenfluss plant, und ein isoliertes LLM, das nicht vertrauenswürdige Inhalte verarbeitet, den Steuerfluss aber niemals beeinflussen kann. Ein Interpreter mit Capability-Tracking setzt explizite Datenflussrichtlinien durch, sodass in Tool-Ausgaben eingeschleuste Anweisungen niemals unautorisierte Aktionen auslösen können. Das ist Verteidigung durch Design statt probabilistischer Filterung.

Eine Familie kostengünstiger Transformationen, die nicht vertrauenswürdigen externen Text zuverlässig von vertrauenswürdigen Anweisungen unterscheidbar machen. Delimiting umschließt externe Inhalte mit eindeutigen Begrenzungen, Datamarking fügt ein spezielles Token in jeden Leerraum des nicht vertrauenswürdigen Abschnitts ein, und eine Kodierung wie base64 trennt ihn zusätzlich vom Anweisungskanal. Es ist eine günstige erste Verteidigungslinie gegen indirekte Prompt-Injection, verliert aber bei adaptiven Angriffen an Wirkung und sollte daher mit gestaffelten Schutzmaßnahmen kombiniert werden.

Führt vom Agenten erzeugten Code, Shell-Befehle und die Verarbeitung nicht vertrauenswürdiger Inhalte in isolierten Umgebungen mit eingeschränktem Dateisystem und einer per Proxy vermittelten Allow-Liste für ausgehenden Netzwerkverkehr aus. Selbst ein per Prompt-Injection kompromittierter Agent kann keine Host-Secrets lesen, keine Dateien außerhalb seines Bereichs berühren und keine Daten an eine nicht freigegebene Domain exfiltrieren. Die Isolation wird aus Betriebssystem-Primitiven wie Seatbelt und bubblewrap, aus MicroVMs oder Containern oder aus dedizierter Sandbox-Infrastruktur wie E2B, Modal und Docker aufgebaut.

Leichtgewichtige Eingabe- und Ausgabe-Klassifikatoren, trainiert auf synthetischen Daten, die aus einer natürlichsprachlichen Verfassung erzeugt werden, welche erlaubte und blockierte Inhalte definiert. Sie sind kaskadiert, sodass eine günstige Vorprüfung den gesamten Verkehr abdeckt, während verdächtige Fälle eskaliert werden, und der Ausgabe-Klassifikator kann eine streamende Generierung in dem Moment stoppen, in dem ein verstoßendes Token erscheint. Dies unterscheidet sich von Constitutional AI: Constitutional AI richtet das Modell während des Trainings aus, während konstitutionelle Klassifikatoren zur Laufzeit wirkende Schutzmechanismen sind, die aus einer Verfassung trainiert werden.

Gibt Agenten eine verifizierbare Identität sowie eine eingegrenzte, auditierbare Befugnis, im Namen eines Nutzers zu handeln. Kurzlebige OAuth- und OIDC-Token bilden explizite Fähigkeiten ab, intentionsgebundene Delegations-Token kodieren, was der Agent tun darf, und verifizierbare Nachweise ermöglichen es Agenten, über MCP- und A2A-Hops hinweg Vertrauen aufzubauen. Jede Aktion trägt eine prüfbare Behauptung, sodass Befugnisse vorab eingeschränkt und im Nachhinein auditiert werden können und Anfragen außerhalb des Geltungsbereichs am Ressourcenserver abgelehnt werden.

Begrenzt die Worst-Case-Auswirkung eines fehlgeleiteten Agenten, bevor er handelt, statt Missbrauch erst im Nachhinein zu erkennen. Tools werden nach Umkehrbarkeit und Auswirkung klassifiziert (Lesen ist frei, Schreiben wird validiert, Destruktives wird pausiert); Befugnisse werden pro Aufgabe nach dem Least-Privilege-Prinzip eingegrenzt; die Autonomie ist abgestuft (von Assistieren über Vorschlagen-und-Genehmigen und Handeln-und-Auditieren bis Beobachten) und wird verdient, sobald sich Zuverlässigkeit erwiesen hat; unumkehrbare Schritte lösen einen Probelauf oder eine Planvorschau aus, sodass ein Mensch den Plan prüft und nicht die Folgen; und ein Kill-Switch mit Zustandserfassung und Quarantäne kann den Agenten mitten im Lauf stoppen. Abzugrenzen von Human-in-the-Loop: Das ist eine Aufsichtshaltung, während dies die Fähigkeiten anhand der Umkehrbarkeit begrenzt. Abzugrenzen von Agent-Sandboxing: Das isoliert die Ausführungsumgebung, während dies die Umkehrbarkeit pro Tool staffelt und die Autonomie abstuft. Abzugrenzen von der Verhinderung von Tool-Missbrauch: Das verteidigt gegen injektionsgetriebenen Missbrauch, nicht gegen die Klassifizierung des Blast-Radius.