BoxAgnts Runtime 7: Warum Agenten sichere Ausführung brauchen

KI-Systeme entwickeln sich rasant: Jede Woche erscheinen neue Agenten-Frameworks, autonome Workflows oder Multi-Agenten-Plattformen. Die meisten Diskussionen drehen sich um Modellfähigkeiten – bessere Logik, größere Kontextfenster oder präzisere Tool-Auswahl. Doch ein zentrales Problem wird oft übersehen:

Die meisten KI-Agenten verfügen über keine vertrauenswürdige Ausführungsumgebung.

Moderne Agenten können nicht nur Texte erstellen, sondern Code ausführen, Repositories ändern oder Cloud-Infrastrukturen steuern. Mit dieser erweiterten Funktionalität wächst jedoch auch die Verantwortung – und die Gefahr von Fehlern. Sicherheit bei der Ausführung ist längst kein Nice-to-have mehr, sondern die entscheidende Grundlage für zuverlässige KI-Systeme.

Warum die KI-Branche die falsche Priorität setzt

Der Großteil der Investitionen fließt in die Verbesserung der Modellintelligenz: größere Modelle, bessere Planungsfähigkeiten oder längere Kontextfenster. Diese Technologien beantworten die Frage: „Wie können Agenten bessere Entscheidungen treffen?“

Doch in der Praxis muss eine andere Frage beantwortet werden: „Was passiert, wenn diese Entscheidungen falsch sind?“

Traditionelle Softwareentwicklung geht von Fehlern aus und implementiert Mechanismen wie Berechtigungsgrenzen, Prozessisolierung oder Wiederherstellungsroutinen. Viele KI-Systeme vernachlässigen diese Grundsätze und verlassen sich stattdessen auf die fragwürdige Annahme, dass das Modell immer korrekt handelt. BoxAgnts setzt hier einen klaren Gegenentwurf um.

Im Quellcode von boxagnts/query/src/query.rs findet sich eine robuste Schutzschicht:

// Schutzmechanismen in der Abfrageschleife
const MAX_TOKENS_RECOVERY_LIMIT: u32 = 3; // Maximale Wiederherstellungsversuche
const MAX_TOKENS_RECOVERY_MSG: &str = "..."; // Rückmeldung bei Überlastung

// Innerhalb der Schleife:
// - Turn-Zähler gegen Endlosschleifen
// - Token-Wiederherstellungsmechanismus gegen Deadlocks
// - Budgetprüfung gegen Kostenexplosion
// - Abbruchsignal für sofortige Unterbrechung

Diese Mechanismen sind keine optionalen Sicherheitshinweise, sondern harte Laufzeitbeschränkungen.

KI-Agenten sind Ausführungssysteme – kein Chat

Die Vorstellung, Agenten als erweiterte Chat-Interfaces zu betrachten, ist nicht nur veraltet, sondern auch riskant. Moderne Agenten erstellen Dateien, führen Befehle aus, rufen APIs auf oder deployen Infrastruktur. Sobald ein Agent Aktionen statt bloßer Texte produziert, steigen die Konsequenzen von Fehlern exponentiell.

Die Kernlogik von BoxAgnts verdeutlicht diesen Unterschied:

1. Nutzeranfrage
2. LLM-Planung (Modellentscheidung)
3. Tool-Auswahl (welches Werkzeug wird genutzt?)
4. Tool-Ausführung (Aktion wird durchgeführt)
5. Umgebungsänderung (System wird modifiziert)

Die kritische Phase liegt nicht in der Planung, sondern in der Ausführung. Jeder Schritt unterliegt dabei strengen Laufzeitbedingungen.

Warum herkömmliche Architekturen versagen

Die meisten Agenten-Architekturen folgen diesem vereinfachten Muster:

LLM → Tool-Aufruf → Python-Laufzeit → Shell-Befehl → Host-System

Doch hier liegt das Problem: Es ist kein Python- oder Shell-Problem, sondern ein Vertrauensgrenzen-Problem. Das Modell entscheidet, was ausgeführt wird, auf welche Ressourcen zugegriffen wird und wann es stoppt. Gleichzeitig ist es selbst anfällig für Prompt-Injection, manipulierte Dokumente oder ungeschützte Inhalte. Diese Architektur schafft ein Paradoxon: „Ein unzuverlässiger Planer trifft auf eine vertrauenswürdige Ausführung.“

BoxAgnts löst dies durch eine klare Trennung von Planung und Ausführung:

LLM (Planer) ↓ Abfrageschleife (run_query_loop – Laufzeitkontrolle) ↓ Tool-Schnittstelle (Berechtigungsprüfung) ↓ WASM-Sandbox (harte Beschränkungen) ↓ Host-Ressourcen (geschützt)

Jede Schicht fungiert als eigenständiger Kontrollpunkt. Es gibt keine implizite Vertrauensstellung zwischen den Ebenen.

Sandboxing als Grundbaustein der Architektur

BoxAgnts macht Sandboxing nicht zu einem optionalen Feature, sondern zum Fundament der Infrastruktur. Alle WASM-Tools laufen standardmäßig in isolierten Sandboxen. Diese Sandbox liegt in der niedrigsten Ebene (boxagnts/wasm-sandbox/) und bildet die Basis für Tools und Gateways.

Diese Designentscheidung stellt sicher, dass Sicherheit keine nachträgliche Ergänzung ist. Selbst wenn höhere Schichten modifiziert werden, bleiben die Ausführungseinschränkungen aktiv.

Werkzeug-Laufzeit vs. Workflow-Engine: Zwei unterschiedliche Ebenen

Ein häufiges Missverständnis in der KI-Branche ist die Verwechslung von Workflow-Engines und Laufzeit-Engines.

• Workflow-Engines (z. B. Knotenketten oder Planer) bestimmen „was passieren soll“.
• Laufzeit-Engines bestimmen „was überhaupt passieren darf“.

BoxAgnts trennt diese Ebenen explizit in drei Orchestrierungsschichten:

• Abfrageschicht (boxagnts/query/): Steuerung der Gesprächsabläufe, automatische Kontextverdichtung, Verwaltung der Sitzungsdaten
• Tools-Schicht (boxagnts/tools/ + boxagnts/wasm-tools/): Schnittstelle zu den Werkzeugen, Berechtigungsprüfungen, Parametervalidierung
• Sandbox-Schicht (boxagnts/wasm-sandbox/): Echte Ausführungskontrollen wie Speicherlimits, Netzwerkfilter oder Zeitüberschreitungen

Die Workflow-Schicht koordiniert. Die Laufzeit-Schicht regelt. Beide sind notwendig – nur die Laufzeit bietet echte Sicherheit.

Multi-Agenten-Systeme verstärken den Bedarf an Isolation

BoxAgnts unterstützt den parallelen Betrieb mehrerer Agenten in der Managed-Agent-Modus. Jeder läuft in einer eigenen Sandbox. Das verbessert Skalierbarkeit und Spezialisierung, erhöht aber gleichzeitig das Risiko.

Ohne strikte Isolation können sich fehlerhafte Ausgaben verbreiten, Kontext verunreinigen oder Fähigkeiten unkontrolliert erweitern. Das Debugging wird nahezu unmöglich. BoxAgnts begegnet diesem Problem mit einem prozessorientierten Ansatz: Jeder Agent hat eigene Berechtigungen, isolierte Ressourcen, unabhängige Kontexte und optional abgeschottete Git-Arbeitsverzeichnisse. Dies entspricht dem Modell der Prozessisolierung moderner Betriebssysteme.

Ressourcenkontrolle als Kernfunktion

BoxAgnts implementiert eine umfassende Ressourcenverwaltung über alle Agenten hinweg durch das WASM-Laufzeitsystem:

• CPU-Nutzung: wasm_fuel (Anweisungslevel-Kontrolle) + wasm_timeout (Zeitlimit)
• Speicher: wasm_max_memory_size (maximale Speichernutzung) + wasm_max_wasm_stack (Stack-Grenzen)
• Netzwerk: allowed_outbound_hosts (erlaubte Hosts) + block_networks (blockierte Netzwerke) + block_url (URL-Filter)
• Dateizugriff: work_dir (Arbeitsverzeichnis) + map_dirs (präzise Verzeichnisabbildungen)
• Token-Budget: total_budget_usd (in Managed-Agent-Modus)
• Nebenläufigkeit: max_concurrent_executors (Maximalzahl paralleler Agenten)

Ohne solche Kontrollen steigt mit der Autonomie eines Agenten auch sein zerstörerisches Potenzial. BoxAgnts stellt sicher, dass Ausführung immer innerhalb definierter Grenzen bleibt – unabhängig davon, wie komplex oder autonom ein Agent wird.

Mit jeder neuen Generation von KI-Agenten wächst die Notwendigkeit für sichere Ausführungsumgebungen. BoxAgnts zeigt, dass Intelligenz allein nicht ausreicht – erst eine robuste Laufzeitarchitektur macht Agenten wirklich einsatzbereit und vertrauenswürdig.