Eine Agenten-Sandbox ist eine eingeschränkte Ausführungsumgebung: Darin kann ein Agent Dateien lesen und schreiben, Befehle ausführen und bestimmte Netzwerkressourcen erreichen, aber alles, was er berühren kann, bestimmt die Grenze der Sandbox, und alles darüber hinaus wird blockiert. Sie ist keine psychologische Suggestion für den Agenten, sondern Isolation auf Ebene des Betriebssystems oder der Virtualisierung. Der Schlüssel zum Verständnis einer Sandbox ist nicht das Etikett „sehr sicher“, sondern genau das, was sie isoliert.
Drei Dinge, die eine Sandbox üblicherweise isoliert
Erstens das Dateisystem. Ein Agent in der Sandbox sieht nur das ihm zugewiesene Arbeitsverzeichnis; die übrigen Dateien des Host-Rechners liegen außerhalb seines Blickfelds, sodass der Schaden durch versehentliches Löschen oder falsches Ändern begrenzt bleibt. Zweitens Prozesse und Ressourcen. Die Sandbox begrenzt, welche Programme der Agent starten und wie viel CPU und Speicher er nutzen darf, damit eine außer Kontrolle geratene Aufgabe nicht den ganzen Rechner lahmlegt. Drittens das Netzwerk. Viele Sandboxes sind standardmäßig offline oder lassen nur Adressen einer Positivliste durch, sodass der Agent keine Daten nach Belieben nach außen senden kann. Googles neu vorgestellte Agenten-Computing-Umgebung folgt derselben Idee: Jeder Agent erhält einen eigenen isolierten Computer, die Aufgabe läuft in der isolierten Umgebung, und nur das Ergebnis kommt zurück.
Drei Dinge, die eine Sandbox nicht aufhält
Eine Sandbox kontrolliert, was ein Agent berühren kann, nicht, was er glaubt. Wenn eine Datei, eine Webseite oder eine E-Mail, die der Agent liest, eine eingeschleuste Anweisung verbirgt, kann der Agent ihr innerhalb dessen folgen, was die Sandbox erlaubt – zum Beispiel Dateien aus seinem Arbeitsverzeichnis an eine Adresse senden. Eine Sandbox kann auch keine viel zu großzügigen Berechtigungen aufhalten: Wer ein ganzes Projektverzeichnis und alle Geheimnisse in die Sandbox legt, macht die Isolation zur Formsache. Noch subtiler ist das Durchsickern von Signalen auf Hardware-Ebene; Forschende haben bereits Wege demonstriert, Daten über gemeinsam genutzte Hardwaresignale aus einer isolierten Umgebung herauszutragen. Eine Sandbox allein ist also kein Universalschloss.
Wann man ihr vertrauen kann – und wann nicht
Eine Sandbox als Standardeinstellung zu verwenden, ist richtig: Der Agent läuft zuerst in der isolierten Umgebung, erhält nur die Verzeichnisse, den Netzwerkzugang und die Schlüssel, die er nach dem Prinzip der geringsten Rechte braucht, und kritische Aktionen bestätigt ein Mensch. Sich allein auf die Sandbox zu verlassen, ist falsch: sensible Verzeichnisse gehören nicht hinein, Inhalte aus verdächtigen Quellen werden zuerst geprüft, und Aktionen mit Geld und Konten müssen von Hand nachgeprüft werden. Der Wert einer Sandbox liegt darin, den Schadensradius eines Unfalls zu verkleinern, nicht darin, die Beurteilung zu übernehmen.
