Trust Labels Vertrauenslabels

Das Problem #

Prompt Injection funktioniert, weil ein Modell „Anweisungen“ nicht von „Daten“ unterscheiden kann. Abwehr auf Modellebene (Klassifikatoren, Prompt-Härtung) hat Lücken, und Angreifer können sich anpassen. Ende Oktober 2025 schlug Meta die Agents Rule of Two vor: Solange Injection nicht verlässlich gelöst ist, sollte eine Sitzung höchstens zwei von drei Eigenschaften haben.

Verlässlicher ist es, die Folgen außerhalb des Modells zu begrenzen. Der Speicher ist genau der Ort, an dem jedes Lesen und Schreiben vorbeikommt, und damit ein natürlicher Ort, diese Regel in eine testbare Invariante zu verwandeln.

So funktioniert es #

• Labels. Drei Herkünfte, drei Sensibilitäten und eine Markierung reviewed (gesetzt durch eine Gate-Freigabe). Importstellen (Webseiten, E-Mail, Uploads) erhalten standardmäßig external; findet ein Secret-Scanner Zugangsdaten, versieht er sie automatisch mit secret.
• Sitzungskontamination. Die Zusammenfassung von allem, was eine Ausführung gelesen hat (aus dem Lesemanifest); innerhalb einer Sitzung wächst sie nur, und eine neue Sitzung beginnt sauber.
• Die Invariante. A = die Sitzung hat external gelesen; B = die Lease darf private oder höher lesen (Schwelle konfigurierbar); C = die Lease darf einen Merge in einen geschützten Tree vorschlagen, teilen, löschen oder Daten nach außen senden. Gelten alle drei in einer Sitzung, wird der Aufruf, der C auslöst, abgelehnt oder an ein Gate geleitet.
• In der Praxis: Braucht eine Lease sowohl B als auch C, braucht nach dem Lesen externer Inhalte jede spätere Aktion der Klasse C einen Menschen. Um diese Reibung zu vermeiden, erledigen Sie die Arbeit „externe Inhalte lesen“ in einer eigenen Sitzung ohne B und geben Ergebnisse nur über eine strukturierte Übergabe weiter.
• Weitergabe. Ableitungen, die das NAS selbst erzeugt (Indizes, Zusammenfassungen), erben deterministisch die Vereinigung der Labels ihrer Eingaben; Dateien, die eine Ausführung schreibt, erben die Sitzungskontamination der Ausführung (die konservative Wahl).
• Deklassifizierung. Nur über ein Human Gate oder eine strukturierte Übergabe: Die Ausgabe der kontaminierten Sitzung wird auf Felder beschränkt, die ein JSON Schema validiert (Enums, IDs, begrenzte Strings), und erst nach der Validierung darf eine privilegierte Sitzung sie lesen. Nur was sich deterministisch validieren lässt, verdient Vertrauen.
• Durchgesetzt wird am Gateway und am Mount (die Lease und Sitzung kennen), nicht im Modell.

Klein anfangen #

• Tun Sie nur zwei Dinge: Versehen Sie Dateien im Importverzeichnis mit external, und geben Sie einer Ausführung, die external gelesen hat, standardmäßig weder Egress noch einen geschützten Merge ohne Gate.
• Schreiben Sie die Richtlinie als deterministische Regeln in Cedar oder Rego und nennen Sie bei Ablehnung lesbare Gründe.
• Laufen Sie eine Woche im Modus „nur protokollieren“, um zu sehen, was fälschlich blockiert würde, und schalten Sie dann die Durchsetzung ein.

Schnittstellenskizze #

Nur zur Veranschaulichung. Feldnamen können sich vor der Spezifikation v0.3 ändern.

# Deterministic policy (Cedar- or Rego-style rules can express the same thing)
session_invariant: rule_of_two
properties:
  A: session.read_origin includes "external"
  B: lease.sensitivity_max >= "private"
  C: lease allows propose_protected | share | delete | egress
on_would_complete_ABC: gate        # never "allow"
rules:
  - id: r-merge-1
    when: session.A and op == "merge" and target.protected
    then: gate
  - id: r-secret-1
    when: session.read_sensitivity == "secret" and op == "egress"
    then: deny

Was die Spezifikation verlangt #

• Jede Importstelle MUSS ein Standardlabel vergeben; externe Inhalte MÜSSEN external erhalten.
• Die Sitzungskontamination DARF innerhalb einer Sitzung nur wachsen.
• Die Richtlinienauswertung MUSS deterministisch sein und DARF NICHT ein LLM aufrufen.
• Ein Aufruf, der einer Sitzung erlauben würde, A+B+C zu vervollständigen, MUSS abgelehnt oder an ein Gate geleitet werden.
• Deklassifizierung MUSS über ein Gate oder eine schemavalidierte strukturierte Übergabe laufen.
• Abgeleitete Daten MÜSSEN die Vereinigung der Labels ihrer Eingaben erben.

Was übernommen ist und was neu ist #

Alles Folgende ist etabliertes Denken. Neu ist: die Sitzungskontamination an der Speichergrenze mit dem Lesemanifest umzusetzen und Labels auf Gedächtnis-Schreibzugriffe und abgeleitete Daten anzuwenden. Wir halten das Label-Gitter bewusst bei 3×3, weil feinkörnige Gitter in der Praxis zu einer Label-Explosion führen. OpenClaw macht Herkunftslabels und Isolation bereits innerhalb einer einzelnen Laufzeitumgebung; unser Unterschied ist nur, dies in den gemeinsamen Speicher zu legen.

• Agents Rule of Two (Meta)
• The lethal trifecta
• CaMeL
• Fides
• Design Patterns for Securing LLM Agents against Prompt Injections
• OpenClaw memory architecture

Ehrliche Grenzen #

• Das ist keine Abwehr gegen Prompt Injection; es begrenzt Folgen.
• Das NAS sieht Werkzeuge außerhalb von sich nicht (einen Browser, E-Mail), daher braucht es die Mitarbeit der Laufzeitumgebung.
• Die Kontamination ist konservativ und bringt Reibung und Fehlalarme; Freitext außerhalb strukturierter Schemas kann weiterhin die Worte eines Angreifers tragen.
• Verdeckte Kanäle lassen sich nicht beseitigen.

Offene Fragen #

• Soll die Granularität eines Labels die Datei oder der Absatz sein?
• Wie wird das Label-Vokabular über Mandanten hinweg verwaltet?
• Wie lassen sich Fehlalarme verringern?

Fragen #

Verwandte Konzepte #

• Human Gate (menschliche Freigabe) Erscheint nur vor unumkehrbaren, nach außen gerichteten oder rechteerweiternden Aktionen und zeigt den echten Diff.
• Agent Memory (Agentengedächtnis) Notizen, die Sie lesen und bearbeiten können, sind die Wahrheit. Indizes sind ein Cache, den Sie wegwerfen können.
• Capability Lease (befristete Berechtigung) Eine enge Autorisierung für eine Ausführung, mit Ablauf und Budgets. Kind-Leases können nur enger sein.