Agent NAS v0.2
Deutsch

Sicherheit

Agent NAS verhindert keine Prompt Injection; es begrenzt, was danach passiert. Eine enge Lease begrenzt, was eine Ausführung anfassen darf, Branches machen Fehler umkehrbar, die Zweierregel verhindert, dass eine Sitzung, die nicht vertrauenswürdige Inhalte gelesen hat, zugleich sensible Daten und einen ausgehenden Kanal hält, und ein nachvollziehbares Protokoll bleibt zurück.

v0.2 Spezifikationsentwurf Aktualisiert am

Geltungsbereich und Vertrauensannahmen

  • Was wir schützen: die Daten und den Verlauf im NAS; die Grenze der Befugnis; die Integrität des Protokolls; die Nachvollziehbarkeit des Gedächtnisses.
  • Was wir nicht schützen: was ein Agent außerhalb des NAS tut; die Isolation der Rechenumgebung selbst (das ist Aufgabe der Sandbox); alles, was auf der Seite des Modellanbieters geschieht.
  • Vertrauensannahmen: Die vertrauenswürdige Basis (TCB) sind das NAS-Gateway, die Richtlinien-Engine und der Protokolldienst; der Host ist nicht kompromittiert; die Sandbox isoliert die Rechenumgebung. Ist die TCB kompromittiert, gelten die Garantien auf dieser Seite nicht mehr.

Die Zweierregel (Rule of Two): eine Sitzungs-Invariante

Drei Eigenschaften: [A] die Sitzung hat nicht vertrauenswürdige Inhalte gelesen, [B] die Lease erlaubt, sensible Daten zu lesen, [C] die Lease erlaubt, geschützten Zustand zu ändern oder nach außen zu kommunizieren. Gelten alle drei in einer Sitzung, wird der Aufruf, der C auslöst, nicht automatisch durchgelassen.

SzenarioABCErgebnis
Eine Webseite in einer Notiz auf dem Branch zusammenfassenJaJaNein (nur Branch)Automatisch: Ein Schreibzugriff innerhalb des Branches zählt nicht als C.
Nach dem Lesen einer Webseite einen Merge in main vorschlagenJaJaJaHuman Gate.
Nur öffentliche Daten lesen, in einen Scratch-Bereich schreibenJaNeinNeinAutomatisch.
Nach dem Lesen einer externen E-Mail eine E-Mail senden (Egress)JaJaJaGate; abgelehnt, wenn secret beteiligt ist.

Das ist die Agents Rule of Two von Meta, umgesetzt an der Speichergrenze. Meta betont selbst, dass sie eine Heuristik zur Risikominderung ist, kein Endpunkt und kein Ersatz für das Prinzip der geringsten Rechte; wir verwenden sie genauso. Der Mechanismus steht unter Trust Labels.

Bedrohungsmodell

BedrohungWas das NAS durchsetzen kannWas das NAS nicht kannRestrisiko
T1 Indirekte Prompt Injection (über Dateien, Webseiten, E-Mail)Die Zweierregel; Eingrenzung von Leases; Branches; Gates.Verhindern, dass eine Injection geschieht, oder bösartiges Verhalten innerhalb der Lease danach stoppen.Missbrauch innerhalb der Lease.
T2 Preisgabe von Zugangsdaten (ein Agent liest einen langlebigen Schlüssel)Langlebige Zugangsdaten gelangen nie in die Hände einer Ausführung; ein Secret-Scanner markiert secret; kurze TTLs.Verhindern, dass ein Agent Daten innerhalb seiner Lease an einen genehmigten Egress sendet.Daten, die innerhalb der Lease abfließen.
T3 Zu weit gefasste Berechtigungen und FehlerEnge Leases; Branches; Soft Delete; Snapshots außerhalb jeder Lease.Nebenwirkungen außerhalb des NAS rückgängig machen.Folgen jenseits des NAS.
T4 Gedächtnisvergiftung (auch über Rollen hinweg)Provenienz und Kontamination; Quarantäne; Autoload nur nach Prüfung; Rollback.Fakten erkennen, die falsch sind, aber plausibel aussehen.Gift, das ein Prüfer durchlässt.
T5 Gestohlene oder wiedereingespielte LeasesKurze TTL; widerrufbar; optionale Bindung an den Inhaber (DPoP, mTLS).Missbrauch innerhalb der TTL verhindern.Das TTL-Fenster.
T6 Freigabemüdigkeit und DurchwinkenSeltene Gates; das NAS stellt den Diff selbst dar; Freigaben sind an einen Digest gebunden; die Freigabequote wird überwacht.Menschen zum genauen Hinsehen bringen.Menschliches Versagen.
T7 Manipulation des ProtokollsHash-Kette; optionale externe Verankerung.Ohne Verankerung verhindern, dass root das Protokoll zerstört.Ein böswilliger Administrator.
T8 Datenabfluss (Egress, Teilen, Suchergebnisse)Egress braucht eine Lease-Aktion und ein Gate; secret darf nicht hinaus; Ableitungen erben Labels.Lecks nach der Freigabe durch einen Menschen verhindern; verdeckte Kanäle.Lecks nach der Freigabe.
T9 Lieferkette (Skills, MCP-Server, Plugins, Modelle)Der Inhalt von Skills und externen MCP-Servern gilt als external; ein Skill-Verzeichnis lässt sich an einen Commit anheften; das Laufzeit-Manifest wird ins Protokoll geschrieben.Garantieren, dass Fremdcode harmlos ist.Eine angeheftete bösartige Version.
T10 Ressourcenerschöpfung (Branch-Bomben, aufgebrauchte Budgets, Leseschleifen)Kontingente; TTLs; Budgets; Sicherungen (Circuit Breaker).Eine legitime große Aufgabe von einer außer Kontrolle geratenen unterscheiden.Lokale Dienstverweigerung.

Schutzmaßnahmen

  • Richtlinien-Engine: deterministisch (im Stil von Cedar oder Rego), standardmäßig verweigernd, und bei Ablehnung nennt sie einen lesbaren Grund und die zutreffende Regel; sie ruft kein LLM auf.
  • Credential Broker: Langlebige Schlüssel bleiben beim Broker; er stellt einer Ausführung nur innerhalb einer genehmigten Egress-Aktion kurzlebige nachgelagerte Tokens aus.
  • Isolation und Schlüssel: ein Home und ein Pfadraum pro Rolle; die Aufbewahrungsklasse sensitive nutzt eine eigene Schlüsseldomäne.
  • Lieferkette: Der Inhalt von Skills, MCP-Servern und Plugins gilt als external; zu Beginn einer Ausführung werden die verwendeten Skills und Versionen ins Protokoll geschrieben.

Ehrliche Grenzen

  1. Das ist keine Abwehr gegen Prompt Injection. Es begrenzt die Folgen und macht sie sichtbar.
  2. Legitime Berechtigungen innerhalb einer Lease können weiterhin missbraucht werden.
  3. Gegen Nebenwirkungen außerhalb des NAS kann es nichts tun: eine bereits gesendete E-Mail, eine bereits aufgerufene API.
  4. Verdeckte Kanäle und Seitenkanäle liegen außerhalb des Umfangs.
  5. Ist die TCB kompromittiert, versagen die Garantien.
  6. Menschen machen Fehler: Gates senken dieses Risiko, können es aber nicht beseitigen.
  7. Die Kontamination ist konservativ und bringt Reibung und Fehlalarme; sie braucht Feinabstimmung und sichtbare Ablehnungsgründe.
  8. Kryptografisches Löschen schützt nur die Kopien, die wir kontrollieren.

Reaktion auf Vorfälle

  • Sicherung (Circuit Breaker): revoke_run und revoke_role widerrufen Leases sofort und frieren den Branch ein.
  • Rollback: den betroffenen Tree auf einen früheren Commit zurücksetzen.
  • Spurensuche: Mit dem Lesemanifest und der Record-Kette lässt sich herausfinden, was eine Ausführung gelesen und geschrieben hat und welche Notizen sie berührt hat.
  • Aufräumen: Mit Cascade Forget lassen sich die betroffenen Ableitungen löschen, und es wird ein Bericht ausgestellt.

Beobachtbarkeit und Prüfpfad

  • Drei Arten von Daten: das Protokoll (Ereignisse), das Lesemanifest (die Menge der Eingaben) sowie Metriken und Traces.
  • **explain(commit):** liefert, welche Ausführung und welche Lease einen Commit erzeugt haben, welche Gates er passiert hat, was gelesen wurde und von welchen Eingaben er abhängt.
  • Einbindung in vorhandene Observability: Eine Ausführung entspricht einem OpenTelemetry-GenAI-Span, Leases und Gates hängen als Ereignisse daran; Records lassen sich als JSON Lines exportieren oder an ein SIEM leiten.
  • Metriken: Raten der Lease-Ausstellung und -Ablehnung; Länge der Gate-Warteschlange, Freigabequote und Freigabelatenz; Anzahl und Alter der Branches; Aktualität der Indizes; Budgetverbrauch; Ergebnisse der Prüfung der Record-Kette.
  • Datenschutz und Aufbewahrung: Standardmäßig werden nur Metadaten aufgezeichnet, nie Inhalte; die Aufbewahrung von Records und das Löschen von Inhalten sind voneinander unabhängig; schon das Lesen des Protokolls selbst braucht eine Lease.

Diese Seite zitieren

Stabile Adressen und ein Zitiervorschlag für Menschen, Suchmaschinen und Agenten.

Zitiervorschlag
Agent NAS project. “Sicherheit.” agentnas.com, 2026-11-11. https://agentnas.com/de/security/