Chainguard Workspaces steckt jeden Coding-Agenten in eine eigene gehärtete microVM

Das Problem: Zugriff gegen Sicherheit

Chainguard, das sich selbst als vertrauenswürdige Quelle für Open Source bezeichnet, erklärt, dass Coding-Agenten inzwischen Migrationen, Sanierungskampagnen und Refactorings ausführen, die stundenlang laufen. Laut dem Unternehmen haben die meisten dieser Agenten dieselben Zugriffsrechte wie der Entwickler, der sie gestartet hat, und laufen damit direkt neben Zugangsdaten, Cloud-Schlüsseln und Produktivsystemen.

Die üblichen Kontrollen wie Berechtigungsabfragen und Allowlists setzen darauf, dass sich der Agent an die Regeln hält, so Chainguard. Zudem betreiben viele Entwickler ein Dutzend Agenten oder mehr gleichzeitig. Teams müssen sich deshalb entscheiden: Entweder geben sie Agenten genug Zugriff, um nützlich zu sein, und nehmen das Risiko in Kauf, oder sie sperren sie hinter Freigabeabfragen und verbringen den Tag damit, auf „Zulassen“ zu klicken.

„Im Moment müssen sich Teams entscheiden, ob sie Agenten neben ihren Produktionsschlüsseln laufen lassen oder sie den ganzen Tag über Freigabeabfragen beaufsichtigen. Beides skaliert nicht“, sagte Dan Lorenc, CEO und Mitgründer von Chainguard.

So funktioniert Workspaces

Workspaces laufen als entfernte microVMs, die den lokalen Arbeitsbaum jedes Entwicklers synchronisieren. Entwickler behalten ihren Editor und ihren Git-Workflow, während die Ausführung außerhalb ihres Rechners stattfindet. Da jeder Agent seine eigene isolierte Umgebung erhält, können laut Chainguard Dutzende Agenten parallel arbeiten, ohne sich in die Quere zu kommen.

Das Unternehmen nennt folgende Sicherheitsfunktionen:

• Mehrere Verteidigungsebenen: Die microVMs werden ausschließlich mit Chainguard OS Packages ohne bekannte Schwachstellen (zero CVE) gebaut, darunter FIPS-konforme Toolchains. Abhängigkeiten werden zur Laufzeit gegen die Lockfile geprüft, sodass nicht vertrauenswürdiger oder manipulierter Code nicht ausgeführt werden kann.
• Von Grund auf gegen Datenabfluss gesichert: Echte Zugangsdaten werden außerhalb des Workspace eingespeist, sodass Agenten sie nie besitzen. Tools, die eine Zugangsdatei auf der Festplatte benötigen, erhalten einen verschlüsselten, kurzlebigen Platzhalter, der bei Diebstahl wertlos ist.
• Konfigurierbare Egress-Kontrollen: Optionale Netzwerkrichtlinien blockieren unautorisierte ausgehende Anfragen, sodass ein per Prompt Injection manipulierter Agent oder eine kompromittierte Abhängigkeit nicht mit nicht freigegebenen externen Systemen kommunizieren kann.
• Vollständige Transparenz: Jeder Zugriff auf Zugangsdaten und jede Netzwerkverbindung wird in einem manipulationssicheren Protokoll festgehalten, und jeder Lauf erzeugt signierte Attestierungen zu Umgebung, Codeänderungen und Prüfergebnissen.

Tempo für Entwicklungsteams

Chainguard nennt außerdem mehrere Funktionen für eine schnellere agentengestützte Entwicklung. Cache-warme microVM-Snapshots, die exakt auf Repository und Toolchain abgestimmt sind, ermöglichen es Teams, neue Workspaces zu starten oder inaktive in Sekunden fortzusetzen. Abhängigkeiten werden gemäß Lockfile von der lokalen Festplatte geladen, was Abrufe aus externen Registries und Wartezeiten beim Download überflüssig macht.

Workspaces wird mit Chainguard Checks kombiniert, das heute ebenfalls in der Beta startet. Agenten führen CI-Suiten im Kontext aus und iterieren, bis die Prüfungen bestehen. Das verhindert nach Angaben des Unternehmens, dass unvollständiger oder fehlerhafter Code weitergereicht wird.

Benötigt ein Agent eine Eingabe des Entwicklers, bleibt der Workspace 10 Minuten aktiv und wird dann automatisch in einen Snapshot ausgelagert. Arbeitsspeicherzustand, aktive Prozesse und warme Caches bleiben erhalten, während der Pause fallen keine laufenden Rechenkosten an.

Erste Stimmen von Partner und Analystin

Brad McCoy, Senior Manager, Cloud Platforms bei Cuscal, sagte, das australische Zahlungsunternehmen brauche für das Sandboxing von Agenten eine Umgebung, in der KI-Agenten schnell iterieren können, ohne Kernsysteme zu gefährden. Cuscal ist ein früher Design-Partner.

Katie Norton, Research Director bei IDC, sagte, IDC-Studien zeigten, dass Unternehmen KI-generierten Code und agentische Entwicklungs-Workflows zusammen mit Software von Drittanbietern und Open-Source-Paketen zu den größten Sorgen in der Software-Lieferkette zählen. Ansätze wie der von Chainguard, die Ausführungsumgebungen isolieren, Geheimnisse außerhalb der Reichweite des Agenten halten und prüfbare Protokolle führen, seien darauf ausgelegt, agentische Entwicklung im großen Maßstab zu unterstützen und dabei die Kontrolle zu behalten.

Was das für Teams bedeutet

Mit der Veröffentlichung verschiebt sich der Fokus von der Absicherung des Agenten selbst hin zur Absicherung des Ortes, an dem er läuft. Chainguard argumentiert, dass dies für Unternehmensteams zur Notwendigkeit wird, weil die Einführung von Agenten schneller voranschreitet als die Sicherheitsprüfung. Security- und Plattformteams erhalten damit eine Möglichkeit, Agenten autonom arbeiten zu lassen, den Schaden einer möglichen Kompromittierung zu begrenzen und ein signiertes Protokoll der Agentenaktivitäten zu führen. Chainguard Workspaces befindet sich in der Beta, weitere Informationen gibt es unter chainguard.dev/workspaces.