Docker unterstützt Blueprint Alliance und Agent Baseline für die Sicherheit von KI-Agenten

Warum Docker eine gemeinsame Grundlage für nötig hält

Dockers Beitrag beginnt mit Zahlen, die das Unternehmen Gartner und Umfragedaten zuschreibt. Im Jahr 2025 setzte ein durchschnittliches Fortune-500-Unternehmen weltweit weniger als 15 KI-Agenten ein, und Gartner erwartet, dass diese Zahl bis 2028 auf mehr als 150.000 steigt. Laut dem Beitrag glauben nur 13 Prozent der Organisationen, für den heutigen Bedarf über die richtige Governance zu verfügen.

Sicherheitsverantwortliche stünden vor einer schwierigen Wahl, so Docker: Entweder sie erlauben die Einführung ohne passende Kontrollen, oder sie blockieren sie und werden zum Hindernis, während die Nutzung im Verborgenen weiterläuft. Das Unternehmen plädiert für einen dritten Weg und verweist darauf, wie man ihn historisch beschritten hat.

Als Beispiel nennt es die Kreditkartenbranche, in der die Marken getrennte Sicherheitsprogramme betrieben, bis im Dezember 2004 PCI DSS 1.0 entstand und 2006 der PCI Security Standards Council gegründet wurde. Außerdem erwähnt Docker das im Jahr 2000 gegründete Center for Internet Security sowie die Open Container Initiative, der Docker 2015 sein Image-Format und die Runtime runC beisteuerte. In Dockers Darstellung hat PCI verbindlich vorgeschrieben, CIS Orientierung gegeben und OCI standardisiert; für Agenten brauche es Elemente aller drei.

Bekannte Risiken und neue

Agenten befinden sich laut Docker derzeit in einer „Jeder baut sein eigenes“-Phase. Die Einführung erfolge meist schrittweise: Ein Entwickler erlaubt gängige Befehle, weitet den Dateisystemzugriff aus und verbindet dann GitHub, ein Cloud-Tool und einen MCP-Server. Die Logs halten überwiegend fest, dass der Entwickler gehandelt hat, und die Sicherheitsabteilung erfahre oft als Letzte davon.

Ein großer Teil des Risikos sei vertraut, heißt es in dem Beitrag, etwa Schatten-Einführung, unkontrollierte Verbreitung von Zugangsdaten und Risiken in der Lieferkette. Inventarisierung, Least Privilege, Audit und die Joiner-Mover-Leaver-Disziplin gälten weiterhin. Docker nennt zudem mehrere neue Faktoren:

• Umprogrammierung zur Laufzeit: Nutzer und Agenten können in natürlicher Sprache ändern, was ein Agent tut, ganz ohne Release-Zyklus.
• Geliehene Identität: Ein Agent übernimmt in der Regel die Identität des Nutzers und kann daher alles lesen, ändern oder löschen, was dieser kann.
• Autonomie: Agenten handeln asynchron, starten Sub-Agenten und reichen Befugnisse entlang der Kette weiter.
• Riskante Kombinationen: Ein Tool ohne bekannte Schwachstelle kann dennoch einen Pfad von nicht vertrauenswürdigen Eingaben über sensible Daten bis zur externen Kommunikation vervollständigen.
• Ein kürzeres Reaktionsfenster: Die Eindämmung muss Zugangsdaten und Sitzungen widerrufen, nicht nur einen Prozess beenden.

Was die Blueprint Alliance und Agent Baseline abdecken

Docker ist Gründungsteilnehmer beider Initiativen, die nach eigener Aussage von der Annahme ausgehen, dass kein einzelner Anbieter und keine einzelne Durchsetzungsstelle das Problem lösen kann.

Die Blueprint Alliance legt fest, wie die einzelnen Bausteine zusammenpassen. Gründungsmitglieder sind Okta, AWS, CrowdStrike, Databricks, Docker, Google Cloud, Lovable, Proofpoint, Salesforce, ServiceNow, Wiz und Zscaler; GE Appliances und World Central Kitchen sind strategische Berater. Die offene Referenzarchitektur beantwortet vier Fragen: Wo sind meine Agenten, was können sie, was tun sie gerade, und wie reagiere ich? Die Mitglieder haben sich zu Interoperabilitätstests über MCP, OCSF, SSF und CAEP sowie zur Veröffentlichung von Referenzintegrationen verpflichtet.

Agent Baseline definiert, was jeder Baustein leisten muss und wie sich das überprüfen lässt. Es legt sechs Ziele fest: Discover, Constrain, Authorize, Observe, Validate und Respond. Dazu gehören 35 offene, versionierte Kontrollen, jeweils mit einer dauerhaften Kennung, die in einem Audit-Befund oder einer Antwort auf eine Ausschreibung zitiert werden kann. Die aktuelle Version ist v1.0-draft. Die Kontrollen bleiben im Identity Provider, in der Sandbox und im SIEM. Beide Initiativen raten, mit der Erkennung vor den Richtlinien zu beginnen und den Notausschalter zu testen, bevor man ihn braucht.

Dockers Rolle und was Partner und Käufer tun können

Die meisten Mitglieder der Alliance steuern Agenten von außen, sagt Docker, also wer der Agent ist, worauf er zugreifen kann und was er nachweislich tut. Docker konzentriert sich auf die Innenseite: die Umgebung, in der der Agent ausgeführt wird. Im Whitepaper der Alliance heißt es, ohne Runtime-Unterstützung, um einen Agenten ohne Kollateralwirkung zu pausieren, vermittle API-gesteuerte Eindämmung „ein falsches Gefühl von Sicherheit“.

Docker verknüpft seine Produkte mit der Baseline. Die Kontrolle CON-03 von Agent Baseline fordert eine isolierte, abgeschottete Ausführung, was nach Angaben des Unternehmens die Aufgabe von Docker Sandboxes ist. Docker MCP Gateway und Docker Hardened Images decken Tool-Zugriff und Lieferkette ab. Die Referenzarchitektur Secure Software Factory, die teilweise von Docker-Autoren entworfen wurde, wendet Agent Baseline auf Agenten an, die Code ausliefern.

Für Käufer gilt laut Docker: Sicherheits- und Plattformverantwortliche können sich schon heute an der Baseline orientieren, und Okta biete ein AI Blueprint Assessment Tool an. Für Partner weist das Alliance-Whitepaper den Integratoren das Betriebsmodell zu, darunter die Bewertung des aktuellen Stacks eines Kunden, die Zuweisung von Verantwortung, die Einstufung von Risiken sowie Lebenszyklus- und Compliance-Management. Technologiepartner erhalten ein veröffentlichtes Ziel, gegen das sie integrieren können. Docker verweist außerdem auf sein Docker Navigator Partner Program, das nach eigenen Angaben Arbeit an KI-Governance belohnt. Der Blueprint ist unter blueprintalliance.ai verfügbar, die Kontrollen unter agentbaseline.org.