Docker und Partner veröffentlichen Secure Software Factory als Architektur für KI-Agenten

Von Agent Baseline zu einem konkreten Workflow

Laut Docker wurde Agent Baseline im Juli von Docker, Snyk und Keycard als offene, herstellerneutrale Referenzarchitektur veröffentlicht. Sie definiert Sicherheitsziele für den Betrieb von KI-Agenten im Unternehmen und ging aus Gesprächen mit führenden Vertretern der Branche hervor, die Agenten breiter einsetzen wollen. Diese brauchen Antworten auf drei Fragen: Was läuft mit welchen Fähigkeiten, bleibt es innerhalb der freigegebenen Grenzen, und lässt sich nachweisen, was geschehen ist, und es stoppen?

Die Secure Software Factory, die laut dem Docker-Beitrag in der vergangenen Woche erschienen ist, nimmt diese Ziele und wendet sie auf die KI-gestützte Softwarefabrik an. Das Papier stammt von Praktikern von Keycard, Socket, Docker, Tessl, Tracebit, Browserbase und Tailscale. Docker zufolge flossen außerdem Gespräche mit Sicherheitsverantwortlichen großer Unternehmen in regulierten Branchen wie Finanzwesen und Versicherungen ein.

Was die Referenzarchitektur abdeckt

Docker beschreibt Softwarefabriken als Systeme, in denen Agenten eine Anfrage entgegennehmen, Code ändern, Tests ausführen und das Ergebnis zur Prüfung an einen Menschen übergeben. Im vergangenen Jahr haben viele Entwicklungsteams begonnen, solche Systeme aufzubauen. Die Teams berichten von schnellerer Auslieferung, aber auch von Agenten, die Dinge tun, um die niemand gebeten hat: Sie brechen aus Sandboxes aus, löschen Datenbanken und spielen ohne Freigabe Änderungen in die Produktion ein.

Die Architektur deckt drei Bereiche ab:

• Der Factory-Workflow von den Eingaben über Design, Zusammenbau und Build bis zur Verifikation, mit Kontrollen in jeder Phase.
• Architektonische Grundbausteine für Identität und Zugriff, Lieferkette, Netzwerkkontrollen, Laufzeitisolation und Orchestrierung.
• Ein Reifegradmodell mit drei Stufen, damit Teams dort anfangen können, wo sie stehen, und sich schrittweise verbessern.

Der zentrale Gedanke des Papiers: Je mehr Autonomie ein Agent hat, desto weniger kann man sich darauf verlassen, dass er sich selbst kontrolliert. Ein Agent kann zur Laufzeit durch einen Prompt, eine manipulierte Abhängigkeit oder eine bösartige Tool-Beschreibung umgelenkt werden. Kontrollen müssen deshalb unabhängig davon funktionieren, was der Agent entscheidet, und folglich in der Umgebung liegen, in der er läuft. Das heißt: Grenzen um Zugangsdaten, Tools, Abhängigkeiten und Netzwerkzugriff, abgesichert durch Nachweise darüber, was geschehen ist, und durch einen Menschen, der für das Ergebnis verantwortlich ist.

Dockers Beitrag: Sandboxes für Akteure

Docker sieht die Isolation als den Teil des Problems, den das Unternehmen adressiert. In seinen Worten isolieren Container Anwendungen, während Sandboxes Akteure isolieren. Docker Sandboxes sind isolierte MicroVMs, die Agenten deterministisch einschränken. Sie lassen Coding-Agenten autonom in isolierten MicroVM-Umgebungen arbeiten, lokal oder in der Cloud, mit klaren Grenzen für die Dateien, Netzwerkziele und Zugangsdaten, auf die sie zugreifen dürfen.

Laut Docker unterstützt das das Ziel „Constrain“ von Agent Baseline, indem die Ausführung des Agenten eingegrenzt und seine Reichweite auf das beschränkt wird, was die freigegebene Aufgabe erfordert.

Stimmen aus der Branche und wie es weitergeht

Der Beitrag enthält Statements von Führungskräften der Partnerfirmen. Guy Podjarny von Tessl argumentiert, in einer Softwarefabrik sei Kontext der neue Code, und die Skills, die Teams nutzen, seien Teil der Lieferkette und brauchten dieselben Sicherheitskontrollen wie Softwaremodule. Avery Pennarun von Tailscale sagt, Agenten sollten Befugnisse für eine bestimmte Aufgabe erhalten, diese Befugnisse sollten verfallen, und Richtlinien und Audit-Trails sollten dort liegen, wo der Agent sie nicht umschreiben kann.

Andy Smith von Tracebit erklärt, Unternehmen gäben KI-Agenten echte Zugangsdaten, und manche würden durch Prompt Injection, ein manipuliertes Tool oder schlicht einen Fehler von ihrer Aufgabe abweichen. Ian Livingstone von Keycard sagt, der Plan eines Agenten dürfe nie zu seiner Berechtigung werden, und Entscheidungen darüber, was jeder Agent tun darf, müssten aufgabenbezogen und außerhalb der Reichweite des Agenten getroffen werden. Paul Klein von Browserbase betont, das Vorhaben werde von der gesamten Branche getragen.

Für Teams, die agentengesteuerte Pipelines bauen, bietet die Architektur eine gemeinsame Struktur und einen gestuften Reifegradpfad, statt zu verlangen, ein Sicherheitsmodell von Grund auf neu zu entwerfen. Docker lädt dazu ein, das Papier zu lesen, ein Issue auf GitHub zu eröffnen oder dem Agent-Baseline-Slack beizutreten, und betont, Rückmeldungen aus der Umsetzung seien am nützlichsten.