Edera führt credential-freie Berechtigungen für KI-Agenten ein

Berechtigungen und Zugangsdaten voneinander trennen

Edera hat die Technologie am 5. November 2026 vorgestellt und bezeichnet sie als jüngste Funktion seiner Agent Runtime-Suite. Der Ansatz nutzt Objektfähigkeiten und eine Durchsetzung durch den Hypervisor, um zu trennen, was ein Agent tun darf, und welche Zugangsdaten normalerweise für eine Aktion erforderlich sind.

Mit diesem Modell können Plattform- und Sicherheitsteams einem Workload genau definierte Fähigkeiten erteilen, während sensible Tokens außerhalb des Workloads bleiben. Edera nennt als Beispiel einen KI-Programmieragenten, der für die Arbeit in einem einzelnen GitHub-Repository autorisiert ist, ohne ein GitHub-Token zu besitzen. Die Fähigkeit kann den Agenten zudem auf eine bestimmte Auswahl von GitHub-Aktionen beschränken, selbst wenn das zugrunde liegende Token weitergehende Zugriffsrechte hat.

Laut Edera könnte dies die Auswirkungen einer durch Prompt Injection verursachten Kompromittierung verringern. Wird ein Agent kompromittiert, bleiben seine Berechtigungen auf das definierte Repository beschränkt. Zudem befindet sich kein Zugangsschlüssel im Workload, den ein Angreifer stehlen könnte.

Fähigkeiten gelten für APIs, Befehle und Dateien

Ederas Agent Runtime kombiniert hardwareisolierte Ausführung mit Objektfähigkeiten. Zu den angekündigten Funktionen gehört der credential-freie API-Zugriff über capcurl, wobei ein separater Broker die zugrunde liegenden Zugangsdaten verwahrt. Das Unternehmen beschreibt außerdem die bereichsbezogene Befehlsausführung über capsudo. Damit können Workloads bestimmte privilegierte Befehle ausführen, ohne dauerhaft administrative Zugriffsrechte zu erhalten.

Die Integration mit SPIFFE/SPIRE soll kryptografisch verifizierte Workload-Identitäten und gegenseitiges TLS ermöglichen, ohne dass langfristig gültige Geheimnisse in einem Agenten gespeichert werden müssen. Weitere Funktionen umfassen Sandbox-Konfigurationen pro Mandant, überprüfbare Agentenaktionen und granulare Dateisystemkontrollen, die Workloads auf die für ihre Aufgaben benötigten Dateien und Ressourcen beschränken.

Nach Angaben von Edera sollen diese Fähigkeiten die benutzerdefinierte Logik für den Umgang mit Zugangsdaten und Berechtigungen ersetzen, die Entwicklungsteams häufig selbst erstellen und warten. Das Unternehmen erklärt, das System könne die Isolierung von Workloads ergänzen: Die Isolierung begrenzt Schäden an benachbarter Infrastruktur, während Objektfähigkeiten die Befugnisse eines kompromittierten Workloads einschränken.

Anwendungen reichen bis zu MCP-Servern

Edera zufolge eignet sich der Ansatz auch für Model Context Protocol-Server, die KI-Modelle mit Unternehmenstools, Befehlen und APIs verbinden. Da diese Server mit Zugriff auf sensible Zugangsdaten und Infrastruktur betrieben werden können, beschreibt das Unternehmen sie als potenziell besonders lohnende Ziele für Angreifer.

Mit Objektfähigkeiten können Unternehmen festlegen, welche Befehle ein MCP-Server ausführen und auf welche externen Ressourcen er zugreifen darf, ohne uneingeschränkten Zugriff auf die zugrunde liegenden Systeme zu gewähren. Ariadne Conill, Mitgründerin von Edera, Distinguished Engineer und Maintainer von Alpine Linux, sagte: „Objektfähigkeiten ermöglichen es uns, die Aktion von der dahinterliegenden Befugnis zu trennen. So können Agenten nützliche Arbeit leisten, ohne zu einem Sicherheitsrisiko zu werden.“

Edera entwickelt Bounded Authority als Teil seiner umfassenderen Bemühungen, KI-Agenten auf Kubernetes abzusichern. Die anfänglichen Funktionen der Agent Runtime umfassen die bereichsbezogene Befehlsausführung und die Workload-Identität. Der API-Zugriff über einen Zugangsdaten-Broker und weitergehende Integrationen befinden sich dagegen noch in der Entwicklung.