Replit erklärt, wie der Agent Habitat die Arbeit von KI-Agenten absichert

Reaktion auf die Enthüllungen der vergangenen Woche

Replit verweist auf mehrere Sicherheitsmeldungen der vergangenen Woche, in denen kritische Schwachstellen in Software auftauchten, auf die sich ein großer Teil des Internets stützt. Laut dem Unternehmen machen KI-Agenten es schneller und einfacher, Schwachstellen zu finden, während die Zeit zwischen Entdeckung und Ausnutzung weiter schrumpft. Unternehmen bräuchten Agenten sowohl zur Abwehr von Bedrohungen als auch, um die Arbeitsweise zu verändern. Sicherheit müsse deshalb mit der Autonomie mitwachsen.

Replit zitiert Nikesh Arora, CEO von Palo Alto Networks, der Unternehmen beim Einsatz von KI fragte: „Es werden Milliarden von Dollar für Coding ausgegeben, ist Ihr Coding-Harness sicher?“ Seine Empfehlung an Sicherheitsverantwortliche laute, Leitplanken für den Einsatz von Agenten zu setzen und eine zweite Kontrollinstanz einzuführen, die sie auf Abweichungen, Compliance und Nachvollziehbarkeit überwacht.

Replit zufolge haben die vorhandenen Isolationsmechanismen die Ausnutzung der bekannt gewordenen Kernel-Schwachstellen verhindert. Zudem habe das Unternehmen betroffene Tools gepatcht und Firewall-Schutzmaßnahmen zentral ausgerollt. Das habe Aufwand bei der Behebung erspart, den Entwickler sonst selbst hätten leisten müssen.

Vier Prinzipien für den Agent Habitat

Ein Agent Habitat gibt Agenten Zugriff auf Unternehmenswissen und -systeme innerhalb von Grenzen, die das Unternehmen selbst kontrolliert. Replit nennt vier Prinzipien, an denen sich die Kontrollen orientieren:

• Agenten nur die Befugnisse geben, die sie brauchen. Steuern, worauf Agenten zugreifen können, welche Aktionen eine Freigabe erfordern und wie sich Berechtigungen bei der Delegation fortsetzen.
• Ausfälle eingrenzen und auf Schwachstellen reagieren. Die Ausführung isolieren, Zugangsdaten schützen und dort auf Schwachstellen reagieren, wo die Arbeit stattfindet.
• Zugriff erweitern, Änderungen an der Produktion aber nachvollziehbar halten. Mehr Menschen können mitwirken, während Entscheidungen über die Produktion weiterhin der Prüfung durch die Entwicklung unterliegen.
• Delegierte Arbeit nachvollziehbar und Daten steuerbar halten. Die Aktivität von Agenten sichtbar machen, Untersuchungen ermöglichen und klare Grenzen für Daten und Workloads ziehen.

Reed Shaffner, CTO von Teamworks, wird mit den Worten zitiert, sein Unternehmen habe sich für Replit entschieden, damit mehr Menschen die Software verbessern können, „und dabei die Sicherheitskontrollen und die technische Aufsicht zu wahren, die wir brauchen“.

Befugnisse begrenzen und Zugangsdaten schützen

Replit argumentiert, dass ein Agent mit der Anbindung an ein Geschäftssystem auch Befugnisse erhält. Wenn eine Aufgabe nur Lesezugriff erfordert, die Verbindung aber auch Schreibzugriff erlaubt, könnten ein Fehler oder eine Prompt Injection weitreichendere Folgen haben. Administratoren können steuern, welche Gruppen welche Verbindung nutzen, und Scopes für eigene OAuth-Konnektoren festlegen. Mit SAML SSO, SCIM-Provisioning und rollenbasierten Berechtigungen, die mit dem Identity Provider synchronisiert werden, können Unternehmen verwalten, wer entwickeln, zusammenarbeiten und ausliefern darf.

Für Zugangsdaten gilt eine strengere Grenze. Replit hält die Zugangsdaten von Konnektoren außerhalb des Kontexts des Agenten. Ein Credential Broker autorisiert jede Anfrage, ruft erst danach die Zugangsdaten aus einem Tresor ab und fügt sie der ausgehenden Anfrage hinzu. Das Unternehmen sagt, dies senke das Risiko, dass Geheimnisse über generierten Code, Logs oder Gespräche abfließen, und ermögliche eine feinere Steuerung als OAuth-Scopes. Der Agent läuft zudem außerhalb der isolierten Sandbox, in der Code ausgeführt wird.

Isolation, Patching und Red Teaming

Nach seinem Modell der geteilten Verantwortung sichert Replit den Harness, die Laufzeitumgebung und das Betriebssystem. Agenten laufen in isolierten Cloud-Umgebungen, und MicroVMs geben jeder Ausführungsumgebung einen eigenen minimalen Kernel. Bei Apps, die die verwalteten Datenbanken von Replit nutzen, sind Entwicklungs- und Produktionsdatenbanken getrennt.

Das Unternehmen sagt, seine MicroVM-Architektur mit gehärteter Kernel-Konfiguration habe die Ausnutzung der Linux-Kernel-Schwachstellen verhindert, Kunden hätten nicht handeln müssen. Replit beschreibt dies als Architekturentscheidung, die vor den Enthüllungen getroffen wurde.

Bei Schwachstellen in Tools für Node.js, Python und PHP hat Replit die auf seiner Plattform verwendeten Versionen gepatcht, gepatchte Versionen bereitgestellt und Regeln für die Web Application Firewall ausgerollt, um passende Exploits zu blockieren. Nutzer wurden informiert, wenn Apps erneut veröffentlicht werden mussten. Auto-Protect gleicht Projektabhängigkeiten mit neu bekannt gewordenen Schwachstellen ab und bereitet, wenn aktiviert, Patches vor und testet sie. Das Security Center hilft Administratoren, betroffene Projekte zu identifizieren und Korrekturen nach Schweregrad und Exposition zu priorisieren.

Replit sagt außerdem, seit Anfang dieses Jahres rund um die Uhr KI-Red-Teaming zu betreiben: Hunderte Agenten mit einer Mischung aus Frontier- und Open-Source-Modellen identifizieren und validieren Schwachstellen und versuchen, sie auszunutzen. Das ergänzt externe Penetrationstests, eine interne Penetrationstest-Einheit, die Zusammenarbeit mit Trail of Bits und HackerOne sowie ein Bug-Bounty-Programm.

Änderungen an der Produktion nachvollziehbar halten

Zum dritten Prinzip sagt Replit, Agenten könnten Menschen, die am nächsten am Problem sind, dabei helfen, Software zu verbessern, auch wenn sie keine Entwickler sind. Doch der Vorschlag einer Änderung und ihre Freigabe für die Produktion müssten getrennt bleiben. Fachexperten können mithilfe von Agenten gezielte Änderungen an der Codebasis des Unternehmens vornehmen und Pull Requests einreichen. Der Quelltext bricht ab, bevor der weitere Ablauf beschrieben wird.

Für Unternehmen, die abwägen, wie viel Arbeit sie an Agenten übergeben, lautet Replits Argument: Delegation könne mit zentralen Richtlinien, Schutz von Zugangsdaten und menschlicher Prüfung an den Grenzen zur Produktion einhergehen. Das sind Aussagen des Unternehmens selbst, der Beitrag enthält keine unabhängige Überprüfung.