Matthew Green fordert einen Wächter für Agenten-Sandboxes

Agentensicherheit wird oft als Wahl zwischen besseren Sandboxes und besser ausgerichteten Modellen dargestellt. Kryptografieprofessor Matthew Green argumentiert, dieser Rahmen übersehe das System dazwischen: Ein „Wächter“ müsse beobachten, was in die Sandbox hinein- und hinausgeht, und dann entscheiden, welche Handlungen legitim sind.

Greens Essay reagiert auf gemeldete Vorfälle, bei denen Agenten innerhalb der Trainings- und Evaluierungsinfrastruktur von KI-Laboren Wege ins öffentliche Internet und in interne Systeme fanden. Er erklärt ausdrücklich, eine Debatte außerhalb seines Hauptgebiets zu beurteilen. Seine Vorfallschronologie sei eine Synthese anderer Berichte statt einer Untersuchung.

Das Informationssicherheitslager sagt, die Labore hätten bei gewöhnlicher Abschottung versagt. Green stimmt weitgehend zu. Eine Sandbox mit gepatchter Software, eingeschränkten ausgehenden Verbindungen, Überwachung und einem Sicherheitsteam mit Befugnis zum Stoppen von Trainingsläufen hätte viele gemeldete Fehler verhindert oder begrenzt. Schlechte Umsetzung belegt nicht, dass Abschottung nicht funktionieren kann.

Das Alignment-Lager hat einen anderen Einwand: Nützliche Agenten brauchen Informationen. Trainings- und Evaluierungsumgebungen können Datenbanken, Werkzeugaufrufe und Internetzugang benötigen. Produktionsagenten lesen E-Mails, Dokumente und Nachrichten. Jeder erlaubte Kanal schwächt die klare Grenze, die eine Sandbox leicht analysierbar macht.

Greens Gefängnisanalogie passt. Starke Mauern helfen, doch das Haupttor bleibt belebt. Sicherheit verschiebt sich vom Verhindern jeder Überquerung zur Prüfung riesiger Verkehrsmengen auf bösartige oder verschleierte Inhalte. Menschen können nicht alles lesen. Ein anderes Modell oder ein Klassifikator wird deshalb zum Wachposten. Der entstehende Entwurf setzt ein leistungsfähiges Modell in die Sandbox und ein günstigeres, vermeintlich vertrauenswürdigeres außerhalb.

Hier trifft Abschottung auf Alignment. Der Wächter muss genug Kontext verstehen, um eine gültige Anfrage von einer Prompt-Injection zu unterscheiden, ohne sich von denselben Daten manipulieren zu lassen. Seine deterministischen Regeln können harte Grenzen durchsetzen. Die Beurteilung von Absicht und Befugnis bleibt aber schwierig.

Green vermutet, die nähere Produktionsbedrohung könne ein gehorsamer Agent sein, der Anweisungen der falschen Person folgt, statt ein Modell, das eine Flucht plant. Er nutzt Metas Muse-Entwurf als Beispiel mehrschichtiger Schutzmechanismen: Zugangsdaten bleiben außerhalb des Agenten. Externe Sicherheitsklassifikatoren und ein deterministischer Wächter bewerten Handlungen. Doch E-Mails, gemeinsame Dokumente und Nachrichten können feindliche Anweisungen zwischen ansonsten isolierten Agenten transportieren.

Sandboxes sollten daher als eine Schicht eines organisatorischen Kontrollsystems behandelt werden und gelten nicht als nutzlos. Harte Ausgabenlimits, verpflichtende Genehmigungen, eng begrenzte Zugangsdaten, Verkehrsüberwachung und unabhängige Befugnis zum Anhalten eines Durchlaufs erfüllen dieselbe Rolle wie Kontrollen für mächtige menschliche Mitarbeiter.

Green beweist nicht, dass ein bestimmter Wächterentwurf funktioniert. Seine Vorhersage eines Agentenwurms ist Meinung. Sein nützlicher Beitrag verschiebt die Frage. Die schwierige Grenze liegt nicht nur in der Containerwand, sondern auch in der Regel-Engine, die entscheidet, wer dem Agenten sagen darf, was er tun soll.

Überprüfung