Der Field Guide hilft, das passende KI-Security-Werkzeug für eine Aufgabe zu finden. Er ist ein kuratierter, installierbarer Katalog von KI-Agenten, Skills, MCP-Servern und Playbooks. Jeder Eintrag beschreibt, was das Werkzeug tut, was es voraussetzt und wer es pflegt, und vergleicht es mit anderen Werkzeugen für dieselbe Aufgabe. Seine Rechte werden dreifach gelesen: was der Autor erklärt, was sein Code kann und, sobald es in unserem Homelab gelaufen ist, was es tatsächlich getan hat. Jeder Eintrag hat zwei Ebenen: den Steckbrief, der sagt, was das Werkzeug tut, wie man es betreibt und was es braucht, und darunter das Dossier mit jedem Wert und seinem Beleg. Die Website selbst ist englisch; diese Seite fasst das Wichtigste auf Deutsch zusammen.
Was die Zahlen bedeuten
- Schweigen ist der Normalfall. Die meisten Agent-Skills sagen heute nichts darüber, welche Dateien, Hosts, Programme oder Zugangsdaten sie berühren. Wer sie freigibt, gibt Rechte frei, die niemand aufgeschrieben hat.
- Der Code setzt die Obergrenze. Die Reichweite eines Eintrags kommt aus dem Code, denn gegen diese Grenze sandboxt man. Ein ruhiger Lauf senkt sie nicht.
- Das Lab zeigt die Lücke. Tut ein Werkzeug mehr, als es erklärt, ist das der Befund: genutzt über deklariert. Er ist unabhängig davon, ob der Agent inventarisiert ist.
Fünf Fragen an jeden Agenten-Anbieter
- Welche Dateien, Hosts, Programme und Zugangsdaten erreicht der Agent, und wo ist das maschinenlesbar deklariert?
- Welche Aktionen laufen ohne Freigabe pro Aktion, und wie schränke ich Vorabfreigaben ein?
- Welche Hosts kontaktiert der Agent zur Laufzeit, einschließlich Telemetrie, und lässt er sich auf eine Allowlist beschränken?
- Was überdauert einen Lauf: Caches, Konfigurationsänderungen, installierte Pakete, neue Skills oder Agenten-Konfiguration?
- Ist jedes Release auf einen Commit oder Paket-Hash gepinnt, und woran erkenne ich, dass eine neue Version die Rechte ändert?
Mindestregeln für das Onboarding von Agenten
- Kein Agent ohne Deklaration seiner Rechte; wo der Anbieter nichts deklariert, den Aufgabenbereich vor der Freigabe selbst messen.
- Agenten mit Egress-Allowlist betreiben; ein nicht deklarierter Host ist ein Befund, kein Normalzustand.
- Die freigegebene Version pinnen; eine neue Hauptversion ist eine neue Freigabe.
- Freigabe-Ereignisse eingeschaltet lassen: Modi, die Freigaben umgehen, haben in der Produktion nichts zu suchen.
- Zugangsdaten auf die Aufgabe begrenzen: ein Token je Dienst, kein pauschaler Zugriff auf Umgebungsvariablen, keine Credential-Speicher.
Weiterlesen
Die Methode erklärt Skala und Regeln, der Katalog zeigt jedes Werkzeug mit seiner Reichweite. Eine englische Fassung dieser Seite steht unter /leaders/. Der Begriff für den Befund, Schatten-Administration, hat seine datierte Definition unter /de/schatten-administration/.