Da sich KI-Anwendungen von reinen Sprachmodellen, die Fragen beantworten, zu „Agenten“ (Agents) wandeln, die tatsächliche Aufgaben wie das Ausführen von Befehlen, das Installieren von Paketen und das Lesen von Dateien ausführen können, ist eine neue Sicherheitsherausforderung entstanden. Diese Agenten, die häufig auf aus dem Internet abgerufenem Datenmaterial basieren, gelten als „nicht vertrauenswürdiger Code“ (Untrusted Code) mit Zugriffsberechtigungen auf sensible Daten. Dies macht ihre Ausführung in Produktionsumgebungen zu einem großen Risiko, es sei denn, sie werden streng isoliert.
Was ist das OpenShell-Projekt?
OpenShell, ein Sandbox-Projekt der CNCF, das von NVIDIA initiiert wurde, ist eine Lösung zur Bereitstellung einer isolierten Laufzeitumgebung (Runtime) für diese Agenten. Das Projekt basiert auf der Idee eines vertrauenswürdigen „Supervisors“ (Supervisor), der außerhalb der Isolationsumgebung läuft und auf der Grundlage vordefinierter Richtlinien über YAML-Dateien Entscheidungen darüber trifft, worauf der Agent zugreifen kann. OpenShell bietet vier wesentliche Kontollebenen:
- Dateisystem (Filesystem): Unter Verwendung der Landlock-Technologie wird festgelegt, welche Pfade der Agent lesen oder in die er schreiben kann, wodurch der Zugriff auf sensible Systemdateien verhindert wird.
- Prozesse (Process): Der Agent wird als Nicht-Root-Benutzer (Non-root) ausgeführt, wobei das seccomp-Protokoll zur Einschränkung von Systemaufrufen angewendet wird.
- Netzwerk (Network): Der ausgehende Datenverkehr wird standardmäßig blockiert, mit der Möglichkeit, ihn auf Basis präziser Regeln zu erlauben, die den Namen der ausführbaren Datei, den Host, den Port und sogar die HTTP-Anfragemethode umfassen.
- Sensible Daten (Credentials): Der Agent sieht keine echten API-Schlüssel, sondern „Platzhalter“ (Placeholders), wobei der Supervisor die Schlüssel nur bei Bedarf und für die autorisierten Stellen durch die tatsächlichen ersetzt.
Integration mit Kubernetes und erweiterte Funktionen
Im Gegensatz zu Lösungen, die versuchen, die Kubernetes-Architektur zu umgehen, basiert OpenShell auf dem Agent Sandbox-Projekt von SIG Apps. Die Agenten erscheinen im System als vertraute Kubernetes-Objekte wie Pods, Services und Secrets. Der wesentliche Vorteil hierbei ist die Fähigkeit von OpenShell, eine Sichtbarkeit auf Ebene 7 (L7) bereitzustellen: Während herkömmliche Netzwerkrichtlinien (NetworkPolicy) einem Pod erlauben können, auf einen bestimmten Standort zuzugreifen, kann OpenShell festlegen, ob ein curl-Befehl Daten von GitHub lesen darf, während ihm das Erstellen (POST) neuer Issues untersagt ist.
Technischer Vergleich: OpenShell im Vergleich zu Agent Substrate
Ein weiteres CNCF-Projekt hebt sich in dieser Landschaft ab: Agent Substrate. Der grundlegende Unterschied zwischen ihnen liegt in der Designphilosophie:
- OpenShell: Konzentriert sich auf Sicherheit und präzise Kontrolle. Es ist die ideale Wahl für Agenten, die Zugriff auf Produktionssysteme benötigen und strenge Richtlinien für jede Anfrage (Per-request policy) erfordern.
- Agent Substrate: Konzentriert sich auf Skalierbarkeit und Kostensenkung. Es setzt auf das Anhalten (Suspending) inaktiver Agenten anstelle der Zuweisung eines vollständigen Pods für jeden Agenten, wodurch es sich für Modelle eignet, die eine hohe Dichte und geringe Kosten erfordern.
Technische Prognosen deuten auf die Möglichkeit hin, beide Projekte in Zukunft zusammenzuführen, sodass OpenShell die Kontrollrichtlinien bereitstellt, während Substrate die Isolations- und Skalierungseffizienz liefert.
Warum ist diese Entwicklung für Plattform-Ingenieure wichtig?
OpenShell stellt eine notwendige Brücke zwischen der Flexibilität der künstlichen Intelligenz und der Strenge der Cloud-Computing-Sicherheit dar. Für Kubernetes-Administratoren reicht es nicht mehr aus, herkömmliche Container zu isolieren; es ist vielmehr notwendig geworden, das Verhalten des „intelligenten Agenten“ innerhalb des Containers zu kontrollieren. Durch die Integration mit Tools wie Kyverno können Ingenieure Zulassungskontrollen (Admission Control) erzwingen, die sicherstellen, dass Agenten nur mit bestimmten, vertrauenswürdigen Images ausgeführt werden, während Rechen- und Speicherressourcen begrenzt werden. Dies stellt sicher, dass ein KI-Agent weder zu einer Sicherheitsbedrohung noch zu einer übermäßigen Ressourcenauslastung des Clusters (Cluster) führt.