Sicherheitsrisiken und Sandbox-Grenzen
Warum die Einstellungen eines Agenten für die Sicherheit wichtig sind und was die Managed-Agents-Sandbox kann und was nicht.
Diese Seite erklärt, warum die Einstellungen in Deine Managed-Agents-Bereitstellung absichern wichtig sind und was die Sandbox kann und was nicht.
Warum das wichtig ist
Versteckte Anweisungen in Inhalten, die ein Agent liest, können den Agenten steuern. Dies wird als Prompt-Injection bezeichnet. Claude ist von Natur aus widerstandsfähig dagegen, aber das Modellverhalten ist keine Sicherheitskontrolle. Die Einstellungen in Deine Managed-Agents-Bereitstellung absichern begrenzen die Auswirkungen, falls ein Versuch erfolgreich ist.
Claude kann außerdem einen Schritt unternehmen, den du nicht erwartet hast, während es weiter daran arbeitet, die Aufgabe zu erledigen, die du ihm gegeben hast. Zum Beispiel könnte es ein Tool oder Anmeldedaten verwenden, auf die es zugreifen kann, um ein Hindernis zu überwinden. Dieselben Einstellungen begrenzen, worauf ein solcher Schritt zugreifen kann, und ein Offline-Reviewer kann ihn nachträglich markieren.
| Was schiefgehen kann | Beispiel | Kontrollen |
|---|---|---|
| Nicht vertrauenswürdige Eingaben steuern den Agenten | Ein Ticket weist den Agenten an, jede offene Bestellung zu stornieren | Kleinstmöglicher Tool-Satz, nicht vertrauenswürdige Eingaben von mächtigen Tools fernhalten, Genehmigungen für riskante Aktionen |
| Code in der Sandbox kann Anmeldedaten verwenden | Ein Skript, zu dessen Ausführung der Agent verleitet wurde, sendet den Schlüssel des Agenten an einen externen Host oder verwendet ihn, um die Bestellungen aller Kunden zu lesen | Anmeldedaten in Vaults, eingeschränktes Networking, Genehmigungen für riskante Aktionen |
| Ein offenes Netzwerk lässt Daten nach außen | Ein Bash-Befehl sendet eine Datei an einen externen Host | Eingeschränktes Networking, die web_fetch-Domainliste |
| Claude unternimmt einen Schritt, den du nicht erwartet hast | Um ein Hindernis zu überwinden, verwendet es ein Tool oder Anmeldedaten, auf die es zugreifen kann | Die Einstellungen in Deine Managed-Agents-Bereitstellung absichern. Ein Offline-Reviewer kann den Schritt nachträglich markieren |
Diese Einstellungen verringern das Risiko, beseitigen es aber nicht. Lege daher keine Daten in die Sandbox, die sie niemals verlassen dürfen. Ein Agent kann Daten, die er lesen darf, weiterhin in seine eigene Antwort oder Tool-Ausgabe einfügen. Beschränke die Berechtigungen eines Schlüssels bei dem Dienst, der ihn ausgestellt hat, denn diese Einstellungen beschränken sie nicht. Die Einstellungen sichern weder deine benutzerdefinierten Tools noch deine MCP-Server oder deine selbst gehostete Infrastruktur ab.
Was die Sandbox kann und was nicht
Managed Agents hält die Agentenschleife, den Session-Verlauf und die Vault-Secrets konzeptbedingt außerhalb der Sandbox. Hintergründe zum Design findest du unter Scaling Managed Agents.
| Teil | Wo er ausgeführt wird | Was ihn begrenzt |
|---|---|---|
| Agentenschleife | Server von Anthropic | Der Tool-Satz, die Berechtigungsrichtlinien und das Budget, die du festlegst |
bash und Datei-Tools | Die Sandbox. In einer Cloud-Umgebung erhält jede Session ihren eigenen isolierten Linux-Container | Networking der Umgebung, der Tool-Satz und Berechtigungsrichtlinien |
web_search und web_fetch | Server von Anthropic | Die eigene Domainliste des Tools und, in einer limited-Cloud-Umgebung, die erlaubten Hosts der Umgebung. web_fetch öffnet außerdem nur URLs, die bereits in der Session aufgetaucht sind |
| Vault-Secret | Außerhalb der Sandbox. MCP-Credentials gelangen nie hinein. Bei einem Umgebungsvariablen-Credential sieht der Code einen Platzhalter | Bei einem MCP-Credential die MCP-Server-URL, für die es bestimmt ist. Bei einem Umgebungsvariablen-Credential die Hosts, die das Credential erlaubt, sein Injektionsort und die erlaubten Hosts der Umgebung |
| Session-Verlauf | Server von Anthropic, bis du die Session löschst | Die API-Keys für den Workspace, die Rollen Developer und Admin in der Claude Console sowie das Löschen von Sessions |
| Benutzerdefinierte Tools | Deine Anwendung | Dein Code |
In einer Cloud-Umgebung teilen Sessions keinen Dateisystemzustand. Ein Memory Store, der an mehr als eine Session angehängt ist, wird zwischen ihnen geteilt.
Diese Begrenzungen ersetzen einander nicht. Zum Beispiel hindert die Beschränkung der Hosts der Umgebung den Agenten nicht daran, Anmeldedaten auf einem Host zu verwenden, den du erlaubt hast.
Was this page helpful?