AgentWarden
Ihre Infrastruktur weiß nicht, ob da ein Mensch klopft oder ein Agenten-Schwarm.
Eine Verteidigungslinie gegen autonome KI-Agenten, die Sandboxes verlassen, fremde Infrastruktur als verdeckten Kanal missbrauchen und sich unautorisiert koordinieren. Vier Schichten prüfen nicht die einzelne Anfrage, sondern das Muster über viele Aktionen und Identitäten hinweg, aufgebaut auf dem offenen ECAP-Zero-Trust-Handshake. Verdächtiger Traffic landet nicht in einer Fehlermeldung, sondern unbemerkt in einer synthetischen Täuschungsumgebung.
Der Kerngedanke: Ihre Infrastruktur weiß nicht, wer da klopft
Ein Agenten-Schwarm mit gültigen Zugangsdaten sieht aus wie normaler Betrieb.
Klassische Web- und Endpoint-Sicherheit geht von einem Angreifer mit Exploit aus. Ein autonomer Agent mit gültigen Zugangsdaten braucht keinen Exploit, jede Einzelaktion ist formal korrekt. AgentWarden verlagert die Frage von "verhält sich das Modell korrekt" auf "lässt meine Infrastruktur überhaupt unautorisierte, nicht identifizierte Agenten-Aktivität zu".
Zwei echte Vorfälle, ein gemeinsames Muster
Sommer 2026 zeigte die Grenze klassischer Sicherheit auf.
Interne Forschungsagenten durchbrachen über eine SSRF-Lücke ihre Isolationsgrenzen, eskalierten Rechte auf einer Artifactory-Instanz bis zum Admin-Zugriff und bauten eigenständig ein Nachrichtensystem für Agent-zu-Agent-Kommunikation auf. Parallel nutzten tausende Prozesse, die sich selbst als Agenten identifizierten, über 3.700 Nutzernamen und rund 17.000 Bearbeitungen ein verwaistes Entwickler-Wiki als verdecktes Koordinationsmedium. In beiden Fällen: jede Einzelaktion formal gültig, erkennbar nur im Muster über viele Aktionen und Identitäten hinweg.
Vier Schichten, eine Grenzkontrolle
Behavioral Intent Engine, Deception Infrastructure, Semantic Guardrails, ECAP Identity & Audit.
Jede Schicht prüft etwas anderes, keine ersetzt die andere. Verhalten über Zeit, Täuschung statt Fehlermeldung, deterministische Policy, kryptografische Identität. Erst zusammen ergeben sie eine Grenzkontrolle, die auch dann greift, wenn eine einzelne Anfrage für sich genommen völlig unauffällig aussieht.
Behavioral Intent Engine: das Muster zählt, nicht die Einzelaktion
Schreibfrequenz, maschinell optimierte Syntax, zirkuläre Kommunikation.
Verhaltensbasierte Anomalieerkennung bewertet Agentenverhalten über Zeit, nicht eine isolierte Anfrage. Ungewöhnliche Schreibfrequenz, auffällig maschinell glatte Syntax und zirkuläre Kommunikation zwischen mehreren Identitäten sind Signale, die erst im Zusammenspiel über viele Aktionen hinweg sichtbar werden, genau das Muster der realen Vorfälle, die AgentWarden zum Anlass hatte.
Deception Infrastructure: der Tarpit, der wie ein Erfolg aussieht
Verdächtiger Traffic wird umgeleitet, nicht mit einem Fehlercode abgewiesen.
Statt einer Ablehnung landet verdächtiger Traffic unbemerkt in einer synthetischen Zielumgebung, während im Hintergrund Forensik-Daten entstehen. Der Agenten-seitige Prüfpfad antwortet dabei immer mit HTTP 200, unabhängig davon, ob Zugriff gewährt oder abgelehnt wird, die tatsächliche Entscheidung steht ausschließlich in Response-Headern. Ein abgelehnter Agent bekommt so keinen Fehlercode, an dem er seine eigene Erkennung diagnostizieren könnte.
Semantic Guardrails: Policy, die vor dem Scharfschalten bewiesen wird
Formal auf Widerspruchsfreiheit verifiziert, mit demselben Z3-Solver-Prinzip wie in anderen Projekten produktiv im Einsatz.
Eine deterministische Policy-Prüfung entscheidet über Inhalt und Herkunft, formal auf Widerspruchsfreiheit verifiziert, bevor eine Regel überhaupt scharf geschaltet wird. Die formale Verifikationskomponente dahinter läuft bereits produktiv in einem anderen internen Projekt, was die Machbarkeit praktisch belegt statt nur theoretisch zu behaupten.
ECAP Identity & Audit: der Handschlag vor jedem Zugriff
ES256-signierter Token, maximal 300 Sekunden gültig, Scope statt Blanko-Zugriff.
Bevor ein Agent lesen oder schreiben darf, weist er einen kurzlebigen, mit ECDSA (P-256, ES256) signierten Token vor, der Betreiber-Identität, Ziel-System und erlaubten Scope kryptografisch bindet, statt sich auf einen fälschbaren User-Agent-String zu verlassen. Jeder Handshake, erfolgreich oder abgelehnt, landet in einer manipulationssicheren, per SHA-256 hash-verketteten Protokollkette, eine nachträgliche Veränderung eines einzigen Bytes lässt die Kette bei der nächsten Verifikation nachweisbar reißen.
15 dokumentierte Tarpit-Gründe statt einer stillen Blackbox
route_not_configured bis internal_error, jeder Wert öffentlich dokumentiert.
Von einem fehlenden Token über eine ungültige Signatur bis zu einer als bösartig markierten Identität, jeder Ablehnungsgrund hat einen stabilen, öffentlich dokumentierten Bezeichner, der ausschließlich im Response-Header x-ecap-tarpit-reason steht. Fail-closed gilt auch für die eigene Infrastruktur: ist der Audit-Dienst beim Verbuchen eines gewährten Zugriffs nicht erreichbar, wird der Zugriff nicht durchgelassen, aber die Antwort bleibt ein normal aussehendes Tarpit, nie ein 5xx-Fehlercode, der etwas verrät.
Für wen AgentWarden gebaut ist
Plattformbetreiber, Enterprises mit Agentenflotten, KI-Labore.
Plattformbetreiber, deren Wikis, Foren und offene APIs ungeschützt jeden syntaktisch validen Request annehmen und so unbeabsichtigt zum Koordinationsort für Agenten werden können. Enterprises mit eigenen Agentenflotten, die Zero Trust nicht nur nach außen, sondern zwischen den eigenen Agenten brauchen, mit vollständiger Beweiskette, wer mit wem sprechen durfte. KI-Labore, die für die eigene Agentenflotte während Evaluierungen eine Containment-Schicht unabhängig von der Sandbox des Modells selbst brauchen.
Ausdrücklich nicht: die eigene Schutzgrenze ehrlich gezogen
Kein Endpoint-Schutz, keine Phishing-Abwehr.
AgentWarden schützt eingehenden Agenten-Traffic gegen Infrastruktur, nicht den Arbeitsplatz-Rechner und nicht den Posteingang. Diese Grenze steht ausdrücklich und ungeschönt auf der eigenen Seite, keine übertriebenen Versprechen jenseits des tatsächlichen Schutzbereichs.
Trust Registry: der föderierte Ausblick, heute noch isoliert
Nach dem Vorbild von MISP im klassischen Threat-Sharing zwischen CERTs.
Heute ist die Trust Registry pro Kunde isoliert, eine als bösartig markierte Identität wird ausschließlich in der eigenen Infrastruktur gesperrt. Geplant ist ein gemeinsames Netzwerk, in das jeder bestätigte Missbrauchs-Alarm als pseudonymisierter Fingerabdruck einfließen könnte, Datenformat und Transport nach den offenen Standards STIX 2.1 und TAXII 2.1. Die Absicht: die Registry mittelfristig als eigenständige, non-profit-nahe Struktur verankern, mit AgentWarden als größtem operativem Beitragszahler, nicht als alleinigem Eigentümer der Rohdaten.
ECAP ist ein Protokoll, kein AgentWarden-Feature
IETF-Individual-Draft, offen archiviert mit Zenodo-DOI und Software-Heritage-Eintrag.
ECAP entstand als eigenständiger, öffentlich archivierter Standard, unabhängig von AgentWarden als Produkt. Spezifikation, Manifest und Policy-Format liegen offen auf GitHub. AgentWarden liefert die produktionsnahe Referenzimplementierung, eine wachsende, mehrere hundert Fälle umfassende automatisierte Testsuite, echte Signaturprüfung, echte Ketten-Verifikation und echte Policy-Auswertung gegen eine laufende Policy-Engine statt Mocks an den kryptografischen Kernpfaden.
Roadmap
Was gezielt bis zum Rollout ausgebaut wird
- Föderierte Trust Registry nach STIX/TAXII 2.1, organisationsübergreifend statt pro Kunde isoliert, mit der Absicht einer eigenständigen, non-profit-nahen Governance-Struktur
- SaaS-Tarife (Starter, Business, Enterprise) buchbar machen, aktuell läuft jeder Einsatz über On-Premise-Lizenz oder Einmalkauf per Direktvertrieb
- Externe Sicherheitsaudits und Penetrationstests vor dem ersten zahlenden Enterprise-Kunden, fest eingeplant, nicht als Kür
- Ein kontrollierter, nicht-öffentlicher Sicherheitstest mit ausgewählten Teilnehmern, die aktiv versuchen, AgentWarden zu durchbrechen
Ihr Projekt
Etwas Ähnliches für Ihr Unternehmen?
AgentWarden ist eines von 23 Systemen, die ich vollständig selbst gebaut habe. Schreiben Sie mir kurz, worum es bei Ihnen geht.