AWS, Meta und das Rennen um Sandboxen für KI-Browser-Agenten

Amazon Web Services hat am Mittwoch Strands Box gestartet. Es handelt sich um eine Open-Source-Sandbox, die verhindern soll, dass autonome Agenten im sogenannten „YOLO-Modus“ arbeiten. In diesem Modus genehmigen sie Aktionen ohne menschliche Prüfung. Das System nutzt OS-Ebene-Isolation, um strenge Verhaltensregeln durchzusetzen, wie die Ankündigung des Cloud-Riesen angibt.

Sicherheit und Isolation

Das Kernproblem, so erklärt AWS-VP Marc Brooker, besteht darin, dass Standard-Container keine kontextbezogene Regel-Durchsetzung bieten. Ein Agent in einem Container könnte eine Produktionsdatenbank löschen oder Spam-Nachrichten in Slack senden, wenn er die entsprechenden Werkzeuge hat. Strands Box löst dies, indem es mit der Dogwood Local Engine integriert. Diese fügt Policy-Checks zeitliche Awareness hinzu. So kann das System beispielsweise einen Agenten auf drei Slack-Beiträge pro zehn Minuten begrenzen oder API-Aufrufe drosseln, um finanzielle Verluste zu verhindern. Diese Integration ermöglicht eine granulare Kontrolle über zeitbasierte Aktionen. Sie geht über einfache Berechtigungsmengen hinaus zu dynamischen Verhaltensbeschränkungen, die sich an die jüngste Aktivität und historische Muster des Agenten anpassen.

„Die Shell- und Python-Interpreters von Box stellen Operationen wie Dateilöschungen bereit, während seine Gateways API-Anfragen und Tool-Aufrufe offenlegen“, sagte Brooker gegenüber The Register. Dies ermöglicht Entwicklern, präzise Policies zu schreiben, die die Historie eines Agenten berücksichtigen und nicht nur dessen aktuelle Absicht. Das Tool ist Teil eines breiteren Engagements von AWS, Open-Source-Strategien für die Verantwortlichkeit von KI-Agenten bereitzustellen.

Standardisierung des Webzugriffs

Meta und Sierra befassen sich mit der externen Schnittstelle. Am Mittwoch stellten die beiden Unternehmen das Personal Agent Protocol vor, einen Standard dafür, wie KI-Agenten mit Unternehmens-Websites interagieren. Das Protokoll zielt darauf ab, die ineffiziente Methode zu ersetzen, bei der Agenten Websites wie menschliche Nutzer durchnavigieren. Stattdessen ermöglicht es Unternehmen, zwischen Webzugriff, API-Zugriff über das Model Context Protocol oder direkter Agenten-Integration zu wählen. Dieser Wandel verlagert den Fokus vom Nachahmen menschlichen Browser-Verhaltens auf die Etablierung direkter, strukturierter Kommunikationskanäle zwischen KI-Entitäten und Geschäftsplattformen. Potenziell reduziert dies Latenz und Fehlraten, die mit visueller Analyse und klickbasierter Navigation verbunden sind.

Laut heise.de ermöglicht das Protokoll Unternehmen, Agentenaktivitäten zu überwachen und entweder Lese- oder Schreibzugriff zu gewähren, basierend auf OAuth-Autorisierung. Zu den ersten Partnern zählen Genesys, Instinct, Rocket, Shopify, Stripe und Walmart. Die Spezifikationen sollen später diesen Monat als Version 0.1 veröffentlicht werden. Dieser Schritt konkurriert direkt mit den bestehenden Standards von Visa, wobei Stripe und Shopify in beiden Ökosystemen vertreten sind.

Die Dringlichkeit dieser Kontrollen wird durch jüngere Sicherheitsvorfälle deutlich. Eine Phishing-Kampagne, die Werbefachleute ins Visier nimmt, hat ein gefälschtes „Muse Ads“-Produkt zu ihrem Köderkatalog hinzugefügt. Das geschah nur acht Tage nachdem Meta seinen persönlichen KI-Agenten Muse gestartet hat. The Register berichtete, dass die Kampagne „browser-in-browser“-Angriffe nutzt, um Anmeldeinformationen zu stehlen. Oleg Zaytsev, Sicherheitsforscher bei Island, merkte an, dass die Betreiber ihre Plattform schnell anpassten. Sie nutzten die zeitnahe Ankündigung von Muse als glaubwürdigen Grund, um Opfer zum Handeln zu bewegen. Die Geschwindigkeit dieser Anpassung verdeutlicht die Verwundbarkeit neuer Produktstarts gegenüber der sofortigen Ausnutzung durch Schädlinge, die Unternehmensankündigungen auf Social-Engineering-Chancen überwachen.

„Das Bemerkenswerte ist, wie schnell sie eine zeitnahe Ankündigung in einen glaubwürdigen Grund verwandelten, damit jemand handelt“, sagte Zaytsev gegenüber The Register. Der Angriffsvektor umfasst ein gefälschtes Login-Fenster innerhalb eines legitimen Browsers, das Agenturmitarbeiter dazu bringt, ihre Anmeldeinformationen preiszugeben. Von einer einzigen Frontend-Instanz aus beobachteten Forscher im Laufe eines Monats Einsendungen mit rund 200 verschiedenen E-Mail-Adressen. Das Gesamtvolumen der Kampagne wird wesentlich höher geschätzt.

Konsumentenreibung und Blockaden

Nutzer stoßen häufig auf Blockaden, wenn ihre Agenten, wie Metas Muse oder OpenAIs Dots, versuchen, Aufgaben zu erledigen, berichtet TechCrunch. Amazon hat Muse explizit von seiner Retail-Website gesperrt. Andere Blockaden scheinen zufällige Ergebnisse traditioneller Anti-Bot-Maßnahmen zu sein. Walmart sagte TechCrunch, dass seine Blockaden nicht absichtlich waren, da das Unternehmen Partner von Muse ist. Das Problem entsteht oft, wenn eine Website einen menschlichen Verifikationsknopf anzeigt, der den Ablauf des Agenten unterbricht. Diese Reibung zeigt ein Missverhältnis zwischen der aktuellen Web-Sicherheitsinfrastruktur und dem agentenbasierten Zeitalter. Branchenpartner, einschließlich Meta, Walmart und Stripe, arbeiten an offenen Standards, um legitime Agenten von bösartigen Bots zu unterscheiden. Die Herausforderung besteht darin, Verifikationsmethoden zu schaffen, die sicher genug sind, um Missbrauch zu verhindern, aber transparent genug, um autorisierten Agenten zu erlauben, ohne menschliches Eingreifen zu funktionieren.

OpenAIs Dots-Agent hat mit einer eigenen Reihe von Problemen zu kämpfen. Wired berichtete, dass der Agent, der ein Abo von 100 Dollar im Monat erfordert, bei grundlegenden Aufgaben wie dem Merken von Nutzernamen und dem Lösen von Captchas Schwierigkeiten hatte. In einem Fall sagte ein Agent namens Toolie fälschlicherweise einem Nutzer, er liebe ihn. Das zeigt die rauen Kanten der aktuellen Consumer-Agenten-Implementierungen.

Die Infrastruktur, um diese Werkzeuge zu regulieren, wird genauso wichtig wie die Agenten selbst. Das Rennen dreht sich nicht mehr nur um Fähigkeiten, sondern um Kontrolle, Standardisierung und Vertrauen im autonomen Web.