AWS, Meta und das Rennen um Sandboxes für KI-Browser-Agenten

AWS hat Strands Box am Mittwoch veröffentlicht. Die Open-Source-Sandbox verhindert, dass autonome Agenten im "YOLO-Modus" laufen, in dem sie Aktionen ohne menschliche Prüfung freigeben. Das System isoliert die Agenten auf Betriebssystemebene und setzt so strenge Verhaltensregeln durch.

Sicherheit und Isolierung

Marc Brooker, Vizepräsident bei AWS, erklärt, dass Standardcontainer Regeln nicht kontextbezogen durchsetzen. Ein Agent in einem Container könnte eine Produktionsdatenbank löschen oder Slack-Nachrichten spammen, wenn er die entsprechenden Werkzeuge hat. Strands Box arbeitet mit der Dogwood Local Engine zusammen und bezieht zeitliche Zusammenhänge in die Prüfung von Richtlinien ein. So lässt sich ein Agent auf drei Slack-Posts pro zehn Minuten begrenzen oder die Zahl der API-Aufrufe deckeln, um finanzielle Verluste zu vermeiden. Zeitabhängige Aktionen lassen sich damit fein steuern. Einfache Berechtigungssätze reichen dafür nicht mehr aus, es braucht dynamische Einschränkungen, die sich an der jüngsten Aktivität orientieren.

"Box’s Shell- und Python-Interpreter legen Vorgänge wie das Löschen von Dateien offen, während ihre Gateways API-Anfragen und Tool-Aufrufe sichtbar machen", sagte Brooker gegenüber The Register. Entwickler können präzise Richtlinien schreiben, die die Vorgeschichte eines Agenten berücksichtigen und nicht nur seine aktuelle Absicht. Das Werkzeug ist Teil der AWS-Bemühungen, Open-Source-Strategien bereitzustellen, mit denen sich KI-Agenten zur Verantwortung ziehen lassen.

Standardisierung des Webzugriffs

Meta und Sierra kümmern sich um die externe Schnittstelle. Am Mittwoch stellten die beiden Unternehmen das Personal Agent Protocol vor. Es ist ein Standard dafür, wie KI-Agenten mit Unternehmenswebsites interagieren. Das Protokoll ersetzt die ineffiziente Methode, bei der Agenten Websites wie menschliche Nutzer durchklicken. Stattdessen können Unternehmen zwischen Webzugriff, API-Zugriff über das Model Context Protocol oder direkter Agentenintegration wählen. Das Nachahmen menschlichen Browserverhaltens rückt damit in den Hintergrund. Stattdessen setzt das Protokoll auf direkte, strukturierte Kommunikationskanäle zwischen KI-Entitäten und Geschäftsplattformen.

Laut heise.de können Unternehmen mit dem Protokoll die Aktivität von Agenten überwachen und entweder Lese- oder Schreibzugriff gewähren, aufgebaut auf OAuth-Autorisierung. Zu den ersten Partnern gehören Genesys, Instinct, Rocket, Shopify, Stripe und Walmart. Die Spezifikationen sollen später in diesem Monat als Version 0.1 erscheinen. Der Vorstoß konkurriert direkt mit den bestehenden Standards von Visa, wobei Stripe und Shopify in beiden Ökosystemen mitwirken.

Jüngste Sicherheitsvorfälle zeigen, wie dringend solche Kontrollen sind. Eine Phishing-Kampagne, die auf Werbemanager zielt, nahm ein gefälschtes Produkt namens "Muse Ads" in ihr Ködersortiment auf. Das geschah nur acht Tage, nachdem Meta seinen persönlichen KI-Agenten Muse vorgestellt hatte. The Register berichtete, dass die Kampagne "Browser-in-Browser"-Angriffe nutzt, um Zugangsdaten zu stehlen. Oleg Zaytsev, Sicherheitsforscher bei Island, bemerkte, dass die Betreiber ihre Plattform schnell anpassten. Sie nutzten die rechtzeitige Ankündigung von Muse als glaubwürdigen Grund für die Opfer, aktiv zu werden.

"Das Auffällige ist, wie schnell sie eine rechtzeitige Ankündigung in einen glaubwürdigen Grund für jemanden verwandelten, zu handeln", sagte Zaytsev gegenüber The Register. Der Angriffsvektor umfasst ein gefälschtes Anmeldefenster innerhalb eines legitimen Browsers. Es bringt Mitarbeiter von Agenturen dazu, ihre Zugangsdaten herauszugeben. Allein von einem Frontend beobachteten die Forscher über einen Monat hinweg Eingaben mit rund 200 verschiedenen E-Mail-Adressen. Das Volumen der gesamten Kampagne wird als deutlich höher geschätzt.

Reibung bei Verbrauchern und Blockaden

Nutzer stoßen laut TechCrunch häufig auf Blockaden, wenn ihre Agenten Aufgaben erledigen wollen. Zu diesen Agenten gehören Metas Muse und OpenAIs Dots. Amazon hat Muse ausdrücklich von seiner Einzelhandelsseite ausgeschlossen. Andere Blockaden scheinen unbeabsichtigte Folgen herkömmlicher Anti-Bot-Maßnahmen zu sein. Walmart erklärte gegenüber TechCrunch, die Blockaden seien nicht absichtlich gewesen, da das Unternehmen mit Muse zusammenarbeitet. Das Problem tritt oft auf, wenn eine Website eine Schaltfläche zur menschlichen Verifizierung anzeigt, die den Ablauf des Agenten unterbricht. Branchenpartner, darunter Meta, Walmart und Stripe, arbeiten an offenen Standards. Ziel ist es, legitime Agenten von bösartigen Bots zu unterscheiden.

OpenAIs Agent Dots hatte mit eigenen Problemen zu kämpfen. Wired berichtete, dass der Agent ein Abonnement für 100 Dollar im Monat erfordert. Er hatte Schwierigkeiten mit einfachen Aufgaben wie dem Merken von Nutzernamen und dem Lösen von Captchas. In einem Fall sagte ein Agent namens Toolie einem Nutzer versehentlich, dass er ihn liebe.