Air-Gapped KI-Agenten: ganz ohne Internet betreiben.

Ein Air-Gapped KI-Agent hat keine Verbindung ins öffentliche Internet: Sein Modell, seine Daten und seine Werkzeuge liegen alle in einem abgeschotteten Netzwerk, das weder Anfragen noch Daten nach außen lässt. Das Prinzip ist einfach. Alles, was der Agent zur Laufzeit braucht, liegt schon im abgeschotteten Bereich.

Wir entwickeln Pinchy, eine selbst-gehostete KI-Agenten-Plattform, die vollständig offline laufen kann. Wir sind hier also nicht neutral. Vor allem aber wollen wir eine verbreitete und teure Verwechslung ausräumen.

Selbst-gehostet ist nicht dasselbe wie air-gapped

An dieser Unterscheidung scheitern viele. Selbst-gehostet heißt nur: Die Anwendung läuft auf Ihren eigenen Servern. Woher das Modell kommt, sagt das noch nicht. Bezieht der Agent es von OpenAI, Anthropic oder Google, landet jede Nachricht samt Kontext bei diesem Anbieter. Die Anwendung bleibt dann bei Ihnen, Ihre Daten nicht.

Air-gapped sein verlangt mehr: Das Modell selbst muss lokal laufen. Dann arbeitet der Agent mit einem lokalen, offenen Modell, und kein Prompt verlässt Ihr Netzwerk. Self-Hosting entscheidet, wo der Code läuft; die Abschottung, wo das Modell rechnet. Bei sensiblen Daten kommt es genau darauf an. So kann eine Plattform echt selbst-gehostet und trotzdem nicht air-gapped sein. Viele werben mit „Ihre Daten bleiben bei Ihnen“ und setzen darauf, dass Sie den Unterschied übersehen. Doch auch der Standort allein schützt nicht: Ein US-Anbieter mit Rechenzentrum in der EU bleibt dem US-amerikanischen CLOUD Act unterworfen. Ein lokales Modell im eigenen Netzwerk lässt diese Frage gar nicht erst aufkommen.

Warum einen KI-Agenten abschotten

Abschottung ist keine Paranoia. Sie passt zu bestimmten Situationen:

• Gesetzlich oder vertraglich vorgeschrieben. Bei Verteidigung und Behörden gelten dafür eigene Vorschriften: Eingestufte oder nur eingeschränkt weitergebbare Informationen müssen in physisch getrennten Netzwerken bleiben. Eine Cloud-API kommt hier gar nicht erst in Frage.
• Zu sensibel, um es preiszugeben. Gesundheits- und Finanzwesen setzen generative KI zunehmend ein, ganz ohne Verbindung ins öffentliche Internet. Sie halten Patienten- und Kundendaten von jedem externen Dienst fern, durch die Architektur, nicht durch ein Versprechen.
• Einfacher nachzuweisen. Der unscheinbarste Grund gibt oft den Ausschlag. Auch ohne gesetzliche Pflicht kann es aufwendiger sein, ein vernetztes System als sicher nachzuweisen, als es schlicht zu trennen (TrueFoundry). Ohne Internetverbindung fällt die Compliance-Prüfung kurz aus. Mit Verbindung müssen Sie dagegen genau belegen, wie Sie diese absichern.

Was es wirklich braucht

Ein Air-Gapped Agent ist mehr als ein Modell auf einer GPU. Jede beteiligte Komponente muss lokal sein, sonst ist die Grenze nicht wirklich dicht:

• Das Modell, lokal bereitgestellt. Ein offenes Modell wie Llama, Mistral oder Qwen, das auf Ihrer eigenen Hardware läuft, etwa über Ollama, ohne externe API dazwischen.
• Lokales Wissen. Liest der Agent Ihre Dokumente, laufen auch Einlesen, Embedding, Vektorspeicher und Abruf im abgeschotteten Bereich. Ein lokales Modell, das eine gehostete Vektordatenbank abfragt, ist nicht air-gapped.
• Nur nach innen gerichtete Werkzeuge. Die Werkzeuge des Agenten erreichen Systeme im Netzwerk und nichts außerhalb.
• Keine Verbindung nach außen. Die Plattform selbst darf keine Verbindung nach außen aufbauen, nicht für Telemetrie, nicht für Lizenzprüfung, nicht für Aktualisierungen. Ein einziger Aktivierungs-Ping bricht den Air Gap so sicher wie jede Anfrage an ein Cloud-Modell.

Der ehrliche Kompromiss ist die Modellqualität. Die stärksten Modelle laufen nur in der Cloud. Abgeschottet nutzen Sie also das beste offene Modell, das Ihre Hardware schafft, nicht das absolute Spitzenmodell. Für viele Aufgaben ist der Abstand klein und wird kleiner: für Entwürfe, Extraktion, Klassifikation oder Abläufe mit Ihren eigenen Daten. Und wo Abschottung Pflicht ist, stellt sich die Frage ohnehin nicht.

Abschottung beseitigt das Governance-Problem nicht

Ein getrennter Agent wirkt sicher, ist aber nur eingegrenzt. Die Abschottung sperrt zwar den Weg, über den Daten nach außen gelangen, einen Teil der „lethal trifecta“, doch die übrigen Risiken bleiben im Inneren. So kann ein Offline-Agent immer noch Datensätze lesen, die ihn nichts angehen, oder Daten ändern, die er nicht ändern soll. Und er kann einer versteckten Anweisung folgen, die längst in einem Dokument im abgeschotteten Bereich steckt. Der Fluchtweg nach außen ist also versperrt. Zu weit gefasste Rechte und Prompt Injection bleiben.

Offline gelten also dieselben Kontrollen wie online: ein Berechtigungsmodell nach dem Standard-Verbot, das den Agenten auf seine Aufgabe begrenzt, und ein manipulationssichtbarer Audit-Trail, der jede Aktion festhält und nachweisbar macht. Der Air Gap ist die äußere Grenze, die Governance regelt das Innere. Beides brauchen Sie.

Wie Pinchy es macht

Jetzt zu unserem eigenen Produkt. Pinchy ist modellunabhängig und läuft auch vollständig auf lokalen Modellen über Ollama. Ein Agent arbeitet dann ohne jede Cloud-API. Es ist selbst-gehostet und auf einen echten Air Gap ausgelegt: Die Lizenzprüfung läuft komplett offline, es gibt keinen Lizenzserver, keinen Aktivierungs-Ping und keine Telemetrie. Die Plattform sendet also nichts nach außen. Mit lokalen Modellen in einem getrennten Netzwerk bleibt alles im Haus. Die Governance-Schicht arbeitet dabei weiter, und zwar konkret: E-Mail senden, Datei lesen, Datensatz ändern. Standardmäßig ist alles gesperrt, bis Sie es dem Agenten einzeln freigeben (die Allow-List). Jede Aktion landet HMAC-signiert im Audit-Trail, jede Zeile einzeln. Ein nachträglich geänderter Eintrag fällt sofort auf.

Verbinden Sie Pinchy mit einem Cloud-Anbieter, ist es selbst-gehostet, aber nicht air-gapped. Ihre Prompts landen dann wie bei jeder anderen Anwendung bei diesem Anbieter. Die Offline-Garantie ist echt, sie gilt aber nur mit lokalem Modell, nicht für Self-Hosting allein. Auf diese Unterscheidung kommt es auf der ganzen Seite an, und an ihr messen wir auch uns selbst.