Sicherheitsmodell
Microsoft, Cisco, CrowdStrike und Gartner sind sich einig: KI-Agenten reißen neue Angriffsflächen auf. Pinchy schließt sie wieder, ohne dem Agenten zu nehmen, was ihn nützlich macht.
Die Lage
Übliche Agenten-Engines öffnen von Haus aus den Zugriff auf Shell, Dateisystem und Netzwerk. Eine Berechtigungs-Schicht fehlt. So darf jeder Agent alles, was auch der Host-Benutzer darf.
API-Schlüssel, SSH-Schlüssel, Cloud-Zugangsdaten: Ein Agent auf dem Host erreicht alles davon. Eine einzige Prompt Injection genügt, und die Daten fließen ab. Der Security-Blog von Microsoft nennt das ein kritisches Risiko.
Was hat der Agent getan? Wann? Warum? Ohne kryptografisches Protokoll bleiben diese Fragen offen. Gartner beschreibt KI-Agenten als von Haus aus unsicher.
Ein Chatbot kann etwas Schädliches sagen, aber ein KI-Agent kann etwas Schädliches tun.
Cisco Security Blog
Diese Flexibilität bringt eine neue Klasse von Sicherheitsbedrohungen mit sich: Angriffe auf die Werkzeugkette von Agenten.
CrowdStrike
So löst Pinchy das
Pinchy sitzt zwischen Ihren Benutzern und OpenClaw. Jede Anfrage durchläuft erst Authentifizierung, Berechtigungsprüfung und Audit-Protokoll, bevor OpenClaw sie überhaupt zu Gesicht bekommt.
Sicherheitsfunktionen
Die Agenten-Engine läuft in einem Docker-Container ohne offene Ports. Erreichbar ist sie nur über die authentifizierte WebSocket-Brücke von Pinchy. So kommuniziert kein Agent je direkt nach außen, denn jede Anfrage passiert zuerst die Berechtigungs-Schicht.
Funktioniert heuteAlle API-Schlüssel der Anbieter (Anthropic, OpenAI, Google) verschlüsselt Pinchy im Ruhezustand mit AES-256-GCM. Entschlüsselt werden sie nur, wenn eine Modell-Anfrage sie braucht, und im Klartext landen sie nie.
Funktioniert heuteEin Agent startet ohne Werkzeuge. Admins schalten jedes Werkzeug einzeln frei: eine Allow-List, keine Sperrliste. Ein Marketing-Agent etwa darf das Web durchsuchen und E-Mails entwerfen. Er bekommt aber nicht die Werkzeuge, um Ihre Odoo-Rechnungen zu lesen. Jede Fähigkeit erteilt ein Admin bewusst und trägt dafür die Verantwortung.
Funktioniert heuteJeder Benutzer führt pro Agent eigene Gesprächssitzungen, und niemand sieht die Gespräche der anderen. Beim Verbindungsaufbau prüft Pinchy jede WebSocket-Verbindung über die Cookie-basierte Sitzung.
Funktioniert heuteOrdnen Sie Benutzer in Gruppen (Technik, HR, Recht) und geben Sie jeden Agenten nur den Gruppen frei, die ihn sehen sollen. Diese Enterprise-Funktion ergibt zusammen mit Agenten-Berechtigungen zwei Schutzebenen.
Funktioniert heutePinchy protokolliert jeden Werkzeug-Aufruf, jede Nachricht, jede Aktion. Jede Zeile trägt eine eigene HMAC-SHA256-Signatur und ist an ihren Vorgänger gekettet. PostgreSQL-Trigger lassen nur das Anfügen zu und weisen jedes UPDATE, DELETE und TRUNCATE ab. Alles lässt sich als CSV exportieren. Ihre Compliance-Abteilung wird das begrüßen.
Funktioniert heuteEin manipulationssichtbares Protokoll ist nur so viel wert, wie Sie es nachprüfen können. Die meisten Anbieter werben mit „manipulationssicheren" Protokollen, geben Ihnen aber kein Mittel zur Prüfung. Pinchy legt Ihnen die Prüfung in die Hand: Eine Admin-Schnittstelle (/api/audit/verify) rechnet auf Abruf jede Signatur und jedes Kettenglied nach. Sie meldet genau, welche Zeilen verändert wurden und wo die Kette gebrochen ist. Ein zeitgesteuerter Prüflauf macht dasselbe automatisch und schlägt bei jeder Abweichung Alarm. Sie müssen nichts glauben, sondern rechnen selbst nach, oder Ihr Prüfer tut es.
Kontrolllose Agenten-Engines geben alles frei. Pinchy-Agenten dagegen starten mit nichts: keine Shell, kein Dateizugriff, keine Netzwerk-Werkzeuge. Jede Fähigkeit muss ein Admin ausdrücklich erteilen. Das Shell-Werkzeug steht versierten Benutzern offen, die es brauchen, aber als bewusste Entscheidung, nicht als Voreinstellung.
Funktioniert heuteDas Agenten-Gateway ist nur intern erreichbar. Den Gateway-Token erzeugt Pinchy beim Start automatisch und legt ihn in einer separaten, eng begrenzten Datei ab. Niemand hantiert mit Zugangsdaten, nichts dringt nach außen.
Funktioniert heuteDefault-Deny ist nicht nur der Ausgangspunkt, sondern die dauerhafte Regel. Was ein Admin nicht freigegeben hat, bleibt gesperrt, und das gilt auch für eingebaute Werkzeuge, die OpenClaw in künftigen Versionen ergänzt: Ein Plattform-Update erweitert die Rechte Ihrer Agenten nie unbemerkt. Neue Fähigkeiten sind Opt-in, und zwar pro Agent.
Funktioniert heuteMit jeder Version kommt eine Reihe sicherheitsrelevanter Härtungen. Jüngste Beispiele: Anhang-Downloads prüfen, ob die Datei dem jeweiligen Nutzer gehört; wird ein Nutzer deaktiviert, werden seine aktiven Sitzungen sofort beendet; der Schreibpfad löst Symlinks vor dem Schreiben auf; CSV-Exporte verhindern Formel-Injection, und ausgehende Web-Abrufe begrenzen die Antwortgröße, um den Speicher zu schonen.
Funktioniert heuteUnsere Position
Agenten-Engines sind mächtig, flexibel und quelloffen, aber gebaut für einzelne Entwickler, nicht für Unternehmensteams. Pinchy verwässert diese Leistung nicht. Es umgibt sie mit der Sicherheits-Schicht, die regulierte Branchen verlangen. So setzen Sie KI-Agenten genauso ein wie jede andere Anwendung im produktiven Betrieb.
Buchen Sie einen Termin, und wir gehen die Sicherheits-Architektur mit Ihrem Team durch.
Oder schreiben Sie uns: info@heypinchy.com