Secure Sandboxing

Wenn ein Computer ein Programm ausführt, darf dieses Programm normalerweise ziemlich viel: Dateien lesen, Dateien löschen, ins Internet gehen. Das ist praktisch, solange man dem Programm vertraut. Bei fremdem Code weiß man das aber oft nicht. Secure Sandboxing ist die Antwort darauf: Das Programm läuft in einem abgeriegelten Bereich, der ihm nur wenige, genau festgelegte Handlungen erlaubt. Alles andere blockiert das System, bevor es passiert. Der Name kommt vom Sandkasten: Darin darf gebuddelt werden, aber der Sand bleibt drin.

Warum fremder Code eine Gefahr ist

Moderne Software führt ständig Code aus, den niemand vorher gelesen hat. Eine Webseite schickt kleine Programme an deinen Browser. Ein Sprachmodell schreibt auf Zuruf ein Python-Skript und lässt es laufen, um eine Rechnung zu prüfen. In beiden Fällen entsteht der Code in Sekunden, und ein Mensch kontrolliert ihn nicht.

Ohne Abschottung wäre das riskant. Ein bösartiges Skript könnte Passwörter auslesen, Daten an einen fremden Server schicken oder Dateien verschlüsseln. Selbst ohne böse Absicht kann Code Schaden anrichten: Ein Fehler in einer Zeile löscht schnell das falsche Verzeichnis. Die Sandbox begrenzt den Schaden auf einen Bereich, der ohnehin gleich weggeworfen wird.

Für KI-Firmen ist das inzwischen ein zentrales Sicherheitsthema. Je selbstständiger ein System handelt, desto weniger kann ein Mensch jeden Schritt prüfen. Sandboxing verschiebt die Kontrolle deshalb weg von der Frage „Ist dieser Code gut?“ hin zur Frage „Was kann dieser Code überhaupt anrichten?“. Die zweite Frage ist deutlich leichter zu beantworten.

Die Mauern um den Sandkasten

Technisch besteht eine Sandbox aus mehreren Schichten. Die unterste ist meist eine virtuelle Maschine oder ein Container: ein simulierter Computer im Computer, mit eigenem Dateisystem. Das Programm darin hält diesen simulierten Rechner für die ganze Welt. Ist die Aufgabe erledigt, wird die Umgebung komplett gelöscht und beim nächsten Mal frisch erzeugt.

Darüber liegen Regeln, welche Systemfunktionen erlaubt sind. Das Betriebssystem bietet Befehle an, etwa zum Öffnen einer Datei oder zum Aufbau einer Netzwerkverbindung. Eine Sandbox lässt nur eine kurze Liste davon durch und weist den Rest ab. Oft wird auch die Rechenzeit begrenzt, damit ein Programm nicht endlos läuft und den Server blockiert.

Häufig fehlt außerdem der Internetzugang ganz oder es sind nur wenige Adressen erreichbar. Das klingt hart, verhindert aber den wichtigsten Angriff: das Abfließen von Daten nach außen. Perfekt ist keine Sandbox. Es gibt Lücken, sogenannte Sandbox Escapes, bei denen Code aus der Abschottung ausbricht. Solche Fehler sind selten und werden teuer gehandelt, weshalb ernsthafte Systeme immer mehrere Schichten übereinanderlegen.

Sandboxen im Alltag und in KI-Produkten

Du benutzt Sandboxing täglich, ohne es zu merken. Jeder Browser-Tab läuft in einer eigenen Sandbox, damit eine manipulierte Webseite nicht an deine Dateien kommt. Auch Apps auf dem Handy sind voneinander getrennt: Eine Spiele-App sieht die Fotos nur, wenn du es ausdrücklich erlaubst.

In KI-Produkten begegnet dir das Prinzip bei Funktionen, die Code ausführen. Wenn ein Chatbot eine Tabelle auswertet oder ein Diagramm zeichnet, passiert das in einer kurzlebigen Sandbox auf einem Server. Auch Programmierassistenten, die Befehle auf einem Rechner ausführen, arbeiten so. In Berichten über KI-Agenten taucht der Begriff regelmäßig auf, wenn es um Sicherheitsmaßnahmen geht.

Ein verbreiteter Irrtum ist, Sandboxing sei dasselbe wie Verschlüsselung oder ein Virenscanner. Ein Scanner sucht nach bekannten Schädlingen, eine Sandbox interessiert sich gar nicht dafür, was der Code vorhat. Sie schränkt einfach ein, was er tun darf. Abzugrenzen ist der Begriff auch von der regulatorischen „Sandbox“: In der Finanz- und KI-Regulierung meint das einen rechtlichen Testraum für neue Produkte, nicht eine technische Abschottung.