GKE Agent Sandbox

Moderne KI-Programme beantworten nicht nur Fragen. Sie schreiben auch kleine Programme und führen diese sofort aus, etwa um eine Rechnung zu prüfen oder eine Tabelle auszuwerten. Dieser Code ist aber niemand von Hand geprüft, er entsteht in dem Moment neu. Ihn einfach auf dem eigenen Server laufen zu lassen, wäre riskant. GKE Agent Sandbox ist ein Dienst von Google, der genau dafür einen abgeschotteten Spielbereich bereitstellt. Der Code läuft dort mit sehr wenigen Rechten und kann nicht auf die Daten oder Systeme daneben zugreifen.

Warum selbst geschriebener KI-Code gefährlich ist

Ein Sprachmodell erzeugt Text, und Programmcode ist auch nur Text. Das Modell hat kein Verständnis von Konsequenzen. Es kann versehentlich einen Befehl schreiben, der Dateien löscht oder eine Verbindung ins Internet aufbaut. Solche Fehler passieren selten, aber bei Millionen Anfragen pro Tag passieren sie garantiert irgendwann.

Dazu kommt ein Angriffsmuster namens Prompt Injection. Dabei versteckt jemand in einer harmlos aussehenden Webseite oder E-Mail eine Anweisung an die KI. Liest der Assistent diesen Text, hält er die Anweisung womöglich für eine Aufgabe seines Nutzers. Er könnte dann Code ausführen, der Zugangsdaten des Unternehmens ausliest und verschickt.

Eine Sandbox löst dieses Problem nicht, sie begrenzt nur den Schaden. Der Angreifer landet in einem leeren Raum ohne Zugriff auf etwas Wertvolles. Fachleute nennen dieses Prinzip Schadensbegrenzung durch Isolation, ähnlich wie Brandschutztüren ein Feuer auf einen Gebäudeteil beschränken.

Die doppelte Mauer aus Container und Mikro-VM

Grundlage ist Kubernetes, ein weit verbreitetes System zum Verwalten vieler kleiner Programmpakete auf vielen Servern. Google betreibt es als fertigen Dienst unter dem Namen Google Kubernetes Engine, kurz GKE. Die einzelnen Pakete heißen Container. Ein Container teilt sich normalerweise den Betriebssystemkern mit allen anderen Containern auf demselben Rechner. Findet ein Angreifer dort eine Lücke, steht ihm der ganze Server offen.

Die Agent Sandbox setzt deshalb eine zweite Mauer davor. Jeder Container bekommt eine eigene, sehr kleine virtuelle Maschine mit eigenem Betriebssystemkern. Solche Mikro-VMs starten in Bruchteilen einer Sekunde, nicht in Minuten wie klassische virtuelle Server. Technisch stecken dahinter Bausteine wie gVisor und Kata Containers, die Google frei verfügbar gemacht hat.

Wichtig ist auch die Lebensdauer. Eine Sandbox existiert oft nur für eine einzige Aufgabe und wird danach gelöscht. Alles, was der Code hinterlassen hat, verschwindet damit. Zusätzlich lässt sich festlegen, wie viel Rechenzeit und Arbeitsspeicher er verbrauchen darf. Eine Endlosschleife legt so nicht den Server lahm, sondern nur ihre eigene Sandbox.

Wer so etwas einsetzt und was es kostet

Direkt begegnest du dem Dienst kaum, denn er läuft im Hintergrund bei Unternehmen. Indirekt nutzt du ihn aber, sobald ein KI-Assistent Code für dich ausführt. Wenn ein Chatbot eine hochgeladene Tabelle auswertet und ein Diagramm zurückschickt, ist irgendwo eine Sandbox im Spiel. Auch Werkzeuge, die selbstständig Software schreiben und testen, brauchen solche Umgebungen.

In Wirtschaftsnachrichten taucht das Thema seit 2025 häufiger auf. Google, Amazon und Microsoft konkurrieren um die Firmen, die KI-Agenten produktiv einsetzen wollen. Agenten sind KI-Programme, die eigenständig mehrere Arbeitsschritte hintereinander erledigen. Wer die sicherste und günstigste Ausführungsumgebung anbietet, bindet diese Kunden langfristig an seine Cloud.

Ein verbreiteter Irrtum ist, eine Sandbox mache die KI selbst sicherer. Das tut sie nicht. Das Modell kann weiterhin Unsinn produzieren oder sich täuschen lassen. Die Sandbox sorgt nur dafür, dass dieser Unsinn folgenlos bleibt. Zusätzliche Isolation kostet außerdem etwas Rechenleistung, weshalb Betreiber zwischen Sicherheit und Kosten abwägen.