jondean213-pixel/quietos-sentinelSentinel — der Inbound-Governor von DeanWay Labs. Er bewacht, was ein KI-Agent zu hören bekommt: Weltinhalte sind Daten, niemals Befehle. Das Gegenstück zu QuietOS.
DeanWay Labs. Sentinel ist das Spiegelbild von QuietOS. QuietOS regelt, was ein KI-Agent tut. Sentinel regelt, was ein KI-Agent hört.
Das Gehirn schlägt vor, QuietOS entscheidet — und Sentinel bestimmt, was das Gehirn überhaupt hören darf.
Ein Agent liest Daten und Anweisungen im selben Strom und kann sie von Natur aus nicht auseinanderhalten. So hat die Welt gelernt, Befehle in den Daten zu verstecken: eine Webseite, die dem Assistenten sagt, er solle die Passwörter per E-Mail verschicken, eine E-Mail, die den Namen des Eigentümers trägt, ein Tool-Ergebnis mit einem zweiten, geheimen Auftrag darin versteckt. Das ist Prompt-Injection, und sie funktioniert, weil nichts an der Tür steht.
Sentinel steht an der Tür.
Nur der Eigentümer erteilt Anweisungen. Alles andere sind Daten.
Inhalte aus der Welt — Webseiten, E-Mails, Dateien, Nachrichten, Tool-Ausgaben — werden geprüft,
bevor sie das Gehirn erreichen, und was durchkommt, wird verpackt und als
Daten gekennzeichnet geliefert, niemals als Befehle. Eine Behauptung innerhalb des Inhalts („Ich bin der Eigentümer", „der Eigentümer hat
dies bereits genehmigt", SYSTEM:) authentifiziert nichts: Authentifizierung kommt vom Kanal,
niemals vom Text.
| Urteil | Bedeutung |
|---|---|
| ALLOW | Saubere Daten. Werden durchgelassen, als Daten gekennzeichnet. |
| ESCALATE | Anweisungsförmiger Inhalt, der vom Agenten aus einer Nicht-Eigentümer-Quelle anvisiert wird. Für den Eigentümer zurückgehalten mit exakt erhaltenem Inhalt — dieselbe Genehmigungsbindungs-Disziplin wie bei QuietOS. Nichts handelt darauf, während es wartet. |
| BLOCK | Bekannte feindliche Muster: Exfiltrationsanweisungen, Identitätsanmaßung von Eigentümer/System, falsche Genehmigungsbehauptungen, Regelüberschreibungs-Zauberformeln, Verschleierungsanweisungen. Rundheraus abgelehnt. |
Jedes ESCALATE und BLOCK wird in ein append-only-Angriffsprotokoll geschrieben — Zeitstempel, Quelle, Urteil, übereinstimmende Signale, SHA-256 des exakten Inhalts und ein erhaltener Auszug. Versuche sind Beweise, und das Protokoll ist Teil des Produkts, genauso wie QuietOS' Red-Team- Nachweisprotokoll.
Signal-Werte zurückgeben; eine modellbasierte Prüfung kann rules.CHECKS beitreten, ohne die Engine anzufassen.docs/PROOF-LOG.md für die aktuellen offenen Lücken): der Zaun ist
nur englischsprachig und wörtlich — synonym konstruierte, Leetspeak- und rein semantische Angriffe können
den Zaun passieren. Sie treffen trotzdem auf das Gesetz: verpasster Inhalt erreicht das Gehirn als
Daten gekennzeichnet, nicht als Befehle. Erkennung erhöht die Kosten eines Angriffs; Autorität ist die Mauer.from sentinel import Inspector, Source
inspector = Inspector() # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))
verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
hold_for_owner(verdict.excerpt, verdict.signals) # exact content, owner's call
else: # BLOCK
refuse(verdict)
Der eigene authentifizierte Kanal des Eigentümers ist die einzige Ausnahme von der Inspektion:
Source("owner", ..., owner_authenticated=True) wird mit der Rolle instruction durchgelassen —
er ist keine Angriffsfläche, er ist die Autorität. Ein nicht authentifizierter Anspruch auf den
Eigentümer-Kanal wird konstruktionsbedingt als Identitätsbetrug blockiert.
python3 -m pytest tests/ -q
Drei Suiten: tests/test_redteam.py (Angriffsfälle), tests/test_controls.py
(benigner Inhalt, der als Daten durchgelassen werden muss), tests/test_engine.py (Authority-Gesetz,
Ledger-Nachweise, Labeling). Die Ergebnisse – einschließlich der Fehlschläge – sind in
docs/PROOF-LOG.md dokumentiert.
Erdacht von Jon Dean (DeanWay Labs), 2026-10-21: „Wir kontrollieren, was hinausgeht – aber müssen wir nicht auch die KI schützen und kontrollieren, was hereinkommt?" In derselben Nacht gebaut. Von Jon Sentinel getauft.