Vor AgentBox                        Nach AgentBox
─────────────────                  ──────────────
Agent → voller Festplattenzugriff ❌               Agent → nur erlaubte Pfade ✅
Agent → gesamtes Netzwerk ❌       Agent → nur erlaubte Hosts ✅
Agent → rohe Geheimnisse ❌        Agent → begrenzte Tokens ✅
Kein Prüfprotokoll ❌              Jede Aktion protokolliert ✅
Kein Notausschalter ❌             Abbruch in <100 ms ✅
Skills laufen als root ❌          Kernel-isolierte Sandbox ✅

# Installieren
go install github.com/siyad01/agentbox/cmd/agentbox@latest

# Ein Manifest vor der Ausführung validieren
agentbox validate manifests/email-sorter.yaml

# Einen Agenten in einer Sandbox ausführen
agentbox run --manifest manifests/email-sorter.yaml python agent.py

# Anzeigen, was der Agent getan hat
agentbox audit --log logs/email-sorter-audit.log

# Überprüfen, ob das Protokoll manipuliert wurde
agentbox verify logs/email-sorter-audit.log

# Geheimnisse verwalten
agentbox vault add ANTHROPIC_API_KEY
agentbox vault list

name: "email-sorter"
version: "1.0.0"
description: "Liest Posteingang, kategorisiert E-Mails, schreibt in sortierten Ordner"
runtime: docker        # oder: gvisor (Kernel-Ebene), firecracker (MicroVM)

permissions:
  filesystem:
    read:
      - "~/Documents/inbox"
    write:
      - "~/Documents/sorted"
    deny:                      # IMMER blockiert – selbst wenn in der Leseliste
      - "~/.ssh"
      - "~/.aws"
      - "~/.config"
      - "/etc"

  network:
    allow:
      - "api.anthropic.com"
      - "gmail.googleapis.com"
    deny:
      - "*"                    # alles andere blockieren

  tools:
    allow:
      - "read_file"
      - "write_file"
      - "list_*"
    deny:
      - "execute_shell"        # kein Shell-Zugriff, niemals
      - "*_delete"             # keine Löschwerkzeuge

  credentials:
    - ANTHROPIC_API_KEY        # zur Laufzeit aus dem Tresor injiziert
    - GMAIL_TOKEN              # Agent sieht niemals den rohen Wert

limits:
  max_tokens:    50000         # LLM-Token-Budget
  max_duration:  "30m"         # nach 30 Minuten beendet
  max_memory_mb: 256           # RAM-Obergrenze
  max_requests:  500           # maximale Tool-Aufrufe

audit:
  log_level: full
  alert_on:
    - filesystem_deny
    - network_deny
    - token_budget_80pct
  log_path: "logs/email-sorter-audit.log"

agentbox run --manifest agent.yaml python agent.py
         │
         ▼
┌─────────────────────────────────────────────────────┐
│                 Policy-Engine                        │
│  Analysiert Manifest → erstellt Erlauben/Verweigern-Listen │
│  Validiert Signaturen → lehnt unsignierte Skills ab  │
│  Injiziert Anmeldedaten aus dem Tresor               │
└──────────────────────┬──────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────┐
│              Isolationsschicht                       │
│                                                     │
│  Docker  → Container + seccomp + cap-drop           │
│  gVisor  → User-Space-Kernel, Syscall-Interception  │
│  Firecracker → dedizierter MicroVM-Kernel pro Agent │
│                                                     │
│  Dateisystem: nur deklarierte Pfade eingebunden     │
│  Netzwerk:    nur deklarierte Hosts erreichbar      │
│  Capabilities: ALLE entfernt, keine hinzugefügt     │
└──────────────────────┬──────────────────────────────┘
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
   Audit-Logger   Anmeldedaten-  Ressourcen-
   (Hash-Kette)     Tresor       Monitor
   jede Aktion   AES-256-GCM  Auto-Abbruch
   protokolliert begrenzte Tokens bei Limit

Agent versucht: write("/home/user/.ssh/id_rsa")
                    │
                    ▼
         gVisor User-Space-Kernel
                    │
         Pfad in Verweigerungsliste? → JA
                    │
                    ▼
         EPERM wird sofort zurückgegeben
         Host-Kernel sieht diesen Syscall nie
         Prompt-Injection kann diese Schicht nicht überqueren

agentbox <command> [options]

Befehle:
  run       Einen Agenten in einer Sandbox ausführen
  validate  Eine Manifestdatei validieren
  kill      Einen laufenden Agenten beenden
  audit     Agent-Prüfprotokolle anzeigen
  verify    Integrität des Prüfprotokolls überprüfen
  vault     Verschlüsselte Anmeldedaten verwalten
  serve     Den REST-API-Server starten
  version   Version anzeigen

Beispiele:
  agentbox validate manifests/email-sorter.yaml
  agentbox run --manifest manifests/email-sorter.yaml python agent.py
  agentbox kill agent-abc123
  agentbox audit --log logs/email-sorter.log --deny
  agentbox audit --log logs/email-sorter.log --last 1h
  agentbox verify logs/email-sorter.log
  agentbox vault add ANTHROPIC_API_KEY
  agentbox vault list
  agentbox vault delete OLD_KEY
  agentbox serve :8081

# Laufende Agenten auflisten
curl http://localhost:8081/api/agents

# Einen Agenten starten
curl -X POST http://localhost:8081/api/agents \
  -H "Content-Type: application/json" \
  -d '{"manifest":"manifests/email-sorter.yaml","command":["python","agent.py"]}'

# Einen Agenten beenden
curl -X DELETE http://localhost:8081/api/agents/abc123

# Prüfprotokoll abfragen
curl "http://localhost:8081/api/audit?deny=true&agent=email-sorter"

{"id":1,"hash":"a3f2...","prev_hash":"genesis","timestamp":"2026-05-05T09:00:00Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"agent_start","allowed":true,"resource":"manifests/email-sorter.yaml"}
{"id":2,"hash":"b7c1...","prev_hash":"a3f2...","timestamp":"2026-05-05T09:00:01Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"filesystem_allow","allowed":true,"resource":"read:/home/user/Documents/inbox/mail.txt","rule":"filesystem.read: ~/Documents/inbox"}
{"id":3,"hash":"d9e4...","prev_hash":"b7c1...","timestamp":"2026-05-05T09:00:01Z","agent_id":"abc123","agent_name":"email-sorter","event_type":"filesystem_deny","allowed":false,"resource":"read:/home/user/.ssh/id_rsa","rule":"filesystem.deny: ~/.ssh","reason":"path is explicitly denied"}

agentbox verify logs/email-sorter-audit.log

✅ Prüfprotokoll ist intakt
   Einträge: 47 (IDs 1–47)
   Hash-Kette: ununterbrochen

# Ein Geheimnis speichern (nie protokolliert, nie im Klartext in der Umgebung)
agentbox vault add ANTHROPIC_API_KEY

# Namen gespeicherter Anmeldedaten auflisten (Werte werden nie angezeigt)
agentbox vault list

# Überprüfen, ob eine Anmeldedaten entschlüsselt werden können
agentbox vault test ANTHROPIC_API_KEY

# Eine Anmeldedaten rotieren
agentbox vault add ANTHROPIC_API_KEY   # add aktualisiert vorhandene

# Dieser Agent ist mit max_duration: 5s konfiguriert
agentbox run --manifest manifests/timeout-test.yaml python long_running_agent.py

Agent gestartet
tick 1
tick 2
tick 3
tick 4
tick 5
🛑 Beende Agent timeout-test: Dauerlimit überschritten: 5s
⚠️  Agent timeout-test mit Code 137 in 5.2s beendet

# Klonen
git clone https://github.com/siyad01/agentbox
cd agentbox

# Bauen
go build -o agentbox ./cmd/agentbox/

# Tests ausführen (27 Tests, alle bestanden)
go test ./...

# Global installieren
go install ./cmd/agentbox/

agentbox/
├── cmd/agentbox/main.go          ← CLI-Einstiegspunkt
├── internal/
│   ├── policy/
│   │   ├── manifest.go           ← YAML-Manifest-Schema
│   │   ├── parser.go             ← Validierung + Standardwerte
│   │   └── engine.go             ← Deny-first-Entscheidungsengine (20 Tests)
│   ├── audit/
│   │   ├── logger.go             ← append-only SHA-256-hash-verkettetes Protokoll
│   │   ├── verifier.go           ← Manipulationserkennung
│   │   └── reader.go             ← Abfrage + Filter
│   ├── vault/
│   │   ├── store.go              ← AES-256-GCM-verschlüsselter Anmeldedaten-Speicher
│   │   └── injector.go           ← Laufzeit-Injektion (7 Tests)
│   ├── sandbox/
│   │   ├── sandbox.go            ← Sandbox-Schnittstelle
│   │   ├── docker.go             ← Docker-Backend
│   │   ├── gvisor.go             ← gVisor-Backend (Kernel-Ebene)
│   │   ├── manager.go            ← Agent-Lebenszyklusverwaltung
│   │   └── util.go               ← WSL2-Erkennung, Pfad-Hilfsfunktionen
│   ├── monitor/
│   │   └── enforcer.go           ← Ressourcenlimits + Auto-Abbruch
│   └── api/
│       └── server.go             ← REST-API auf :8081
└── manifests/
    ├── email-sorter.yaml         ← Produktionsbeispiel
    └── timeout-test.yaml         ← Beispiel für Limit-Durchsetzung