Wardgate – Sicherheitsgateway für KI-Agenten

Wardgate ist ein Sicherheitsgateway, das zwischen KI-Agenten und der Außenwelt sitzt – es isoliert Anmeldedaten für API-Aufrufe, isoliert SSH-Schlüssel für die remote Befehlsausführung und steuert die Befehlsausführung in entfernten Umgebungen (Conclaves).

Gib deinen KI-Agenten Zugriff auf APIs, SSH-Schlüssel und Shell-Werkzeuge – ohne ihnen deine Anmeldedaten zu geben oder ihnen die direkte Ausführung anzuvertrauen.

Das Problem

KI-Agenten sind mächtig. Sie können deinen Kalender verwalten, deine E-Mails überprüfen, deine Aufgaben aktualisieren, Code schreiben und dein Leben automatisieren. Aber um das zu tun, brauchen sie Zugriff auf deine Konten und deine Systeme.

Sie sind außerdem wie ein superschlauer Teenager. Sie wissen viel, aber sie haben einen eigenen Kopf. Sie sind leichtgläubig (gegenüber Prompt-Injection). Und genau wie Teenager denken sie nicht wirklich nach. Über Konsequenzen nachzudenken, liegt definitiv über ihrem Horizont!

Das API-Problem. Containerisierung ist eine großartige Möglichkeit, deine Agenten zu isolieren. Aber sie ist kein Allheilmittel. Die Agenten bekommen deine Anmeldedaten trotzdem über Umgebungsvariablen oder auf andere Weise – sonst könnten sie dir nicht helfen. Und Projekte wie OpenClaw haben integrierte Zugriffskontrollfunktionen, aber du musst dem Agenten, der Anwendung oder allen tausenden Commits vertrauen, dass er seine eigenen Berechtigungen nicht ändert.

Das Ausführungsproblem. KI-Agenten rufen nicht nur APIs auf – sie führen Shell-Befehle aus. Die direkte Ausführung von Befehlen auf dem Rechner des Agenten ist gefährlich: Prompt-Injection kann zu rm -rf /, Datenerfassung per curl oder Schlimmerem führen. Selbst mit Sandboxing hat der Agent-Rechner Zugriff auf alles in seinem Dateisystem.

Das Risiko ist real:

• Anmeldedaten in Prompts können durch Modellausgaben, Logs oder Angriffe durchsickern
• Prompt-Injection kann Agenten dazu bringen, Dinge zu tun, die du nicht beabsichtigt hast
• Ein kompromittierter Agent hat den gleichen Zugriff, den du ihm gegeben hast – auf alles
• Shell-Befehle, die auf dem Agent-Rechner ausgeführt werden, haben vollen Dateisystemzugriff

Die Lösung

Wardgate bietet zwei sich ergänzende Sicherheitsschichten:

API-Gateway – Agenten kommunizieren mit Wardgate. Wardgate kommuniziert mit APIs, SSH-, IMAP- oder SMTP-Servern. Deine Anmeldedaten verlassen Wardgate nie.

Conclaves – Isolierte remote Ausführungsumgebungen. Agenten senden Befehle durch Wardgate, das die Richtlinien prüft, bevor es an einen isolierten Container weiterleitet. Der Agent-Rechner hat keinen direkten Zugriff auf Conclave-Daten oder -Binärdateien.

flowchart LR
    subgraph apiFlow [API Gateway]
        Agent1[AI Agent] -->|HTTP| WG1[Wardgate]
        WG1 -->|"credentials injected"| Service[External API]
    end

    subgraph conclaveFlow [Conclaves]
        Agent2[AI Agent] -->|wardgate-cli exec| WG3[Wardgate]
        WG3 -->|"policy checked"| Exec[wardgate-exec]
    end

Funktionen

API-Gateway

• Isolierung von Anmeldedaten – Agenten sehen niemals deine API-Schlüssel, OAuth-Token oder Passwörter
• Zugriffskontrolle – Lege fest, was jeder Agent tun kann: Kalender schreibgeschützt, keine E-Mail-Löschung, Nachfragen vor dem Senden
• Voreinstellungen – Vorkonfigurierte Einstellungen für populäre APIs (Todoist, GitHub, Cloudflare, Google Calendar, Postmark, Sentry, IMAP, SMTP und mehr)
• Protokolladapter – HTTP/REST-Durchleitung, SSH, IMAP und SMTP mit REST-Wrappern
• Filterung sensibler Daten – Automatisches Blockieren oder Schwärzen von OTP-Codes, Bestätigungslinks und API-Schlüsseln in Antworten, einschließlich SSE-Streams (filtern pro Nachricht für LLM-APIs)
• Dynamische Upstreams – Agenten wählen Ziele pro Anfrage aus einer validierten Erlaubnisliste mit Glob-Mustern (z. B. https://*.googleapis.com)

Conclaves (Remote-Ausführung)

• Datenisolierung – Jedes Conclave hat nur Zugriff auf seine eigenen Daten (z. B. ein Notiz-Archiv, ein Code-Repository)
• Werkzeugisolierung – Jedes Conclave hat nur die Binärdateien, die es benötigt (z. B. rg, git, cat)
• Netzwerkisolierung – Conclaves verbinden sich nur ausgehend zu Wardgate; keine eingehenden Ports
• Pipeline-Parsing – Pipes und Chains werden analysiert; jeder Befehl wird einzeln bewertet
• Befehlsrichtlinie – Pro-Conclave-Regeln mit Erlauben/Verbieten/Nachfragen, Argumentmuster-Vergleich und Arbeitsverzeichniseinschränkungen

Übergreifend

• Prüfprotokollierung – Jede Anfrage und jeder Befehl wird protokolliert – du weißt genau, was deine Agenten getan haben
• Genehmigungsworkflows – Fordere menschliche Genehmigung für sensible Vorgänge an (E-Mail senden, Daten löschen, git push)
• Anomalieerkennung – Warnungen bei ungewöhnlichen Mustern (plötzlich 100 E-Mails abrufen oder Dinge aus der Vergangenheit?)
• Admin-UI und CLI – Web-Dashboard und CLI zur Verwaltung von Genehmigungen, zum Anzeigen von Logs und zur Überwachung der Aktivitäten
• wardgate-cli – Eingeschränkter HTTP-Client und Conclave-Exec-Werkzeug für Agenten; ersetzt curl und verhindert Verbindungen zu beliebigen URLs
• wardgate-proxy – Lokaler Reverse-Proxy für Agenten, die ihre eigenen HTTP-Clients verwenden; fügt den Agentenschlüssel transparent ein

Für wen ist das geeignet?

Du möchtest KI-Agenten wie OpenClaw, AutoGPT oder benutzerdefinierte LLM-Werkzeuge nutzen – aber du fühlst dich nicht wohl dabei, ihnen direkten Zugriff auf dein Leben zu geben. Ich bin mir nicht sicher, ob ich mich jemals wohlfühlen werde mit KI-Agenten, die eingebaute Zugriffskontrolle haben.

Wardgate ermöglicht es dir, die Vorteile der KI-Automation zu nutzen, während eine Sicherheitsgrenze zwischen dem Agenten und deinen Konten erhalten bleibt.

Anwendungsfälle:

• Persönlicher KI-Assistent mit Kalender-, E-Mail- und Aufgaben-Zugriff
• Entwicklungsagenten mit eingeschränktem API- und Git-Zugriff
• Agenten, die in isolierten Umgebungen nach Dateien suchen oder sie bearbeiten müssen (Notizen, Code-Repositorys)
• Multi-Agenten-Setups, bei denen Isolierung zwischen Agenten gewünscht ist
• Überall dort, wo du sonst Anmeldedaten in die Konfiguration eines Agenten einfügen würdest

Kurzbeispiele

API-Gateway (HTTPS)

Anstatt deinem Agenten einen Todoist-API-Schlüssel zu geben, konfiguriere Wardgate mit einer Voreinstellung:

endpoints:
  todoist:
    preset: todoist
    auth:
      credential_env: WARDGATE_CRED_TODOIST_API_KEY
    capabilities:
      read_data: allow       # Aufgaben, Projekte lesen
      create_tasks: allow    # Neue Aufgaben erstellen
      close_tasks: allow     # Aufgaben als erledigt markieren
      delete_tasks: deny     # Niemals löschen

Dein Agent ruft https://wardgate.internal/todoist/tasks auf – Wardgate fügt die echten Anmeldedaten ein und setzt deine Regeln durch.

API-Gateway (SSH)

Anstatt deinem Agenten einen SSH-Schlüssel zu geben, konfiguriere Wardgate mit einer Voreinstellung:

endpoints:
  ssh:
    preset: ssh
    ssh:
      host: prod.example.com
      username: deploy
      known_host: "prod.example.com ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA..."
    auth:
      credential_env: WARDGATE_SSH_KEY_PROD
    capabilities:
      exec_commands: ask  # Genehmigung für jeden Befehl erforderlich

Conclave

Anstatt deinem Agenten zu erlauben, Befehle auf dem Rechner auszuführen, konfiguriere ein Conclave:

conclaves:
  obsidian:
    description: "Obsidian-Archiv (persönliche Notizen)"
    key_env: WARDGATE_CONCLAVE_OBSIDIAN_KEY
    cwd: /data/vault
    rules:
      - match: { command: "cat" }
        action: allow
      - match: { command: "rg" }
        action: allow
      - match: { command: "tee" }
        action: ask          # Menschliche Genehmigung erforderlich
      - match: { command: "*" }
        action: deny

Dein Agent führt wardgate-cli exec obsidian "rg 'meeting notes' ." aus – Wardgate prüft jeden Befehl gegen die Richtlinie, bevor er an die isolierte Umgebung weitergeleitet wird.

Schnellstart

cp .env.example .env           # Füge deine Anmeldedaten hinzu
cp config.yaml.example config.yaml  # Konfiguriere Endpunkte und Conclaves

./wardgate -config config.yaml

Siehe INSTALL.md für alle Installationsmethoden (vorgebaute Binärdateien, Docker, aus dem Quellcode bauen).

Dokumentation

• Installation – Vorgebaute Binärdateien, Docker, aus dem Quellcode bauen
• Sicherheitsarchitektur – Wie Wardgate deine Anmeldedaten schützt
• Richtliniensystem – Regeln schreiben und konfigurieren
• Voreinstellungs-Referenz – Integrierte Voreinstellungen und Fähigkeiten
• Konfigurationsreferenz – Alle Konfigurationsoptionen
• Conclaves – Isolierte Remote-Ausführungsumgebungen
• wardgate-cli – Eingeschränkter HTTP-Client und Conclave-Exec für Agenten
• wardgate-proxy – Lokaler Reverse-Proxy für Agenten mit eigenen HTTP-Clients
• wardgate-cli KI-Fähigkeit – Fähigkeitsdatei, um KI-Agenten die Nutzung von wardgate-cli beizubringen
• Bereitstellungsleitfaden – Docker, Caddy und Produktionseinrichtung

Testen

go test ./...