Securekit
Securekit schützt, was Ihre Modelle ausführen – in jedem KI-System.
Securekit ist ein protokollunabhängiger Sicherheitskernel für die KI-Werkzeugausführung.
Er sitzt zwischen jedem LLM- oder Agentensystem und den von ihnen verwendeten Werkzeugen und setzt Zero-Trust-Ausführung, Sandbox-Isolation und richtlinienbasierte Steuerung durch.
Er ist als Drop-in, modular und erweiterbar konzipiert und funktioniert mit MCP, OpenAI-Tool-Aufrufen und benutzerdefinierten Agenten-Frameworks.
🧠 Warum Securekit existiert
Moderne KI-Systeme erzeugen nicht mehr nur Text – sie führen Aktionen aus:
- Lesen und Schreiben von Dateien
- Aufrufen externer APIs
- Ausführen von Code
- Auslösen von Workflows
- Interagieren mit Systemen und Netzwerken
Dies birgt ein kritisches Risiko:
Jeder Tool-Aufruf ist eine potenzielle Angriffsfläche.
Securekit führt eine universelle Ausführungssicherheitsebene ein, die Kontrolle durchsetzt, bevor eine Aktion ausgeführt wird.
🧱 Architekturübersicht
LLM / Agentensystem
↓
Protokoll-Adapter-Ebene
(MCP / OpenAI / Benutzerdefiniert / Zukünftige Protokolle)
↓
Securekit-Kern
- Richtlinien-Engine
- Fähigkeitssystem
- Prompt-Firewall
- Risikobewertungs-Engine
- Absichts-Klassifikator
- Datenfluss-Firewall
- Audit & Belege
↓
Sandbox-Orchestrator
(gVisor / Firecracker / Docker / WASM)
↓
Kontrollierte Ausführungsebene
(Dateisystem / Netzwerk / Systemgrenzen)
⚙️ Vollständige Funktionsliste
🔌 Protokollunabhängiges Design
- Funktioniert mit jedem KI-System oder Agenten-Framework
- MCP-kompatible Adapter-Ebene
- Unterstützung für OpenAI-Tool-/Funktionsaufrufe
- Benutzerdefinierte Protokoll-Adapter-Schnittstelle
- Zukunftssichere Protokoll-Abstraktionsebene
🛡️ Zero-Trust-Richtlinien-Engine
- Jeder Tool-Aufruf wird vor der Ausführung validiert
- Deklarative Richtlinienregeln
- Mehrschichtige Richtlinienvererbung (global, Organisation, Projekt, Sitzung)
- Default-Deny-Sicherheitsmodell
🧩 Fähigkeitssystem
- Zeitgebundene Berechtigungen (TTL-basierter Zugriff)
- Eingeschränkte Tool-Fähigkeiten
- Widerrufbare Ausführungsrechte
- Fein granulare Tool-Zugriffskontrolle
🧠 Prompt-Injection-Firewall
- Erkennt Versuche zur Befehlsüberschreibung
- Neutralisiert versteckte oder bösartige Befehle in Tool-Ausgaben
- Schützt vor indirekten Prompt-Injection-Ketten
- Bereinigt nicht vertrauenswürdige, modellgenerierte Inhalte
🌐 Datenfluss-Firewall
- Kontrolliert, wie Daten zwischen Tools fließen
- Verhindert unsicheres Verketten von Ausgaben
- Blockiert Exfiltrationsmuster zwischen Tools
- Setzt risikobasierte Datenrouting-Regeln durch
🧪 Ausführungssimulations-Engine
- Simuliert die Tool-Ausführung vor dem tatsächlichen Lauf
- Sagt Richtlinienverstöße voraus
- Verhindert unsichere Aktionen vor der Ausführung
- Dry-Run-Modus für risikoreiche Operationen
📊 Vertrauens- & Reputationssystem
- Dynamische Vertrauensbewertung pro Tool
- Verhaltensanalyse über die Zeit
- Automatische Risikodegradation für verdächtige Tools
- Adaptive, vertrauensbasierte Ausführungsbeschränkungen
🧯 Kill-Switch & Containment-Modus
- Sofortiger Ausführungsstopp bei Anomalieerkennung
- Sitzungsisolationsmodus
- Automatischer Privilegienentzug
- Fallback-Ausführung im sicheren Zustand
🧾 Ausführungsbelege (Audit-System)
- Kryptografisch nachvollziehbare Ausführungsprotokolle
- Eingabe-/Ausgabe-Hashing
- Verfolgung von Richtlinienentscheidungen
- Sandbox-Ausführungsmetadaten
- Vollständige forensische Nachvollziehbarkeit
🔐 Sandbox-Ausführungsebene
- gVisor-Sandbox-Unterstützung (Standard)
- Firecracker-VM-Isolation (Hochsicherheitsmodus)
- Docker-Container-Ausführung (Kompatibilitätsmodus)
- WASM-Laufzeitunterstützung (leichtgewichtige Ausführung)
- Vollständig isolierte Dateisystem- und Netzwerkumgebungen
🧭 Absichts-Klassifikationssystem
- Klassifiziert die Absicht der Tool-Nutzung:
- Datenabruf
- Systemänderung
- Externe Kommunikation
- unbekanntes Verhalten
- Richtliniendurchsetzung basierend auf dem Absichtstyp
Modul des Absichts-Klassifikationssystems
Ermöglichen Sie intelligente, absichtsbewusste Sicherheit durch koordinierte Multi-Agenten-Analyse, die bewertet, warum ein Tool aufgerufen wird, bevor es ausgeführt wird. Anstatt sich ausschließlich auf Tool-Namen oder angeforderte Aktionen zu verlassen, arbeiten spezialisierte Agenten zusammen, um die Ausführungsabsicht zu klassifizieren, Risiken zu bewerten und Sicherheitsrichtlinien basierend auf dem beabsichtigten Ergebnis durchzusetzen.
Funktionen
- Multi-Agenten-Absichtsklassifikation
- Erkennung von Datenabrufen
- Erkennung von Systemänderungen
- Erkennung externer Kommunikation
- Erkennung unbekannten oder mehrdeutigen Verhaltens
- Absichts-Konfidenzbewertung
- Kontextbewusste Absichtsanalyse
- Konsensvalidierung zwischen Agenten
- Richtliniendurchsetzung basierend auf klassifizierter Absicht
- Absichtsspezifische Fähigkeitsüberprüfung
- Automatische Eskalation bei unsicherer Absicht
- Absichts-Anomalieerkennung
- Historischer Absichtsvergleich
- Absichts-Auditprotokollierung
- Konfigurierbare Absichts-Taxonomien
- Benutzerdefinierte Absichtsklassifikations-Plugins
- Multi-Label-Absichtsunterstützung
- Absichtskonfliktlösung
- Adaptive Lern-Hooks für zukünftige Klassifikatoren
- Echtzeit-Absichtsüberwachung
- Erklärbare Klassifikationsentscheidungen
- Integration mit Richtlinien-Engine und Sandbox-Kontrollen
Multi-Agenten-Workflow
-
Anfrageanalyse-Agent
- Analysiert die eingehende Tool-Anfrage.
- Extrahiert kontextuelle Metadaten und Ausführungsziele.
-
Absichtsklassifikations-Agent
- Bestimmt die wahrscheinlichste Ausführungsabsicht.
- Weist Konfidenzwerte für eine oder mehrere Absichtskategorien zu.
-
Kontextvalidierungs-Agent
- Überprüft den Gesprächsverlauf, den Workflow-Zustand und frühere Aktionen.
- Erkennt Inkonsistenzen oder verdächtigen Kontext.
-
Risikobewertungs-Agent
- Bewertet die Sicherheitsimplikationen der klassifizierten Absicht.
- Identifiziert risikoreiches oder unerwartetes Verhalten.
-
Richtliniendurchsetzungs-Agent
- Wendet absichtsspezifische Sicherheitsrichtlinien an.
- Validiert Berechtigungen, Fähigkeiten und Ausführungsbeschränkungen.
-
Konsens-Agent
- Löst Meinungsverschiedenheiten zwischen Klassifikations- und Validierungsagenten auf.
- Erzeugt eine endgültige verifizierte Absichtsentscheidung.
-
Audit-Agent
- Zeichnet Klassifikationsergebnisse, Konfidenzniveaus, Richtlinienentscheidungen und Ausführungsergebnisse für die forensische Analyse auf.
Unterstützte Absichtskategorien
- Datenabruf
- Systemänderung
- Externe Kommunikation
- Unbekanntes Verhalten
- Benutzerdefinierte, vom Administrator definierte Absichten
Vorteile
- Verhindert Ausführung, die ausschließlich auf modellgenerierten Annahmen basiert
- Erkennt bösartige oder unerwartete Verhaltensmuster
- Verbessert die Zero-Trust-Entscheidungsfindung
- Reduziert die Auswirkungen von Prompt-Injection-Angriffen
- Ermöglicht granulare Richtliniendurchsetzung
- Bietet erklärbare Sicherheitsentscheidungen
- Verbessert Auditierbarkeit und Compliance
- Unterstützt protokollunabhängige KI-Sicherheit in jedem LLM- oder Agenten-Framework
🌍 Netzwerksicherheitskontrollen
- Standardmäßig verweigerter ausgehender Netzwerkzugriff
- Domain-/IP-Allowlisting
- Toolspezifische Netzwerkrichtlinien
- Optionale Anfrageebenen-Inspektion
- Exfiltrationserkennungs-Heuristiken
🔁 Protokollübergreifende Übersetzungsebene
- MCP ↔ OpenAI-Tool-Interoperabilität
- Einheitliches Ausführungsmodell über Frameworks hinweg
- Adapterbasierte Protokollkonvertierung
- Eingebaute Kompatibilität für zukünftige Protokolle
🧩 Plugin-Architektur
- Erweiterbare Sicherheits-Pipeline
- Benutzerdefinierte Firewall-Module
- Risikobewertungs-Plugins
- Compliance- und Governance-Module
- Domänenspezifische Sicherheitserweiterungen
🔁 Ausführungssimulation & Vorschaumodus
- Vorausführungsanalyse aller Tool-Aufrufe
- Vorschau der Richtlinienauswirkungen
- Sichere Bewertung risikoreicher Operationen
🔐 Kryptografische Richtliniensignierung
- Signierte Richtliniendurchsetzung
- Manipulationssichere Konfigurationsvalidierung
- Sichere Richtlinienverteilung für Teams und Unternehmen
📈 Observability-Dashboard (geplant)
- Tool-Ausführungsdiagramme
- Verfolgung von Richtlinienentscheidungen
- Sandbox-Aktivitätsüberwachung
- Risiko-Heatmaps
- Sicherheitsereignis-Zeitachse
🧩 Design-Philosophie
Kein KI-System sollte direkt ausführen, zugreifen oder kommunizieren, ohne einen verifizierbaren Sicherheitskernel zu durchlaufen.
Securekit setzt durch:
- Kein implizites Vertrauen
- Kontrollierte Ausführungsgrenzen
- Vollständige Auditierbarkeit aller Tool-Aktionen
- Protokollunabhängigkeit (MCP, OpenAI, benutzerdefinierte Agenten, zukünftige Systeme)
- Erweiterbare, pluginbasierte Sicherheitsarchitektur
Das System ist als Sicherheitssubstrat für agentische KI konzipiert, nicht als Anwendungs-Wrapper.
🚀 Installation (bald verfügbar)
Securekit befindet sich derzeit in der frühen Designphase.
Referenzimplementierungen werden bereitgestellt für:
- Python-SDK
- Node-SDK
- Rust-Core-Laufzeit
- CLI-Tooling
- Docker-Bereitstellung
- Kubernetes-Sidecar-Modus
🤝 Mitwirken
Beiträge sind willkommen.
Bitte stellen Sie sicher, dass alle Beiträge:
- AGPL-3.0+ entsprechen
- die Zero-Trust-Ausführungsprinzipien von Securekit wahren
- die Adapter- und Plugin-Schnittstellenstandards einhalten
- Sandbox- oder Richtliniendurchsetzungsebenen nicht umgehen
Specification Branding License (SBL)
Standard
- Vollständig AGPL-3.0+-konformes System
- Copyleft für Netzwerkbereitstellungen durchgesetzt
- Erforderliche Namensnennung:
Optional
- Specification Branding License (SBL)
📜 Lizenz- & Hinweisanforderungen
Securekit wird unter der GNU Affero General Public License v3.0 oder später (AGPL-3.0+) veröffentlicht.
Durch Ihren Beitrag zu diesem Projekt stimmen Sie zu, dass Ihre Beiträge ebenfalls unter dieser Lizenz veröffentlicht werden.
Bitte beachten Sie Folgendes:
- Alle Beiträge müssen den AGPL-3.0+-Bedingungen entsprechen.
- Gemäß Abschnitt 7 der Lizenz müssen alle Weiterverbreitungen, Forks und abgeleiteten Werke die Namensnennung bewahren an:
Roxanne Ardary und roxanneardary.com.
- Securekit-Spezifikationen sind mit Namensnennung frei nutzbar. Eine Specification Branding License kann auf Anfrage verhandelt werden.
- Die Datei notice.md des Projekts verfolgt Namensnennungsanforderungen und Danksagungen an Mitwirkende.
Jedes Update, das neue Mitwirkende hinzufügt oder die Namensnennung ändert, sollte auch notice.md aktualisieren.
- Stellen Sie beim Einreichen eines Pull Requests sicher, dass neue Dateien die Namensnennungs-Header wo anwendbar beibehalten.
- Netzwerkbereitgestellte Versionen dieser Software müssen ebenfalls vollständig AGPL-3.0+-konform bleiben, einschließlich der Offenlegung von Quellcode-Änderungen, wo dies unter der Lizenz anwendbar ist.
Für vollständige rechtliche Details lesen Sie bitte die AGPL-3.0+-Lizenz und die Datei notice.md des Projekts.
🛡️ Zusammenfassung
Securekit ist ein protokollunabhängiger Sicherheitskernel für die KI-Werkzeugausführung, der Folgendes bietet:
- Zero-Trust-Durchsetzung
- Sandbox-Isolierte Ausführungsumgebungen
- KI-bewusste Bedrohungserkennung
- Protokollübergreifende Kompatibilität
- Vollständige Ausführungsauditierbarkeit
Es fungiert als universelle Sicherheitsebene für agentische KI-Systeme und stellt sicher, dass kein Modell Tools ausführen kann, ohne eine verifizierbare Kontrollebene zu durchlaufen.
Open Arsenal Hub
https://gitlab.com/Roxanne_Ardary/open-arsenal-specs
