Securekit

# Securekit

**Securekit schützt, was Ihre Modelle ausführen – in jedem KI-System.**

Securekit ist ein **protokollunabhängiger Sicherheitskernel für die KI-Werkzeugausführung**.  
Er sitzt zwischen jedem LLM- oder Agentensystem und den von ihnen verwendeten Werkzeugen und setzt **Zero-Trust-Ausführung, Sandbox-Isolation und richtlinienbasierte Steuerung** durch.

Er ist als **Drop-in, modular und erweiterbar** konzipiert und funktioniert mit MCP, OpenAI-Tool-Aufrufen und benutzerdefinierten Agenten-Frameworks.

---

# 🧠 Warum Securekit existiert

Moderne KI-Systeme erzeugen nicht mehr nur Text – sie führen Aktionen aus:

- Lesen und Schreiben von Dateien  
- Aufrufen externer APIs  
- Ausführen von Code  
- Auslösen von Workflows  
- Interagieren mit Systemen und Netzwerken  

Dies birgt ein kritisches Risiko:

> Jeder Tool-Aufruf ist eine potenzielle Angriffsfläche.

Securekit führt eine **universelle Ausführungssicherheitsebene** ein, die Kontrolle durchsetzt, bevor eine Aktion ausgeführt wird.

---

# 🧱 Architekturübersicht

```text
LLM / Agentensystem
        ↓
Protokoll-Adapter-Ebene
(MCP / OpenAI / Benutzerdefiniert / Zukünftige Protokolle)
        ↓
Securekit-Kern
- Richtlinien-Engine
- Fähigkeitssystem
- Prompt-Firewall
- Risikobewertungs-Engine
- Absichts-Klassifikator
- Datenfluss-Firewall
- Audit & Belege
        ↓
Sandbox-Orchestrator
(gVisor / Firecracker / Docker / WASM)
        ↓
Kontrollierte Ausführungsebene
(Dateisystem / Netzwerk / Systemgrenzen)
```
# ⚙️ Vollständige Funktionsliste

## 🔌 Protokollunabhängiges Design
- Funktioniert mit jedem KI-System oder Agenten-Framework
- MCP-kompatible Adapter-Ebene
- Unterstützung für OpenAI-Tool-/Funktionsaufrufe
- Benutzerdefinierte Protokoll-Adapter-Schnittstelle
- Zukunftssichere Protokoll-Abstraktionsebene

---

## 🛡️ Zero-Trust-Richtlinien-Engine
- Jeder Tool-Aufruf wird vor der Ausführung validiert
- Deklarative Richtlinienregeln
- Mehrschichtige Richtlinienvererbung (global, Organisation, Projekt, Sitzung)
- Default-Deny-Sicherheitsmodell

---

## 🧩 Fähigkeitssystem
- Zeitgebundene Berechtigungen (TTL-basierter Zugriff)
- Eingeschränkte Tool-Fähigkeiten
- Widerrufbare Ausführungsrechte
- Fein granulare Tool-Zugriffskontrolle

---

## 🧠 Prompt-Injection-Firewall
- Erkennt Versuche zur Befehlsüberschreibung
- Neutralisiert versteckte oder bösartige Befehle in Tool-Ausgaben
- Schützt vor indirekten Prompt-Injection-Ketten
- Bereinigt nicht vertrauenswürdige, modellgenerierte Inhalte

---

## 🌐 Datenfluss-Firewall
- Kontrolliert, wie Daten zwischen Tools fließen
- Verhindert unsicheres Verketten von Ausgaben
- Blockiert Exfiltrationsmuster zwischen Tools
- Setzt risikobasierte Datenrouting-Regeln durch

---

## 🧪 Ausführungssimulations-Engine
- Simuliert die Tool-Ausführung vor dem tatsächlichen Lauf
- Sagt Richtlinienverstöße voraus
- Verhindert unsichere Aktionen vor der Ausführung
- Dry-Run-Modus für risikoreiche Operationen

---

## 📊 Vertrauens- & Reputationssystem
- Dynamische Vertrauensbewertung pro Tool
- Verhaltensanalyse über die Zeit
- Automatische Risikodegradation für verdächtige Tools
- Adaptive, vertrauensbasierte Ausführungsbeschränkungen

---

## 🧯 Kill-Switch & Containment-Modus
- Sofortiger Ausführungsstopp bei Anomalieerkennung
- Sitzungsisolationsmodus
- Automatischer Privilegienentzug
- Fallback-Ausführung im sicheren Zustand

---

## 🧾 Ausführungsbelege (Audit-System)
- Kryptografisch nachvollziehbare Ausführungsprotokolle
- Eingabe-/Ausgabe-Hashing
- Verfolgung von Richtlinienentscheidungen
- Sandbox-Ausführungsmetadaten
- Vollständige forensische Nachvollziehbarkeit

---

## 🔐 Sandbox-Ausführungsebene
- gVisor-Sandbox-Unterstützung (Standard)
- Firecracker-VM-Isolation (Hochsicherheitsmodus)
- Docker-Container-Ausführung (Kompatibilitätsmodus)
- WASM-Laufzeitunterstützung (leichtgewichtige Ausführung)
- Vollständig isolierte Dateisystem- und Netzwerkumgebungen

---

## 🧭 Absichts-Klassifikationssystem
- Klassifiziert die Absicht der Tool-Nutzung:
  - Datenabruf
  - Systemänderung
  - Externe Kommunikation
  - unbekanntes Verhalten
- Richtliniendurchsetzung basierend auf dem Absichtstyp

## Modul des Absichts-Klassifikationssystems

Ermöglichen Sie intelligente, absichtsbewusste Sicherheit durch koordinierte Multi-Agenten-Analyse, die bewertet, *warum* ein Tool aufgerufen wird, bevor es ausgeführt wird. Anstatt sich ausschließlich auf Tool-Namen oder angeforderte Aktionen zu verlassen, arbeiten spezialisierte Agenten zusammen, um die Ausführungsabsicht zu klassifizieren, Risiken zu bewerten und Sicherheitsrichtlinien basierend auf dem beabsichtigten Ergebnis durchzusetzen.

### Funktionen

- Multi-Agenten-Absichtsklassifikation
- Erkennung von Datenabrufen
- Erkennung von Systemänderungen
- Erkennung externer Kommunikation
- Erkennung unbekannten oder mehrdeutigen Verhaltens
- Absichts-Konfidenzbewertung
- Kontextbewusste Absichtsanalyse
- Konsensvalidierung zwischen Agenten
- Richtliniendurchsetzung basierend auf klassifizierter Absicht
- Absichtsspezifische Fähigkeitsüberprüfung
- Automatische Eskalation bei unsicherer Absicht
- Absichts-Anomalieerkennung
- Historischer Absichtsvergleich
- Absichts-Auditprotokollierung
- Konfigurierbare Absichts-Taxonomien
- Benutzerdefinierte Absichtsklassifikations-Plugins
- Multi-Label-Absichtsunterstützung
- Absichtskonfliktlösung
- Adaptive Lern-Hooks für zukünftige Klassifikatoren
- Echtzeit-Absichtsüberwachung
- Erklärbare Klassifikationsentscheidungen
- Integration mit Richtlinien-Engine und Sandbox-Kontrollen

### Multi-Agenten-Workflow

1. **Anfrageanalyse-Agent**
   - Analysiert die eingehende Tool-Anfrage.
   - Extrahiert kontextuelle Metadaten und Ausführungsziele.

2. **Absichtsklassifikations-Agent**
   - Bestimmt die wahrscheinlichste Ausführungsabsicht.
   - Weist Konfidenzwerte für eine oder mehrere Absichtskategorien zu.

3. **Kontextvalidierungs-Agent**
   - Überprüft den Gesprächsverlauf, den Workflow-Zustand und frühere Aktionen.
   - Erkennt Inkonsistenzen oder verdächtigen Kontext.

4. **Risikobewertungs-Agent**
   - Bewertet die Sicherheitsimplikationen der klassifizierten Absicht.
   - Identifiziert risikoreiches oder unerwartetes Verhalten.

5. **Richtliniendurchsetzungs-Agent**
   - Wendet absichtsspezifische Sicherheitsrichtlinien an.
   - Validiert Berechtigungen, Fähigkeiten und Ausführungsbeschränkungen.

6. **Konsens-Agent**
   - Löst Meinungsverschiedenheiten zwischen Klassifikations- und Validierungsagenten auf.
   - Erzeugt eine endgültige verifizierte Absichtsentscheidung.

7. **Audit-Agent**
   - Zeichnet Klassifikationsergebnisse, Konfidenzniveaus, Richtlinienentscheidungen und Ausführungsergebnisse für die forensische Analyse auf.

### Unterstützte Absichtskategorien

- Datenabruf
- Systemänderung
- Externe Kommunikation
- Unbekanntes Verhalten
- Benutzerdefinierte, vom Administrator definierte Absichten

### Vorteile

- Verhindert Ausführung, die ausschließlich auf modellgenerierten Annahmen basiert
- Erkennt bösartige oder unerwartete Verhaltensmuster
- Verbessert die Zero-Trust-Entscheidungsfindung
- Reduziert die Auswirkungen von Prompt-Injection-Angriffen
- Ermöglicht granulare Richtliniendurchsetzung
- Bietet erklärbare Sicherheitsentscheidungen
- Verbessert Auditierbarkeit und Compliance
- Unterstützt protokollunabhängige KI-Sicherheit in jedem LLM- oder Agenten-Framework

---

## 🌍 Netzwerksicherheitskontrollen
- Standardmäßig verweigerter ausgehender Netzwerkzugriff
- Domain-/IP-Allowlisting
- Toolspezifische Netzwerkrichtlinien
- Optionale Anfrageebenen-Inspektion
- Exfiltrationserkennungs-Heuristiken

---

## 🔁 Protokollübergreifende Übersetzungsebene
- MCP ↔ OpenAI-Tool-Interoperabilität
- Einheitliches Ausführungsmodell über Frameworks hinweg
- Adapterbasierte Protokollkonvertierung
- Eingebaute Kompatibilität für zukünftige Protokolle

---

## 🧩 Plugin-Architektur
- Erweiterbare Sicherheits-Pipeline
- Benutzerdefinierte Firewall-Module
- Risikobewertungs-Plugins
- Compliance- und Governance-Module
- Domänenspezifische Sicherheitserweiterungen

---

## 🔁 Ausführungssimulation & Vorschaumodus
- Vorausführungsanalyse aller Tool-Aufrufe
- Vorschau der Richtlinienauswirkungen
- Sichere Bewertung risikoreicher Operationen

---

## 🔐 Kryptografische Richtliniensignierung
- Signierte Richtliniendurchsetzung
- Manipulationssichere Konfigurationsvalidierung
- Sichere Richtlinienverteilung für Teams und Unternehmen

---

## 📈 Observability-Dashboard (geplant)
- Tool-Ausführungsdiagramme
- Verfolgung von Richtlinienentscheidungen
- Sandbox-Aktivitätsüberwachung
- Risiko-Heatmaps
- Sicherheitsereignis-Zeitachse

---
# 🧩 Design-Philosophie

> Kein KI-System sollte direkt ausführen, zugreifen oder kommunizieren, ohne einen verifizierbaren Sicherheitskernel zu durchlaufen.

Securekit setzt durch:

- Kein implizites Vertrauen  
- Kontrollierte Ausführungsgrenzen  
- Vollständige Auditierbarkeit aller Tool-Aktionen  
- Protokollunabhängigkeit (MCP, OpenAI, benutzerdefinierte Agenten, zukünftige Systeme)  
- Erweiterbare, pluginbasierte Sicherheitsarchitektur  

Das System ist als **Sicherheitssubstrat für agentische KI** konzipiert, nicht als Anwendungs-Wrapper.

---

# 🚀 Installation (bald verfügbar)

Securekit befindet sich derzeit in der frühen Designphase.  
Referenzimplementierungen werden bereitgestellt für:

- Python-SDK  
- Node-SDK  
- Rust-Core-Laufzeit  
- CLI-Tooling  
- Docker-Bereitstellung  
- Kubernetes-Sidecar-Modus  

---

# 🤝 Mitwirken

Beiträge sind willkommen.

Bitte stellen Sie sicher, dass alle Beiträge:
- AGPL-3.0+ entsprechen  
- die Zero-Trust-Ausführungsprinzipien von Securekit wahren  
- die Adapter- und Plugin-Schnittstellenstandards einhalten  
- Sandbox- oder Richtliniendurchsetzungsebenen nicht umgehen  

---

## Specification Branding License (SBL)

### Standard
- Vollständig AGPL-3.0+-konformes System
- Copyleft für Netzwerkbereitstellungen durchgesetzt
- Erforderliche Namensnennung:
  - Roxanne Ardary
  - https://www.roxanneardary.com/

### Optional

- **Specification Branding License (SBL)**
  - Kommerzielle Bereitstellung ohne Namensnennung
  - Preisgestaltung basierend auf Umfang, Nutzung und Bereitstellungsrahmen
  - [https://roxanneardary.com/securekit/](https://roxanneardary.com/securekit/)

---

# 📜 Lizenz- & Hinweisanforderungen

Securekit wird unter der **GNU Affero General Public License v3.0 oder später (AGPL-3.0+)** veröffentlicht.   
Durch Ihren Beitrag zu diesem Projekt stimmen Sie zu, dass Ihre Beiträge ebenfalls unter dieser Lizenz veröffentlicht werden.

Bitte beachten Sie Folgendes:

- Alle Beiträge müssen den **AGPL-3.0+**-Bedingungen entsprechen.  
- Gemäß **Abschnitt 7** der Lizenz müssen alle Weiterverbreitungen, Forks und abgeleiteten Werke die Namensnennung bewahren an:  
  **Roxanne Ardary** und **[roxanneardary.com](https://www.roxanneardary.com/)**.  
- Securekit-Spezifikationen sind mit Namensnennung frei nutzbar. Eine Specification Branding License kann auf Anfrage verhandelt werden.
- Die Datei **notice.md** des Projekts verfolgt Namensnennungsanforderungen und Danksagungen an Mitwirkende.  
  Jedes Update, das neue Mitwirkende hinzufügt oder die Namensnennung ändert, sollte auch `notice.md` aktualisieren.  
- Stellen Sie beim Einreichen eines Pull Requests sicher, dass neue Dateien die Namensnennungs-Header wo anwendbar beibehalten.
- Netzwerkbereitgestellte Versionen dieser Software müssen ebenfalls vollständig AGPL-3.0+-konform bleiben, einschließlich der Offenlegung von Quellcode-Änderungen, wo dies unter der Lizenz anwendbar ist.

Für vollständige rechtliche Details lesen Sie bitte die AGPL-3.0+-Lizenz und die Datei `notice.md` des Projekts.

---

# 🛡️ Zusammenfassung

Securekit ist ein **protokollunabhängiger Sicherheitskernel für die KI-Werkzeugausführung**, der Folgendes bietet:

- Zero-Trust-Durchsetzung  
- Sandbox-Isolierte Ausführungsumgebungen  
- KI-bewusste Bedrohungserkennung  
- Protokollübergreifende Kompatibilität  
- Vollständige Ausführungsauditierbarkeit  

Es fungiert als **universelle Sicherheitsebene für agentische KI-Systeme** und stellt sicher, dass kein Modell Tools ausführen kann, ohne eine verifizierbare Kontrollebene zu durchlaufen.  

**Open Arsenal Hub**  
[https://gitlab.com/Roxanne_Ardary/open-arsenal-specs](https://gitlab.com/Roxanne_Ardary/open-arsenal-specs)