Absicherung von KI-Agenten mit gVisor und MicroVMs in Kubernetes

Am 26. Oktober 2026 veröffentlichte die Cloud Native Computing Foundation eine technische Analyse zur Absicherung autonomer KI-Agenten in Kubernetes-Umgebungen. Der Artikel beschreibt detailliert, wie kagent v1.0 in Kombination mit der Plattform Agent Substrate kritische Lücken bei Isolierung, Sicherheit und Skalierbarkeit für agentische Workloads schließt. Dieser Ansatz geht über die Standard-Containerisierung hinaus und bietet robuste Richtliniendurchsetzung sowie Ressourcenmanagement für produktionsreife KI-Systeme.

Was passiert ist

Standard-Container-Runtimes bieten oft unzureichende Isolierung für nicht vertrauenswürdigen Code. Während Docker und ähnliche Engines separate Namespaces erstellen, teilen sie sich den Host-Kernel, was potenzielle Wege für Ausbrüche oder laterale Bewegungen offenlässt. Im Kontext von KI-Agenten, die beliebige Tool-Aufrufe ausführen, sensible Zugangsdaten verarbeiten oder nicht vertrauenswürdige Modellausgaben bearbeiten können, birgt dieses „flache“ Sandboxing-Modell erhebliche Risiken. Ein- und ausgehender Datenverkehr sind häufig weitgehend offen, und ohne strenge Netzwerkrichtlinien kann ein Agent mit jedem Endpunkt kommunizieren, den er auswählt.

Um diese Schwachstellen zu beheben, stellt der CNCF-Artikel eine geschichtete Architektur vor, die auf kagent und Agent Substrate zentriert ist. Kagent dient als Laufzeitumgebung für deklarative und Bring-your-own-(BYO)-Agenten und unterstützt Frameworks wie LangGraph und ADK. Agent Substrate fungiert als darunterliegende Infrastrukturschicht und stellt die erforderlichen Sandboxing-Funktionen bereit. Gemeinsam stellen sie sicher, dass Agenten innerhalb streng definierter Grenzen operieren, minimieren die Schadensreichweite (Blast Radius) potenzieller Kompromittierungen und gewährleisten hohe Verfügbarkeit durch effizientes Ressourcen-Multiplexing.

Die vorgeschlagene Lösung erfordert sowohl Hardware- als auch Software-Level-Isolierung. Sie schreibt zudem die Durchsetzung von Richtlinien auf Ebene des AI Gateway vor, um den Datenverkehr am Zielort zu steuern. Durch die Implementierung dieser Kontrollen können Engineering-Teams verhindern, dass nicht vertrauenswürdiger Agent-Code in die Host-Umgebung entkommt oder die zugrunde liegende Infrastruktur kompromittiert. Dieses Setup ermöglicht außerdem State-Snapshots, sodass Agenten nach Unterbrechungen nahtlos ihre Operationen fortsetzen können.

Wie es funktioniert

Agent Substrate erreicht Isolierung, indem Agenten in Workers ausgeführt werden – das sind Kubernetes-Pods, die von einer Control Plane namens ateapi verwaltet werden. Die Kerninnovation liegt darin, wie diese Workers die Agent-Prozesse isolieren. Für die Software-Level-Isolierung nutzt das System gVisor. gVisor führt die Workload im User Space unter Verwendung eines dedizierten Application Kernels namens Sentry aus. Sentry fängt Systemaufrufe ab und verarbeitet sie, wodurch verhindert wird, dass der Agent direkt mit dem Host-Kernel interagiert. Dies fügt eine robuste Sicherheitsgrenze hinzu, ohne den Overhead einer vollständigen Virtualisierung.

Für die Hardware-Level-Isolierung setzt Agent Substrate MicroVMs ein. Diese leichtgewichtigen virtuellen Maschinen laufen direkt auf physischen CPU-Kernen unter Nutzung von Hardware-Virtualisierungserweiterungen. Dieser Ansatz stellt sicher, dass der Agent selbst dann in einer virtualisierten Hardware-Umgebung gefangen bleibt, wenn die Software-Isolierungsschicht überwunden wird. Die Kombination aus gVisor und MicroVMs bietet Defense in Depth und schützt sowohl den Kernel als auch die physische Hardware vor bösartigem oder fehlerhaftem Agent-Verhalten.

Kagent vereinfacht die Interaktion mit dieser komplexen Infrastruktur. Ohne kagent müssten Entwickler über Low-Level-programmatische Aufrufe mit Agent Substrate interagieren, etwa curl-Anfragen an spezifische Actors. Kagent bietet eine Benutzeroberfläche und deklarative Konfigurationsoptionen, sodass Teams Agenten mit vertrauten Kubernetes-Mustern verwalten können. Es abstrahiert die Komplexität der darunterliegenden Substrate, macht sie für Standard-Entwicklungsworkflows zugänglich und behält dabei strenge Sicherheitsgarantien bei.

Wichtige Details

• Isolierungsebenen: Agent Substrate nutzt gVisor für die Software-Level-Isolierung via Sentry-User-Space-Kernel und MicroVMs für die Hardware-Level-Isolierung auf physischen CPU-Kernen.
• Laufzeitverwaltung: Kagent v1.0 fungiert als Runtime und unterstützt deklarative Bereitstellung sowie BYO-Agenten aus Frameworks wie LangGraph und ADK.
• Ressourceneffizienz: Agenten laufen als Actors, die nur während aktiver Sitzungen hochfahren und danach herunterfahren, was die Nutzung von Hardware-Ressourcen in Multi-Tenant-Umgebungen optimiert.
• State-Management: Das System unterstützt Snapshots, sodass Agenten ihren Zustand speichern und Operationen genau dort fortsetzen können, wo sie aufgehört haben.
• Bereitstellungsmodell: Die Installation umfasst die Konfiguration von kubectl-ate, die Installation von Agent Substrate und die Bereitstellung von kagent via Helm, wobei ein standardmäßiger WorkerPool mit zwei Workers erstellt wird.
• Konfiguration: Agenten werden mittels Harness- und AgentTemplate-Custom Resource Definitions (CRDs) definiert, die Bildpfade, Snapshot-Speicherorte und erlaubte Templates spezifizieren.

Warum es wichtig ist

Für Software-Ingenieure und technische Leads bringt der Wandel hin zu agentischen Workflows neue operative Herausforderungen mit sich. Traditionelle Microservices haben vorhersehbare Eingaben und Ausgaben, aber KI-Agenten können dynamischen Code generieren, externe API-Aufrufe tätigen und basierend auf Natural-Language-Prompts auf sensible Daten zugreifen. Ohne starke Isolierung könnte ein einzelner kompromittierter Agent potenziell auf andere Dienste im Cluster zugreifen oder Daten exfiltrieren. Die von der CNCF beschriebene Architektur bietet einen Blueprint zur Minderung dieser Risiken, ohne Leistung oder Entwicklungsgeschwindigkeit zu opfern.

Darüber hinaus entspricht die Fähigkeit, Agent-Konfigurationen zu deklarieren und über eine UI zu verwalten, modernen DevOps-Praktiken. Teams können ihre Agent-Definitionen versionieren, konsistente Richtlinien über Umgebungen hinweg anwenden und die Ressourcennutzung effektiv überwachen. Das sitzungsbasierte Actor-Modell stellt sicher, dass Kosten überschaubar bleiben, da Ressourcen nur verbraucht werden, wenn ein Agent aktiv eine Anfrage bearbeitet. Diese Effizienz ist entscheidend für die Skalierung agentischer Anwendungen auf Tausende gleichzeitiger Nutzer.

Die Übernahme dieses Sicherheitslevels erleichtert auch die regulatorische Compliance. Durch die Sicherstellung, dass Agent-Code seinen Sandbox nicht verlassen kann und dass jeglicher Datenverkehr der Richtliniendurchsetzung unterliegt, können Organisationen bessere Kontrolle über ihre KI-Systeme nachweisen. Dies wird zunehmend wichtiger, da Regierungen und Branchenverbände strengere Leitlinien für den Einsatz von KI in kritischen Sektoren einführen.

Was Sie tun können

• Richten Sie einen lokalen Kubernetes-Cluster mit Kind oder Minikube ein, um die im CNCF-Leitfaden beschriebenen Installationsschritte zu testen.
• Installieren Sie kubectl-ate, um die Befehlszeileninteraktion mit der Agent Substrate Control Plane zu ermöglichen.
• Stellen Sie kagent v1.0 über Helm bereit und stellen Sie sicher, dass die Einstellung substrateWorkerPool.create aktiviert ist, um Standard-Workers bereitzustellen.
• Definieren Sie ein AgentTemplate und einen Harness anhand der bereitgestellten YAML-Beispiele und ersetzen Sie Platzhalter-Bildpfade und Snapshot-Speicherorte durch Ihre eigenen Werte.
• Nutzen Sie die kagent-UI, um neue Agent-Templates und Harnesses zu erstellen, und überprüfen Sie, ob Actors nur während aktiver Sitzungen hochfahren.
• Überprüfen Sie Ihre aktuellen Netzwerkrichtlinien und erwägen Sie, wie gVisor- und MicroVM-Isolierung bestehende Sicherheitsmaßnahmen für KI-Workloads ergänzen könnten.