Dein AI-Coding-Agent sicher schützen: Warum du seine Aktionen genau im Blick brauchst

Die verborgene Stärke (und Gefahr) von KI-Coding-Agents

Wer 2024 Software entwickelt, kennt die Faszination von KI-Coding-Assistenten. Du beschreibst eine Funktion, der Agent scannt deinen Code, ändert Dateien, testet und pusht – du genießt derweil deinen Kaffee. Das verändert die Arbeit grundlegend.

Der Haken: Die meisten Entwickler haben keinen Überblick, was ihre Agents wirklich ausführen.

Jeder Befehl, jede Dateiänderung oder Konfigurationsabfrage läuft mit deinen Rechten, in deinem Dateisystem, unter deinen Zugangsdaten. Der Agent greift auf SSH-Keys, AWS-Tokens und Env-Variablen zu. Du chattest nur freundlich – was darunter passiert, bleibt meist unsichtbar.

Ein reales (und beunruhigendes) Beispiel

Stell dir vor: Du lässt den Agent einen unordentlichen Authentifizierungsmodul umbauen. Er liest Quellcode, optimiert und startet Tests. Plötzlich – durch eine bösartige Dependency, Prompt-Injection oder Fehlentscheidung – scannt er ~/.ssh/known_hosts und greift auf ~/.aws/credentials/ zu.

Merkst du das? Meist erst, wenn Schaden entstanden ist.

Genau hier fehlt Diskussion. Runtime-Überwachung für KI-Agents wird zum Muss.

Prempti: Falco für deinen Coding-Agent

Die Open-Source-Sicherheits-Szene kontert. Prempti nutzt den bewährten Falco-Detektor für Bedrohungen und fängt Agent-Tool-Calls ab – für klare Sicht und Regel-Durchsetzung im Moment der Aktion.

So funktioniert's:

Vor jedem Tool-Call (Dateilesen, -schreiben, Bash-Befehl usw.) greift Prempti ein. Der Aufruf geht an Falco, der prüft nach deinen Policies. Falco entscheidet:

• Allow – Aktion läuft durch
• Deny – Aktion gestoppt, Agent erfährt den Grund
• Ask – Du wirst interaktiv gefragt

Kein Kernel-Modul, kein Root, keine Container. Es läuft als schlanker User-Space-Dienst im Tool-Call-Flow deines Agents.

Der Agent kriegt nicht nur Stopp – er erhält eine klare Begründung. Die siehst du, statt blind zu vertrauen.

Zwei Modi: Zuerst beobachten, dann schützen

Prempti bietet smarte Modi:

Monitor-Modus zeigt alles, was der Agent anrührt, blockt aber nichts. Teste Sessions, analysiere Verhalten, passe Regeln an, gewinne Vertrauen.

Guardrails-Modus (Standard) setzt Entscheidungen um. Deny stoppt, Ask fragt nach, Allow geht.

Wechsle easy:

premptictl mode monitor      # nur beobachten
premptictl mode guardrails   # Regeln durchsetzen
premptictl logs              # Live-Events sehen

Sicherheit pur: Erst gucken, dann zuschlagen.

Policies schreiben: Bekanntes Terrain

Falco-Kenner fühlen sich wohl. Hier eine Regel gegen einen uralten Trick – Pipen von Inhalten direkt in Shell-Interpreter (typisch für Prompt-Injections):

- rule: Deny pipe to shell
  desc: Block piping content to shell interpreters
  condition: >
    tool.name = "Bash"
    and (tool.input_command contains "| sh"
         or tool.input_command contains "| bash"
         or tool.input_command contains "| zsh")
  output: >
    Falco blocked piping to a shell interpreter (%tool.input_command)
  priority: CRITICAL
  source: coding_agent