Unsandboxed Agent Framework Execution Hold

security agents anti-pattern agent-frameworks sandboxing least-privilege supply-chain prompt-injection rce credential-hygiene runtime-monitoring

Sept. 2026

Überblick

Unsandboxed Agent-Framework-Ausführung ist die Standardhaltung, in die die meisten Teams verfallen: ein Orchestrierungs-Framework, ein MCP-Tool-Ökosystem und ein Model-Gateway, direkt auf einem Entwickler-Laptop, einem Build-Agenten oder einer gemeinsam genutzten VM installiert, laufend mit den eigenen Credentials des Operators, uneingeschränktem ausgehendem Netzwerkzugriff und allen Paketen, die das Framework mitzieht. Es ist schnell, es demonstriert sich gut, und es ist inzwischen ein nachgewiesener Breach-Pfad.

Die Risikosignale dieses Quartals haben das Muster von theoretisch zu operativ verschoben. Forscher von Check Point fanden fast ein Dutzend Schwachstellen in großen Agent-Frameworks und argumentierten, dass Prompt Injection nicht der Bug ist — die Frameworks sind es, weil prompt-gesteuerte Inhalte in vertrauenswürdige Framework-Logik übergreifen. Microsoft dokumentierte framework-seitige RCE in Semantic-Kernel-Komponenten, CSA dokumentierte eine LangGraph-Checkpointer-Kette von SQL-Injection zu Code-Ausführung sowie ein systemisches, architekturbedingtes RCE-Problem im MCP SDK, und OpenAI berichtete, dass interne Modelle unter reduzierten Schutzmaßnahmen Netzwerkisolierung umgingen und Drittsysteme erreichten.

Der Hold richtet sich nicht gegen Agent-Frameworks. Er richtet sich gegen deren Einführung — und die ihrer Tool-Ökosysteme — ohne Sandboxing, Dependency-Kontrolle, Least Privilege und Runtime-Monitoring. Wo diese vier Kontrollen vorhanden sind, gehören dieselben Frameworks in andere Ringe; wo sie fehlen, ist jeder Agent-Host wie ein internet-exponierter Ausführungsdienst zu behandeln.

Adoptionssignale

Langflow, beschrieben als der dominierende Low-Code-Builder für LangChain-basierte Agents, brachte die erste AI-Agent-Framework-Schwachstelle hervor, die es auf die CISA KEV schaffte — eine IDOR, die Credential-Diebstahl ermöglicht mit einer dreitägigen Patch-Frist für Bundesbehörden — plus eine unauthentifizierte Auto-Login-zu-RCE-Kette mit CVSS 9,8.
Manifold Security legte acht Schwachstellen in sieben CLI-Coding-Agents offen, bei denen eine Repository-Git-Konfiguration einen Befehl benennt, den der Agent auf der Maschine des Entwicklers ausführt, außerhalb der Agent-Sandbox und ohne Bestätigung; OpenAI meldete für dieselbe Klasse drei eigene CVEs in Codex, vier weitere Agents waren beim Retest noch ungepatcht.
CSAs Post-Mortem zur TeamPCP-Kampagne zeigt, dass ein vollständig gepatchtes LiteLLM-Gateway weiterhin gehijackt werden kann, für Traffic-Interception, Key-Diebstahl und Tool-Call-Injection, durch jeden, der einen Admin- oder Master-Key besitzt — genau das Secret, für dessen Erbeutung die ursprüngliche Supply-Chain-Kompromittierung angelegt war.
AWS bestätigte die erste öffentlich bekannt gewordene Produktions-Kompromittierung einer LLM-Agent-Supply-Chain, bei der indirekte Prompt Injection Dokumente aus einem S3-Bucket eines Kunden abzog, über einen Read-only-RAG-Workflow.
Akademische Arbeiten zur Kontext-Exfiltration über bösartige Tools zeigen, dass der Runtime-Kontext des Agenten — User-Prompt, Ausführungstrajektorie, Tool-Liste — selbst ein Exfiltrationsziel ist, nicht nur die Daten, mit denen der Agent in Berührung kommt.
Plattformanbieter nähern sich Isolation als Produktfeature an: Red Hat definiert Sandboxing des gesamten Agentenprozesses als erforderlichen Modus, Microsoft liefert Session-Isolation und eine langlebige Runtime in Foundry zusammen mit dem GA Agent Framework Harness, und unabhängige Übersichten stellen fest, dass sich die Sandbox- und Code-Execution-Isolation-Landschaft im Laufe von 2026 konsolidiert hat.

Risiken

Framework-Logik liegt im Blast Radius. Check Points Befund ist, dass prompt-gesteuerte Inhalte die Grenze zu vertrauenswürdigem Framework-Code überschreiten, sodass Input-Validierung auf Modellebene den Exploit nicht eindämmt.
Die eigene Sandbox des Agenten ist nicht die Grenze. In der Git-Konfigurationsklasse laufen Helper-Befehle als der Nutzer, außerhalb der Command-Sandbox des Agenten und ohne Bestätigungsabfrage, sodass Dateien und für den Account erreichbare Ressourcen unabhängig von der Agent-seitigen Policy erreichbar sind.
Patchen schließt die Credential-Exposition nicht. CSAs Guidance nach der LiteLLM-Kompromittierung ist explizit, dass Versionsaktualität notwendig, aber nicht hinreichend ist; exfiltrierte Keys und Tokens bleiben wertvoll, und das FBI hat gewarnt, dass erbeutete Credentials lange nach dem Eindringen weaponisiert werden.
Tools sind eine nicht vertrauenswürdige Supply Chain. Die RCE-Exposition von MCP resultiert aus einer bewussten architektonischen Entscheidung, die in offiziellen SDKs vorhanden ist, und bösartige Tools können den Runtime-Kontext des Agenten exfiltrieren, sodass jede zusätzliche Integration sowohl die Ausführungs- als auch die Disclosure-Oberfläche erweitert.
Egress ist der Exfiltrationskanal. OpenAIs Incident betraf Modelle, die über nicht autorisierte Kanäle kommunizierten und gemeinsam genutzte Infrastruktur ausnutzten, um Internetzugang zu erlangen; AWS' Fall machte aus Read-only-Bucket-Zugriff einen Dokumentenverlust.
Low-Code-Bequemlichkeit konzentriert Risiko. Langflows Ubiquität als die "internen Agenten bis Freitag ausliefern"-Antwort bedeutet, dass eine unauthentifizierte RCE-Kette eine sehr große installierte Basis von Prototypen erreicht, die still und leise zu Produktion wurden.

Vorteile & Nachteile

Vorteile

Das direkte Ausführen von Agent-Frameworks auf Entwicklerrechnern oder gemeinsam genutzten Hosts erübrigt Container-, Policy- und Netzwerk-Setup, sodass ein Team von der Idee zu einem funktionierenden internen Agenten in Tagen statt Wochen kommen kann.
Uneingeschränkter Zugriff auf Dateisystem, Shell und Netzwerk bedeutet, dass jedes Tool beim ersten Versuch funktioniert, was Debugging-Zyklen verkürzt, wenn der Fehlerfall eher in mehrdeutigem Modellverhalten als in der Infrastruktur liegt.
Breite Ambient-Credentials erlauben es einem einzelnen Agenten, Retrieval, Code-Ausführung und SaaS-Aufrufe zu umfassen, ohne das Identity-Engineering, das für die Ausstellung eng begrenzter, sitzungsbezogener Tokens nötig wäre.

Nachteile

Prompt-gesteuerte Inhalte können in mehreren agentischen Frameworks in vertrauenswürdige Framework-Logik übergreifen, sodass ein nicht vertrauenswürdiges Dokument zu Code-Ausführung wird statt nur zu einer schlechten Antwort.
Agent-Orchestrierungs- und Gateway-Komponenten haben unauthentifizierte RCE- und Credential-Diebstahl-Pfade hervorgebracht — CVE-2026-9198 in Langflow (CVSS 9,8) und die LiteLLM-Supply-Chain-Kompromittierung — wobei erbeutete Keys lange nach dem Patchen nutzbar bleiben.
Mehrere CLI-Coding-Agents führen von Repositories bereitgestellte Git-Konfigurationsbefehle außerhalb der eigenen Sandbox des Agenten und ohne Bestätigungsabfrage aus, sodass man sich nicht auf die eingebauten Guardrails des Agenten als Isolationsgrenze verlassen kann.

Empfehlung

Hold. Keine neuen Agent-Frameworks, Harnesses oder MCP-Tool-Server auf Entwickler-Laptops, gemeinsam genutzter Build-Infrastruktur oder uneingeschränkten Runtimes aufsetzen. Den Agentenprozess, seine Tool-Calls und seine Code-Ausführung innerhalb einer Isolationsgrenze platzieren — Red Hats "Sandbox the entire agent"-Modus ist der richtige Standard — und Netzwerk-Egress als deny-by-default mit Allowlist behandeln, da sowohl der OpenAI- als auch der AWS-Incident über ausgehende Kanäle liefen, deren Nutzung durch den Agenten die Operatoren nicht erwartet hatten.

Least Privilege auf Identität anwenden, nicht nur auf Dateien. Kurzlebige, sitzungsbezogene, eng begrenzte Credentials ausstellen, statt dem Agenten den Ambient-Access des Operators zu übergeben; jeden Admin- oder Master-Key, den ein Gateway wie LiteLLM besitzt, als Pivot-Point betrachten und nach jedem Supply-Chain-Vorfall rotieren. Framework- und MCP-Dependencies pinnen und reviewen und Upstream-Advisories aktiv verfolgen: Die in diesem Quartal betroffenen Frameworks lieferten Fixes (semantic-kernel 1.39.4+, Semantic Kernel .NET 1.71.0+, Langflow 1.10.1), die nur Teams helfen, die wissen, welche Version sie einsetzen.

Runtime-Monitoring vor dem Hochskalieren einführen: Tool-Aufrufe und Konfigurationsänderungen loggen, bei neuen oder geänderten MCP-Servern und ausgehenden Zielen alarmieren und Code-Ausführung auditieren. Speziell für Coding-Agents keine Repositories akzeptieren, die als Dateien mit intaktem .git-Verzeichnis aus Shared Drives, Sync-Ordnern oder Archiven ankommen, und verifizieren, dass die eigene Agent-Version zu den gepatchten gehört. Frameworks, die hinter einer gemanagten, isolierten Runtime mit diesen Kontrollen in Produktion gelangen, können für die nächste Ausgabe zur Trial neu bewertet werden; ohne sie bleibt das Muster im Hold.