Enterprise-Sicherheit by Design
EDDI eliminiert ganze Klassen von Sicherheitslücken by Design. Es gibt kein eval(), keine Code-Ausführungsblöcke und keine dynamische Code-Injection, Agent-Verhalten wird ausschließlich durch deklarative JSON-Konfiguration definiert.
Warum das jetzt wichtig ist
Das KI-Agenten-Ökosystem steht unter beispiellosem Sicherheitsdruck. Anfang 2026 wurden Hunderte kritischer Schwachstellen in großen Open-Source-Agent-Frameworks öffentlich dokumentiert, darunter CVSS-10.0-Lücken für Remote Code Execution, Sandbox-Escapes und Autorisierungs-Bypässe. Die Grundursache in den meisten Fällen: Plattformen, die zur Laufzeit benutzereigenen oder dynamisch generierten Code ausführen.
Die Cloud Security Alliance hat ein systemisches "KI-Agenten-Offenlegungsvakuum" identifiziert.
EDDIs architektonische Verteidigung
Anstatt Code-Ausführung zu sandboxen, eliminiert EDDI die Angriffsfläche vollständig.
Sicherheitsfunktionen
- Zero eval(): Keine dynamische Code-Ausführung (eliminiert CVSS 10.0 RCE-Risiken)
- OIDC/Keycloak: Enterprise-Authentifizierung und -Autorisierung mit RBAC-Rollen (Admin, Editor, Viewer) und einer eigenen Freigabe-Rolle
- Workspaces pro Benutzer: Jede Konfigurationsressource hat einen Eigentümer und einen persönlichen oder Team-Workspace und lässt sich explizit mit Nutzungs-, Lese-, Bearbeitungs- oder Eigentümerrechten teilen
- Connections: Ein einheitliches Credential-Modell für ausgehende Aufrufe, von organisationsweiten Schlüsseln und OAuth2-Service-Accounts bis zum eigenen OAuth-Konto jedes Benutzers oder einem Credential, das das aufrufende System pro Anfrage mitliefert. Secrets sind immer Vault-Referenzen
- Guardrails für Tool-Ergebnisse: Jedes Tool-Ergebnis ist mit seiner Herkunft gekennzeichnet, und anweisungsartiger Text darin wird markiert, geschwärzt, mit einer Warnung versehen oder blockiert, bevor das Modell darauf reagiert
- Secrets Vault: AES-256-GCM-Hüllverschlüsselung für API-Keys mit automatischer Geheimnis-Bereinigung beim Export
- Path-Traversal-Schutz: Eingabevalidierung an jeder Grenze verhindert Directory-Escape-Angriffe
- SSRF-Schutz: URL-Validierung und Domain-Allowlisting verhindern Server-Side Request Forgery, und Cloud-Metadaten-Endpunkte werden als Ziele für HTTP-Aufrufe, MCP und A2A abgewiesen, auch über DNS-Auflösung und Weiterleitungen
- Kryptografische Audit-Trails: HMAC-SHA256-signierte, manipulationssichere Betriebsprotokolle mit kryptografischer Signierung pro Agent
- EU-AI-Act-bereit: Integrierte Governance-Funktionen für regulatorische Compliance
- Geheimnis-Schwärzung: Automatischer Filter bereinigt API-Schlüssel, Vault-Referenzen und sensible Daten aus allen Audit-Einträgen
- PII-sicheres Logging: DSGVO-Operationen protokollieren SHA-256-Pseudonyme, niemals rohe Benutzerkennungen
- Sigstore Cosign: Schlüssellose OIDC-Container-Image-Signierung, kryptografische Verifizierung, dass jedes Docker-Image von der offiziellen CI erstellt wurde
- Gehärtetes Base-Image: Per Digest fixierte Red Hat UBI 10 Runtime, veröffentlicht im Red-Hat-zertifizierten Katalog
- Geheime Kontextwerte: Ein Aufrufer kann einem Agenten Zugangsdaten übergeben, die für einen einzigen Turn nutzbar sind und nie gespeichert oder zurückgegeben werden
- Eingeschränkte Laufzeit-Templates: Templates aus Laufzeitdaten werden auf einer eingeschränkten Engine ohne Konfigurations- oder Bean-Zugriff und mit Limits pro Rendering verarbeitet, und Benutzereingaben werden immer als Daten eingesetzt, nie als Template geparst
Automatisierte Sicherheitspipeline
Jede Änderung durchläuft automatisierte Sicherheitswerkzeuge, wobei jede GitHub Action per SHA gepinnt ist, um Supply-Chain-Angriffe zu verhindern:
- CodeQL: Semantische SAST-Analyse mit
security-extended-Abfragen - Trivy: CVE-Scanning für Dateisystem-Abhängigkeiten und Docker-Images (blockierend bei CRITICAL/HIGH)
- Gitleaks: Git-History-Scanning zur Verhinderung von Secret- und Credential-Leaks
- Dependency Review: Neue Abhängigkeiten mit bekannten Schwachstellen werden im Pull Request markiert, der sie hinzufügt
- CycloneDX: SBOM-Generierung für Supply-Chain-Transparenz
- ClusterFuzzLite mit Jazzer: Coverage-geführtes Fuzz-Testing für sicherheitskritische Parser
- OpenSSF Scorecard: Laufende Bewertung der Supply-Chain-Sicherheitspraktiken des Repositorys
Warum Regeln außerhalb des Modells gehören
Prompt Injection ist der Angriff, auf den es bei Agenten mit Tools ankommt. In einem Benchmark mit Tool-nutzenden Agenten brachten in Tickets und Logs versteckte Anweisungen die Agenten ohne Abwehr in 82,5% der Fälle zu unsicheren Aktionen. Abwehr auf Prompt-Ebene ließ 10 bis 26% unsicher; nur ein beim Tool-Aufruf durchgesetztes Policy-Gate erreichte null und ließ genehmigte Änderungen trotzdem durch. Deshalb setzt EDDI seine Regeln in der Engine durch, an der Tool-Grenze, wo eingeschleuster Text sich nicht an ihnen vorbeiargumentieren kann. Die Belegseite listet die Studien auf.
Härtungsprotokoll
Sicherheitsarbeit ist ein fortlaufender Prozess, und wir veröffentlichen, was sie findet. Die letzten Runden:
- Oktober 2026 (6.6.0): Hardening bei Secret-Umgang, Autorisierungslücken, ausgehenden Anfragen und Deployment-Defaults, einschließlich Fixes für Code, der in 6.5.0 und früher ausgeliefert wurde, daher wird das Upgrade unabhängig von den neuen Funktionen empfohlen
- September 2026 (6.5.0): Eine Review-Runde mit rund 30 Fixes zu Template Injection, SSRF bei ausgehenden Aufrufen, Umgang mit Vault-Schlüsseln, Secret-Scoping, Workspace-Autorisierung, Kanal-Identität und der Sicherheits-UI des Managers, jeder mit einem Regressionstest
- August 2026 (6.3.0, 6.4.0): Ausgehende Zugangsdaten unter Connections vereinheitlicht, Tool-Ergebnisse tragen ihre Herkunft und anweisungsförmiger Text wird geschwärzt, und Vault-Freigaben an Agenten werden durchgesetzt
- Juli 2026 (6.2.0): Tool-Ergebnis-Caches pro Identität getrennt, Secrets im Live-Tool-Trace geschwärzt und ein zeitkonstanter HMAC-Vergleich im Audit
Governance- und Compliance-Integration
Sicherheitsfunktionen fließen direkt in EDDIs Compliance-Framework ein. Der unveränderliche Audit-Trail unterstützt die Aufzeichnungspflichten des EU AI Act (Art. 12), Pipeline-Tracing schafft Transparenz bei KI-Entscheidungen (Art. 13), und die Management-UI ermöglicht menschliche Aufsicht mit Notabschaltung (Art. 14). Dieselbe Infrastruktur unterstützt DSGVO, HIPAA, SOC 2 und 15+ weitere regulatorische Rahmenwerke, alles über eine einheitliche API.