Je fähiger eine AI darin ist, echt auszuführen, desto härter müssen ihre Grenzen und desto zuverlässiger ihre Wiederherstellung sein.
Ein Auftragsvertrag deckt drei Ausführungsmodi ab: Python-Codepakete, beliebige Shell-Befehle und selbst bereitgestellte Container-Images. Große Eingaben fließen in Dateien über, sodass sich AI-Anwendungen ohne Anpassung integrieren.
Jeder Auftrag läuft in einem eigenen Pod: nicht privilegiert, read-only Root-Dateisystem, alle Capabilities entfernt, seccomp standardmäßig. Benutzercode wird als nicht vertrauenswürdig behandelt.
Fünf Prioritätsstufen, vorzeitig beendbare CRITICAL-Aufträge, globale und mandantenbezogene Nebenläufigkeitskontingente sowie drei Stufen von Host-Backpressure. Kritische Arbeit wartet nie in der Warteschlange, und eine einzelne Abteilung kann die globale Kapazität nicht sättigen.
Callbacks optimieren, die Rekonziliation ist das Sicherheitsnetz: alle 30 Sekunden wird der wahre Zustand von Kubernetes abgefragt, sodass selbst bei einem Runner-Absturz oder einem vertriebenen Pod der Auftrag einen Endzustand erreicht, statt zu hängen.
Ein gerichteter azyklischer Graph drückt Abhängigkeiten und Parallelität aus, fehlgeschlagene Schritte können an Ort und Stelle erneut laufen (inkrementell oder vollständig), und ein vorgelagerter Fehler bricht nachgelagerte Schritte schnell ab — komplexe Pipelines bleiben ausdrückbar und debugbar.
Jeder Auftrags-Pod erhält MinIO-Anmeldeinformationen mit minimalen Rechten, und Callback-URLs tragen ein HMAC-Token pro Auftrag — selbst ein kompromittierter Auftrag bleibt auf seinen Bucket begrenzt und kann andere Aufträge nicht überschreiben.
Alle Ressourcen sind an einen Mandanten gebunden; lässt sich der Mandant nicht bestimmen, wird die Anfrage abgelehnt statt erlaubt. Eigentümer der Sandbox ist der Mandant des Auftrags, und alles über Mandanten hinweg liefert 404 — Privilegienerweiterung passiert nie still.
Jede Lebenszyklus-Operation wird auditiert; Geschäftsoperationen und Ereignisse landen in derselben Transaktion in einer Outbox, und CloudEvents werden asynchron an CI, Benachrichtigungen und Abrechnung geliefert, ohne das Geschäft zu blockieren.
Klonen → Bearbeiten → Selbsttest → Pushen, mit einem Passport-Gate, das den Bearbeitungsbereich sperrt. Visuelle Selbstverifikation bedeutet echte Browser-Screenshots, die von einem Vision-Modell beurteilt werden, statt jsdom-Raten.
Die Ausführungsebene ist dort, wo die vier Verteidigungen tatsächlich greifen und durchgesetzt werden.
Destruktive Befehle werden erkannt und zur Genehmigung gezwungen; nichts passiert ohne Genehmigung.
Was eine AI ausführen darf, hängt von ihrer Wachstumsstufe ab.
K8s + unshare halten Seiteneffekte in einer kontrollierten Grenze.
Jede Ausführung wird aufgezeichnet, für nachträgliche Prüfung und Rechenschaftspflicht.
Vereinbaren Sie eine Demo und sehen Sie, wie AI echt in einer Sandbox ausführt, immer unter Kontrolle.