Jailed-Agents: Beschränke den Systemzugriff deiner AI-Coding-Agents

jailed-agents ist ein Nix-basiertes Tool, das AI-Coding-Agents in einer Sandbox mit eingeschränktem Systemzugriff ausführt. Dieser Beitrag erklärt, warum das Sandboxing von Coding-Agents wichtig ist, was jailed-agents ist und wie man es einsetzt. Er richtet sich an Entwickler, die AI-Coding-Agents nutzen und begrenzen wollen, worauf diese Agents auf ihren Maschinen zugreifen können.

Warum Coding-Agents sandboxen?

Sicherheit ist eine große Herausforderung bei der Arbeit mit Coding-Agents. Wenn man sie als normale Anwendung unter seinem Benutzerkonto ausführt, erhält der Agent Zugriff auf alle Credentials, die auf dem System für diesen Benutzer verfügbar sind.

Man möchte seine Coding-Agents in eine dedizerte Umgebung stecken, in dem sie begrenzte Ressourcen und begrenzten Zugriff auf die Außenwelt haben. Gleichzeitig möchte man eine flexible Lösung: Für manche Projekte ist der Zugriff auf bestimmte MCPs oder andere Ressourcen sinnvoll und birgt geringe Sicherheitsrisiken, für andere ist er ein absolutes No-Go.

Es gibt viele Optionen, wie VMs und Docker-Container. VMs bieten die beste Isolation, haben aber auch Overhead (z. B. RAM, Speicher) und sind weniger flexibel. Docker könnte ebenfalls eine Option sein, wurde aber nie für diesen Use Case entwickelt. Je nach Anwendungsfall muss man zusätzliche Docker-Images bauen und zusätzlichen Zugriff für den Container konfigurieren — das eigentliche Ziel ist hier, Zugriff zu beschränken, nicht Portabilität zu bieten.

Am Ende gibt es aktuell keine einzelne Lösung für das Problem außer Kontrolle geratener AI. Wer die sicherste Option will, nutzt eine VM, z. B. mit firecracker. Aber der Aufwand für einen guten Workflow kann hoch sein. Auf der anderen Seite: Wer maximale Usability will, tut nichts und wartet auf die ersten Leaks von Secrets oder Datenbankausfälle — weil der Agent nicht verstanden hat, dass die Daten nicht gelöscht werden sollten, obwohl man ihm das Gegenteil gesagt hat.

Jailed Agents könnten ein guter Kompromiss für AI-Coding-Agents in einer Sandbox sein. Sie lassen sich außerdem einfach in devenv integrieren, sodass jeder Entwickler im Unternehmen das gleiche sichere Agent-Setup hat.

Was jailed-agents ist

• Zero-Trust-Sandbox: Standardmäßig teilt sie fast nichts mit dem Host — alles läuft über explizites Whitelisting.
• Deklaratives Tooling: Jeder Zugriff und jede Abhängigkeit wird durch dieselbe Nix-Paketdefinition bereitgestellt.
• Baut auf dem Nix-Ökosystem auf und läuft daher auch auf jeder Linux-Distribution, macOS oder Windows.
• Vordefinierte Konfigurationen für claude-code, codex, hermes-agents, opencode, pi und weitere.
• Man kann eigene, angepasste Agents mit den bereitgestellten Funktionen bauen.
• Nutzt jail-nix als Kern — einen Nix-Wrapper für bubblewrap.

Wie es funktioniert

Die einfachste Lösung ist folgender Befehl:

Das wird aber höchstwahrscheinlich nicht zu deinen Anforderungen passen — es führt nur die vordefinierten Pakete aus. Meistens möchte man das Jailed-Agent-Paket anpassen, um die eigenen Bedürfnisse zu erfüllen. Es kann im nix-profile, Flake, in der Devshell oder in devenv installiert werden.

Ein Beispiel für ein Nix-Flake könnte wie folgt aussehen:

Der wichtigste Teil ist die Variable myJailedAgent, aus der ein wiederverwendbares Paket entsteht. Sie liefert die Deklaration für das Paket.

Abgesehen vom Durchreichen von Umgebungsvariablen oder dem Teilen von Host-Ordnern kommt die Flexibilität von den Combinators, die aus jail.nix stammen. Man kann zum Beispiel die Zeitzone des Hosts teilen und den Hostnamen des Agent-Jails überschreiben: Fragt man einen leistungsfähigen Agenten nach seinem Hostnamen, nennt er einem diesen Namen. Es gibt viele weitere Combinators, wie camera, um die Kamera des Hosts zu teilen, oder add-runtime, um Code auszuführen, bevor der Agent startet.

So lässt sich der Jailed Agent allein mit installiertem nix nutzen:

Wie bereits erwähnt, kann man das definierte Jailed-Agent-Paket auch in der Systemumgebung installieren, z. B. über ein nix-profile. Das Paket kann dann auch über ein geteiltes Repository bereitgestellt werden. Man kann außerdem ein Modul definieren, das freigegebene Defaults enthält und von jedem Entwickler erweitert oder geändert werden kann.

Fazit

Jailed Agents bieten einen flexiblen und deklarativen Weg, Agents mit Blick auf Sicherheit zu konfigurieren. Die Lösung ist leichtgewichtig und kann von mehreren Entwicklern wiederverwendet werden.