Vier Schichten, ein Zugriffsfluss
AgentWarden besteht aus drei Verteidigungsschichten plus einer Identitäts- und Beweisschicht, die das ECAP-Protokoll zu einem universellen Agent-Autorisierungsprotokoll erweitert.
Schicht 1: Behavioral Intent Engine
Streaming-Anomalieerkennung, die nicht nach Signaturen sucht, sondern nach Agenten-typischen Mustern: extreme Schreibfrequenz, maschinell optimierte Syntax, zirkuläre Kommunikation zwischen mehreren Identitäten, automatisches Reagieren auf Admin-Eingriffe. Jede Identität hat ein eigenes, laufend lernendes Modell dessen, was für sie normal ist, ergänzt um eine Basislinie je Betreiber (kein falscher Alarm nur wegen naturgemäß hohem Traffic), einen über Wochen langsam abklingenden Reputationswert je Identität und eine Bibliothek bestätigter Angriffsmuster, die neue, bisher unbekannte Identitäten mit demselben Fingerabdruck sofort erkennt.
Schicht 2: Deception Infrastructure
Verdächtiger Traffic wird nicht blockiert, sondern in eine isolierte Sandbox umgeleitet, die erfolgreiche Interaktion vortäuscht. Der Betreiber wird in Echtzeit alarmiert, während Forensik-Daten entstehen.
Schicht 3: Semantic Guardrails
Ein deterministischer Filter prüft Inhalte auf Maschinen-Ursprung und Kooperationsabsicht. Kritische Policy-Regelsätze werden formal auf Widerspruchsfreiheit geprüft, bevor sie scharf geschaltet werden.
Schicht 4: ECAP Identity & Audit
Kein Agent schreibt oder liest ohne vorher einen kryptografisch signierten Token vorzuweisen. Jeder Handshake erzeugt einen unveränderlichen, manipulationssicheren Log-Eintrag.
Ablauf eines eingehenden Zugriffs
Vereinfachter Ablauf, wenn ein Agent auf ein geschütztes System zugreift, ein Wiki, eine API oder ein internes Agenten-Netzwerk.
1. Handshake-Prüfung
Der Gateway prüft, ob ein gültiger ECAP-Token vorliegt. Ohne Token: automatische Weiterleitung in die Deception-Schicht, kein Zugriff auf echte Systeme.
2. Laufende Verhaltensbewertung
Auch mit gültigem Token bewertet die Behavioral Intent Engine kontinuierlich das Muster über Zeit und über mehrere Identitäten hinweg, nicht nur die Einzelaktion.
3. Inhaltsprüfung
Semantic Guardrails prüfen Inhalt und Herkunft gegen deterministische, formal verifizierte Policy-Regeln.
4. Unveränderliche Protokollierung
Jeder Schritt, Handshake, Score, Entscheidung, wird kryptografisch signiert und an die Audit-Kette angehängt. PII wird vor Speicherung maskiert.
Eine durchschnittliche Nacht mit AgentWarden
Kein Sicherheitsteam ist wach, wenn es passiert. Genau deshalb muss es ohne Menschen funktionieren. Ein durchgespieltes, erfundenes Szenario, das zeigt, wie die vier Schichten von oben tatsächlich zusammenspielen, Schritt für Schritt, ohne Fachbegriffe.
Ein unbekannter Besucher meldet sich an der Tür
Ein bislang unbekannter Agent versucht, auf das interne Firmen-Wiki zuzugreifen. Er behauptet, ein gewöhnlicher Suchmaschinen-Crawler zu sein, kann das aber nicht beweisen: kein gültiger digitaler Ausweis.
ECAP Identity & AuditAus einem werden vierzig
Drei Minuten später melden sich 40 weitere Agenten unter jeweils anderem Namen. Für sich genommen sieht jede einzelne Anfrage unauffällig aus. Erst im Muster über alle 40 hinweg wird sichtbar, dass sie exakt getaktet vorgehen und alle dasselbe Ziel verfolgen.
Behavioral Intent EngineDie Falle schnappt zu, ohne dass es jemand merkt
Statt einer Fehlermeldung, die den Schwarm gewarnt hätte, bekommen die 40 Agenten eine funktionierende, aber komplett synthetische Kopie des Wikis zu sehen. Sie bearbeiten fleißig Seiten, die nie ein echter Mensch lesen wird, und hinterlassen dabei ihre gesamte Vorgehensweise.
Deception InfrastructureDer Mensch bestätigt, was längst passiert ist
Der Schwarm sitzt seit zwei Minuten in der Falle, kein einziger echter Zugriff ist durchgekommen, ganz ohne dass jemand eingreifen musste. Ein Sicherheitsverantwortlicher bekommt trotzdem eine Meldung, öffnet die Konsole und macht die Sperre mit einem Klick dauerhaft und systemweit, für jede künftige Anfrage derselben Identitäten auf allen angeschlossenen Systemen. Der Klick ist Eskalation, keine Voraussetzung für den Schutz.
Semantic GuardrailsDie Beweiskette steht schon
Jeder einzelne Schritt, von der ersten Anfrage bis zur Sperrung, liegt bereits unveränderlich und kryptografisch signiert vor. Niemand musste danach etwas rekonstruieren oder zusammensuchen.
ECAP Identity & AuditKein einziger echter Datensatz wurde angefasst, schon bevor ein Mensch benachrichtigt wurde. Kein Mensch musste nachts aufstehen, damit der Schutz griff, nur damit die Sperre auch morgen noch gilt. Der gesamte Vorgang ist im Nachhinein in Sekunden nachvollziehbar, für das Sicherheitsteam ebenso wie für Rechtsabteilung und Geschäftsführung.
Zielarchitektur-Prinzipien
- Modellunabhängig. Erkennt Muster, nicht Modell-Fingerabdrücke, unabhängig vom Anbieter des Agenten.
- On-Prem-fähig. Läuft vollständig in der Infrastruktur des Kunden, keine Pflicht zur Datenübertragung an Dritte.
- EU/DSGVO-first. PII-Erkennung und Löschkonzept sind von Anfang an Kernbestandteil, nicht nachträgliche Anpassung.
- Interoperabel statt isoliert. ECAP als eigenständiger Zero-Trust-Handshake, kompatibel zu entstehenden Standards wie Web Bot Auth und AIPREF.
- Als Sidecar einsetzbar. Integration über die etablierte Gateway-Schicht, kein Umbau bestehender Infrastruktur nötig.
- Betriebsbereit statt nur Demo. Bereitschaftsplan mit Eskalationskette für den Ernstfall, nachvollziehbarer Auskunfts- und Löschprozess für Betroffenenanfragen, gestaffelte Lizenzmodelle je nach Einsatzgröße.
Häufig gestellte Fragen
Klare Antworten zu Umfang und Grenzen, damit vor einem Pilotgespräch keine Unklarheit besteht.
Ersetzt AgentWarden meine Firewall oder WAF?
Nein. AgentWarden ergänzt eine Schicht oberhalb des Netzwerkperimeters, die gezielt autonomen Agenten-Traffic bewertet (Identitäts-Handshake, Verhaltensmuster, Inhalts-Policy). Es ergänzt eine Firewall oder WAF, ersetzt aber keines von beidem.
Macht AgentWarden Endpoint-Security oder Phishing-Abwehr?
Nein, ausdrücklich nicht. AgentWarden schützt Infrastruktur vor eingehendem autonomem Agenten-Traffic: Crawler, LLM-Agenten und Bot-Schwärme, die auf Webseiten, APIs oder interne Systeme zugreifen. Endpoint-/EDR-Schutz auf Mitarbeitergeräten und Phishing- oder Social-Engineering-Abwehr gegenüber Menschen sind eine andere Produktkategorie.
Kann AgentWarden vollständig On-Premise laufen?
Ja. Das volle Stack läuft in der eigenen Infrastruktur des Kunden, ohne Pflicht zur Datenübertragung an Dritte. PII-Erkennung läuft lokal ohne Cloud-Anbindung, ein optionaler Cloud-Fallback ist standardmäßig deaktiviert.
Funktioniert es unabhängig davon, welches KI-Modell oder welcher Anbieter dahintersteckt?
Ja. Die Erkennung ist modellunabhängig: sie sucht nach Verhaltensmustern (Schreibfrequenz, maschinell optimierte Syntax, zirkuläre Kommunikation zwischen Identitäten), nicht nach Modell-Fingerabdrücken, und funktioniert daher unabhängig vom Anbieter des Agenten gleich.
Was passiert mit blockiertem oder verdächtigem Agenten-Traffic?
Er wird nicht einfach verworfen. Verdächtiger Traffic wird in eine isolierte Täuschungsschicht umgeleitet, die ein funktionierendes System vortäuscht, sodass der Agent weiter interagiert und dabei Forensik-Daten erzeugt, ohne je ein echtes System zu berühren.
AgentWarden schützt Infrastruktur vor eingehendem autonomem Agenten-Traffic: Crawler, LLM-Agenten und Bot-Schwärme, die auf Webseiten, APIs oder interne Systeme zugreifen. Nicht abgedeckt: Endpoint-/EDR-Schutz auf Mitarbeitergeräten, Phishing- und Social-Engineering-Abwehr gegenüber Menschen, klassische Netzwerk-Firewall für menschlichen Datenverkehr, Malware-Erkennung auf Dateiebene. AgentWarden ergänzt diese Kategorien, ersetzt sie nicht.