CNCF: Prempti bringt Policy-Enforcement und Sichtbarkeit für KI-Coding-Agenten

Das Falco-Team innerhalb der Cloud Native Computing Foundation (CNCF) hat Prempti veröffentlicht — ein experimentelles Projekt, das strukturierte Sichtbarkeit und Kontrolle über die Aktionen von KI-Coding-Agenten bietet. Das Ziel ist dasselbe, das Falco bereits in Kubernetes-Umgebungen erreicht: Runtime-Security, die im Moment des Handelns greift — nicht erst, nachdem der Schaden eingetreten ist.

Was ist Prempti und wie funktioniert Policy-Enforcement?

Prempti ist ein schlanker User-Space-Dienst, der sich zwischen KI-Agent und Betriebssystem einschaltet. Wenn ein Agent — etwa Claude Code — einen Tool-Call ankündigt (eine Operation wie das Lesen einer Datei, das Ausführen eines Shell-Befehls oder den Netzwerkzugriff), fängt Prempti dieses Ereignis vor der Ausführung ab und sendet es über einen Unix-Socket an Falco.

Falcos Regelwerk wertet die Anfrage dann anhand einer YAML-Policy-Konfiguration aus — demselben Format, das Ingenieurinnen und Ingenieure bereits aus Falco-Runtime-Regeln kennen. Das Ergebnis kann Allow, Deny oder Ask (interaktive Nutzerbestätigung) lauten. Das System unterstützt zwei Modi: Monitor, der Ereignisse nur protokolliert ohne zu blockieren, und Guardrails, der das Enforcement aktiv durchsetzt.

Welche Bedrohungen werden abgedeckt und warum ist das wichtig?

Das Standard-Regelset deckt sechs Risikokategorien ab, die spezifisch für KI-Agenten sind: Verlassen des Arbeitsverzeichnisses, Zugriff auf sensible Pfade (SSH-Schlüssel, AWS-Credentials, .env-Dateien), Deaktivierung der Sandbox, Credential-Diebstahl, destruktive Befehle und MCP/Slash-Command-Injektion — ein Angriffsvektor, der immer relevanter wird, je mehr KI-Agenten Zugang zu externen Werkzeugen erhalten.

Kann Prempti eine Sandbox ersetzen?

Nein — und die Autoren betonen dies ausdrücklich. Prempti fängt deklarierte Tool-Calls des Agenten ab, nicht die Systemaufrufe, die diese eventuell generieren. Es handelt sich um eine Policy-Schicht, die OS-Hardening und Prozessisolierung ergänzt, aber nicht ersetzt. Derzeit wird Claude Code unter Linux, macOS und Windows unterstützt; eine Integration mit OpenAI Codex ist geplant.

Für Sicherheitsteams, die bereits Falco einsetzen, bietet Prempti eine natürliche Erweiterung des vertrauten Modells auf eine neue Angriffsfläche — KI-Agenten, die Code in Produktionsumgebungen zunehmend autonom ausführen.