Modals Sandboxes: einem Agenten eine Maschine zum Kaputtmachen geben

Einem KI-Agenten die Fähigkeit zu geben, Code auszuführen, ist einfach. Ihm einen sicheren Ort dafür zu geben, ist es nicht. Am 1. Oktober 2026 veröffentlichte Modal Labs vollständige VM-Sandboxes für Agenten, die jedem einen ganzen Rechner geben, um Code und Werkzeuge auszuführen, ohne etwas zu berühren, was er nicht sollte. Es ist eine Infrastruktur-, keine Modellveröffentlichung, und sie behandelt eines der hartnäckigsten Probleme der Agentengeschichte.

Das Problem ist einfach zu benennen. Ein Agent, der nur spricht, ist harmlos. Ein Agent, der handeln kann, braucht einen Ort zum Handeln, und die Orte, an denen er handeln könnte, von der Produktionsdatenbank bis zum Rechner des Entwicklers, sind genau die, die man nicht kaputtgehen lassen kann. Sandboxes versuchen das zu lösen, indem sie dem Agenten eine wegwerfbare Welt geben, in der ein Fehler nur einen Neustart kostet.

Warum ein Container nicht immer reicht

Die meisten Agenten-Runtimes isolieren Code bereits, oft in einem Container. Container halten einen Agenten gut davon ab, aus der Box zu wandern, teilen aber den Kernel mit dem Host und können auf eine Weise lecken, die zählt, wenn der Inhalt unvorhersehbar ist. Eine vollständige VM ist schwerer, aber strenger: Der Agent bekommt sein eigenes Betriebssystem, Dateisystem und seine eigene Netzwerksicht, und die Isolation hält auf einer tieferen Ebene.

Für einen Agenten mit gewöhnlicher Arbeit mag der Unterschied nie sichtbar werden. Für einen Agenten, der beliebigen generierten Code ausführt, aus dem Internet lädt oder Abhängigkeiten installiert, ist der Unterschied der ganze Punkt. Die Sandbox ist nicht da, um den Agenten schneller zu machen. Sie ist da, damit, wenn der Agent etwas Unerwartetes tut, der Explosionsradius eine einzige wegwerfbare Maschine ist.

{{INLINE1}}

Der Trend hinter der Veröffentlichung

Modals Timing spiegelt einen breiteren Wandel. Agenten sind von Demos zu Pipelines gewandert, und in einer Pipeline bekommen sie echte Rechte. In dem Moment, in dem ein Agent Anmeldedaten hält, wird die Frage, wo er läuft, eine Sicherheits- statt einer Bequemlichkeitsfrage. Deshalb brachten die letzten Monate einen stetigen Strom von Sandbox-, Berechtigungs- und Governance-Werkzeugen. Die Branche baut die langweiligen Teile, die Agenten einsatzfähig machen.

Es gibt eine Ironie, die man benennen sollte. Das Modell bekommt die Schlagzeilen, aber die Schichten, die entscheiden, ob Agenten vertrauenswürdig sind, bestehen aus gewöhnlicher Ingenieursarbeit. Gedächtnissysteme, die Kontext über Sitzungen halten, Sandboxes, die Fehler einschließen, Einwilligungsprotokolle, die festhalten, wozu ein Nutzer zugestimmt hat: Nichts davon beeindruckt in einer Demo, und alles davon trennt ein Spielzeug von etwas, das ein Unternehmen tatsächlich laufen lässt.

Was man vor dem Einsatz einer Sandbox fragen sollte

Nicht jede Sandbox ist gleich, und die Fragen sind praktisch. Wie schnell startet eine, denn ein langsamer Kaltstart macht jeden Agentenaufruf zum Warten. Worauf kann der Agent zugreifen, und lässt sich das pro Aufgabe sperren. Was passiert mit dem Zustand am Ende, und wie viel wird protokolliert. Hält sie nicht vertrauenswürdigem Code verlässlich stand, oder ist sie auf wohlerzogene Skripte abgestimmt. Die Antworten entscheiden, ob die Sandbox eine echte Grenze oder eine Formalität ist.

Die stärksten Sandboxes nehmen an, dass der Code im Inneren feindselig oder kaputt ist, und sind so gebaut, dass keines von beiden entkommt. Das ist ein anderes Designziel als eine Entwicklungsumgebung zum Herumspielen. Für Agentenarbeit ist die Annahme der Feindseligkeit die richtige, denn generierter Code ist von Natur aus unvorhersehbar und Agenten beziehen ihre Anweisungen aus Quellen, die man nicht vollständig kontrolliert.

Wie das zum Rest des Stacks passt

Eine Sandbox ist ein Stück eines größeren Arguments über Agenten-Infrastruktur. Ein Agent braucht Gedächtnis, um dort weiterzumachen, wo er aufhörte, Berechtigungen, um nur das anzufassen, was er sollte, und einen Ort zum Laufen, damit seine Fehler eingeschlossen bleiben. Jedes ist ein eigenes Anliegen, und jedes hat dieses Jahr seine eigene Welle von Werkzeugen erzeugt. Die Sandbox ist das Containment-Stück, und sie wird wichtiger, je mehr Autonomie Agenten erhalten.

Das ist die Trendlinie. Frühe Agenten liefen Schritt für Schritt, mit einem Menschen, der jeden Zug freigab. Die Richtung geht zu Agenten, die länger laufen, mehr tun und weniger Aufsicht brauchen. Je autonomer ein Agent, desto mehr braucht er eine Grenze, die nicht davon abhängt, dass ein Mensch ihn rechtzeitig fängt. Eine vollständige VM ist ein schwereres Werkzeug als ein Container, und der Grund, das Gewicht zu zahlen, ist genau, nicht mehr von Aufsicht abzuhängen.

Es gibt auch eine selten diskutierte Kostendimension. Sandboxes machen Ausprobieren billig, nicht nur sicher. Ein Agent, der eine neue Maschine starten, kaputtmachen und wegwerfen kann, behandelt Fehler als kostenlos. Das ändert, wie er arbeitet: experimenteller, mehr Ansätze testend, sich aus Sackgassen erholend, ohne dass ein Mensch aufräumt. Containment und Experimentieren sind dieselbe Funktion aus zwei Blickwinkeln.

Ein Test für jede Sandbox

Vor dem Einsatz ein einfaches Experiment. Geben Sie dem Agenten eine Aufgabe, die ein unbekanntes Paket installiert, etwas aus dem Internet lädt und auf die Platte schreibt. Beobachten Sie dann, was die Sandbox sehen kann. Kann sie versehentlich Ihr internes Netzwerk erreichen. Lässt ein abgestürzter Job etwas zurück. Wie lange braucht eine neue Instanz zum Starten. Diese Fragen sind schnell beantwortet und zeigen, ob die Isolation echt oder kosmetisch ist.

Dann brechen Sie sie absichtlich. Füttern Sie die Sandbox mit Code, der entkommen will, Hintergrundprozesse startet, in einer Schleife hängt. Eine gute Sandbox behandelt all das als erwartet und schließt es ein. Eine schwache hängt, leckt oder fällt um. Die Bereitschaft, so zu testen, ist selbst das Zeichen von Teams, die Agentensicherheit ernst nehmen, und sie ist weit billiger als das Entdecken der Grenzen in der Produktion.

Warum das wichtiger ist, als es aussieht

Der Engpass für nützliche Agenten hat sich von Intelligenz zu Vertrauen verschoben. Modelle sind fähig genug für viele reale Aufgaben, und sie tun nicht mehr, weil Menschen sich nicht wohlfühlen, die Schlüssel zu übergeben. Sandboxes sind eines der Werkzeuge, die dieses Wohlbefinden ändern, weil sie einen vorsichtigen Betreiber einen Agenten in einem Modus laufen lassen, in dem der schlimmste Fall eingeschlossen ist.

Veröffentlichungen wie diese werden nie in einem Newsfeed trenden. Sie sind die Klempnerei, die entscheidet, ob die ambitionierten Agenten-Demos des letzten Jahres zu Dingen werden, die an einem Dienstag laufen, ohne dass jemand zusieht. Wenn Sie mit Agenten bauen, ist das die Schicht, auf die Sie Ihre Aufmerksamkeit richten sollten, denn der Agent, der nicht eingeschlossen werden kann, wird nicht vertraut, und der Agent, dem nicht vertraut wird, wird nicht eingesetzt.