Sandboxing (Sandbox) ist eine eingeschränkte Ausführungsumgebung: Programme laufen darin und können nur auf ausdrücklich zugelassene Ressourcen zugreifen. Selbst bei Fehlern oder böswilliger Ausnutzung ist es schwierig, das Host-System und andere Programme zu beeinträchtigen. Sandboxing basiert auf der Prämisse des „nicht vertrauenswürdigen Codes“, also von Programmen aus Drittanbietern, Benutzereingaben oder von Modellen generiertem Code, die nicht per Definition als sicher gelten.

Die ideellen Wurzeln des Sandboxing liegen in der Prozessisolierung von Betriebssystemen. 1979 führte Version 7 Unix den Systemaufruf chroot ein (1982 von Bill Joy in BSD nachgerüstet), der das Stammverzeichnis eines Prozesses in einem bestimmten Unterbaum sperrt, sodass dieser den Rest des Dateisystems „nicht sieht“. 1993 schlugen Wahbe et al. in ihrem Paper Efficient Software-Based Fault Isolation die Software-Fault-Isolation (SFI) vor, die über Binärcode-Rewriting die Speicherzugriffe nicht vertrauenswürdiger Module auf ihren eigenen Adressbereich beschränkt und so Fehler isoliert, ohne dass eine virtuelle Maschine gestartet werden muss. Mitte der 1990er-Jahre machte Java Applets den Begriff „Sandbox“ zur gängigen Bezeichnung: Code im Browser kann standardmäßig nur eingeschränkte Aktionen ausführen, und für Privilegierweiterungen ist eine explizite Autorisierung erforderlich. Dean et al. analysierten dieses Modell systematisch in ihrem Paper Java Security: From HotJava to Netscape and Beyond.

Moderne Sandbox-Implementierungen basieren auf einer dreischichtigen Überlagerung: Kernel-Primitive, Virtualisierung und Sprach-Runtimes. Auf der Kernel-Ebene filtert seccomp Systemaufrufe, und namespaces sowie cgroups isolieren Ansichten und Ressourcen, sodass Container sich auf demselben Kernel gegenseitig isolieren können. Die Virtualisierungsebene nutzt leichtgewichtige Mikro-Virtual-Machines für stärkere Grenzen; Firecracker drückt durch ein abgespecktes Geräte-Modell die Startzeit und den Speicherbedarf auf Millisekunden-Bereich (Firecracker: Lightweight Virtualization for Serverless Applications, NSDI 2020). Auf der Sprachebene wird die Sandbox in die Runtime integriert: WebAssemblys linearer Speicher und Import-Mechanismen erlauben Modulen nur den Zugriff auf explizit übergebene Objekte. Da KI-Agenten zunehmend von Modellen generierten Code ausführen, entwickelt sich das Sandboxing von einer „Sicherheitsfunktion“ zur „Standard-Infrastruktur“.

Der Wert des Sandboxing liegt darin, die Auswirkungen von Fehlern und Angriffen innerhalb der Grenzen zu halten, sodass nicht vertrauenswürdiger Code bedenkenlos ausgeführt, wiederholt bewertet und jederzeit zurückgerollt werden kann. Es ist jedoch nicht absolut sicher: Kernel-Schwachstellen, Side-Channel-Angriffe über gemeinsame Caches oder Konfigurationsfehler können die Isolation untergraben, weshalb „Escapes“ stets ein Schwerpunkt von Offensive und Defensive bleiben. Die andere Seite ist der Preis – je stärker die Isolation, desto weniger Systemfähigkeiten stehen zur Verfügung; Dateien, Netzwerk und GPU müssen oft einzeln freigegeben werden. Die technische Herausforderung beim Sandboxing besteht genau darin, je nach Aufgabe die geeignete Grenze zwischen „Abschirmen“ und „Nutzen“ zu ziehen.

[JIALIU_0]