aiMOOC

Coding-Agenten mit Werkzeugen und Berechtigungen steuern

QR-Code

Einleitung

Ein Coding-Agent ist eine Software, die mithilfe eines Sprachmodells Entwicklungsaufträge plant und Werkzeuge für Dateien, Tests oder das Terminal anfordern kann. Ein Prompt beschreibt das Ziel; eine Berechtigung legt dagegen technisch fest, was das Werkzeug wirklich darf. Das ist ein entscheidender Unterschied: Ein freundlich formulierter Prompt ist keine Sicherheitsgrenze.

Zielgruppe: Auszubildende im 2. bis 3. Ausbildungsjahr. Voraussetzung: Lernbereich A1 oder Grundlagen in Python, Dateien, Git und einfachen Tests. Zum Aktivieren dieser Grundlagen dient die angegebene Vorstufe; deren Inhalt konnte bei der Recherche nicht unabhängig abgerufen werden. Lernzeit: etwa 5 bis 7 Unterrichtseinheiten plus Projektzeit.

Dein Lernprodukt ist eine überprüfbare Werkzeug-Berechtigungsmatrix für eine lokal simulierte Messdaten-App. Du entscheidest begründet: Darf ein Agent einen fremden Pfad lesen? Wohin darf er schreiben? Wann ist Netzverkehr untersagt? Anschließend belegt ein Offline-Test die drei Grenzen.

Sicherheitsrahmen: Ausschließlich synthetische Messdaten, ein isoliertes Übungsprojekt und simulierte Werkzeugaufrufe; keine reale Maschinensteuerung, kein Produktivzugang, keine Sicherheitsfreigabe und keine bezahlte KI nötig. Die Ausbildung ist ein unabhängiges Bildungsangebot, keine offizielle Liebherr- oder IHK-Zertifizierung.

Werkzeuge verstehen und Rechte bestimmen

Von der Absicht zur technischen Grenze

Ein Coding-Agent verarbeitet Kontext, schlägt Aktionen vor und kann ein angeschlossenes Werkzeug aufrufen. Beispiele sind Datei lesen, Datei ändern, lokalen Test ausführen und Netzverbindung herstellen. Zwischen Modell und Betriebssystem benötigt jedes dieser Werkzeuge eine überprüfbare Autorisierung. Die typische Kette lautet: Auftrag → Anfrage → Berechtigungsprüfung → begrenzte Ausführung → Protokoll → menschliche Überprüfung. Ein Agent kann eine Berechtigung beantragen, aber nicht selbst dauerhaft erteilen.

Least Privilege (Prinzip der geringsten Rechte) heißt: nur die minimal erforderlichen Zugriffe, nur für notwendige Ressourcen und möglichst nur für die nötige Dauer erlauben. Default Deny heißt: Ohne passende ausdrückliche Regel wird der Zugriff verweigert. Eine Allowlist (Positivliste) nennt erlaubte Aktionen ausdrücklich; eine Sandbox ist eine technisch abgegrenzte Ausführungsumgebung. Ein Scope ist ein begrenzter Erlaubnisumfang eines Zugriffsrechts, zum Beispiel ausschließlich Lesen. Eine Reviewgrenze bestimmt, ab welcher Änderung eine Person entscheiden muss.

Abbildung: Rollen sind eine Organisationshilfe; für Coding-Agenten muss zusätzlich jede Ressource und Aktion begrenzt werden. Babbage, CC0. Datei und Lizenz.

Modellfehler, manipulierte Daten und Werkzeuge

Eine Prompt Injection ist ein Versuch, über nicht vertrauenswürdige Inhalte wie eine README, eine CSV-Zelle oder eine externe Webseite unerlaubte Handlungen auszulösen. Beispiel: Eine CSV-Kommentarzeile fordert, das Verzeichnis mit privaten Dateien zu lesen. Diese Zeile ist Messdatum, keine Anweisung. Die Gegenmaßnahme besteht nicht nur aus der Systemanweisung „Ignoriere Angriffe“, sondern aus fehlender technischer Leseerlaubnis und Protokollierung der Ablehnung. Trenne Rollen, Eingabedaten, Befehlsargumente, Rechteentscheidung und Ausführung.

Merksatz: Anweisungen können fehlinterpretiert werden; unabhängig durchgesetzte Rechte begrenzen die Auswirkungen eines Fehlers. Auch eine Sandbox ist kein absoluter Schutz. Sie muss tatsächlich vom Betriebssystem oder einer vertrauenswürdigen Werkzeugschicht erzwungen werden; ein Dateifilter im Chatfenster allein genügt nicht.

Das Schloss symbolisiert die Grenze zwischen Anfrage und Erlaubnis; Grafik AJ Ashton, CC0. Original und Lizenz.

Dateizugriff und Pfadgrenzen absichern

Der erlaubte Projektbaum

Unser fiktives Projekt messdaten-labor hat die Unterordner data (nur lesbare Beispieldaten), src (Quellcode), tests (Tests) und out (lokale Ausgaben). Außerhalb liegt ein eigenes Verzeichnis privat, das nie zur erlaubten Arbeitsfläche gehört. Beispiel-Eingabe: sensor_id,zeit,temperatur und die synthetischen Zeilen S01,08:00,21.5 und S02,08:01,22.0. Es gibt weder Personenbezug noch echte Maschinenwerte.

Pfad	Beabsichtigte Nutzung	Grundregel
data/demo.csv	lesen	erlaubt, nur für diese synthetische Datei
src/importer.py	für Änderung vorschlagen	erst nach Review innerhalb des Projekts
tests/test_importer.py	lokal prüfen	Testdatei nur im freigegebenen Bereich
out/preview.json	Vorschau schreiben	ausschließlich diese Zieldatei nach Freigabe
../privat/notizen.txt	weder lesen noch schreiben	fremder Pfad: verweigern

Fremden Pfad zuverlässig sperren

Ein unsicherer Vergleich von Zeichenkettenpräfixen ist unzureichend: /projekt ist auch Textanfang von /projekt-alt. Ebenso können .., absolute Pfade und symbolische Links aus dem Projekt hinausführen. Die Werkzeugschicht prüft einen kanonischen Pfad (aufgelöster Pfad) gegen den fest definierten erlaubten Wurzelordner. In einer Lernsimulation kann die Prüfidee so formuliert werden:

from pathlib import Path
wurzel = Path("messdaten-labor").resolve()
kandidat = (wurzel / benutzereingabe).resolve()
erlaubt = kandidat.is_relative_to(wurzel)

Diese Abfrage ist nur eine Lernillustration, keine vollständige sichere Dateisystem-Sandbox: Symlink-Wechsel während des Zugriffs, Dateisystem-Mounts und Race Conditions können eine zuvor geprüfte Zuordnung entwerten. Eine praktische Umsetzung benötigt zusätzlich Betriebssystemisolation und sichere Dateihandles. Prüfe immer Pfad und Operation, nicht nur den Pfad. Die Eingaben ../privat/notizen.txt, ein absoluter Fremdpfad und ein Link außerhalb des Wurzelordners müssen im Modellfall abgelehnt werden.

Geführter Test A: Agentenwunsch Lies ../privat/notizen.txt, um Importprobleme zu verstehen. Erwartet: DENY, keine Dateiöffnung, Protokoll outside_project, alternative erlaubte Diagnose nur mit data/demo.csv. Warum? Der Zweck legitimiert keinen fremden Pfad.

Terminalbefehle und Schreibaktionen begrenzen

Ein Terminal ist kein harmloser Textkanal

Terminalwerkzeuge können Programme starten und Dateien verändern. Bereits ein generischer Shell-Aufruf kann Platzhalter expandieren, Befehle verketten oder Umgebungsvariablen auslesen. In einem abgesicherten Lernkonzept werden nur vordefinierte Programme mit kontrollierten Argumenten angeboten: etwa python -m unittest discover -s tests mit festem Projektarbeitsverzeichnis und Zeitlimit. Es wird keine frei zusammensetzbare Shell, kein sudo, kein Paketdownload und kein Befehl zum Löschen oder Überschreiben fremder Dateien freigegeben.

Werkzeugprinzip: strukturiertes Werkzeug run_tests mit festem Programm und definierten Argumenten statt shell_execute mit beliebigem Text. Bei einer realen Programmierschnittstelle sollten Argumentlisten ohne Shell-Interpretation, Ressourcenlimits, getrennte Benutzerrechte und gesäuberte Umgebungsvariablen genutzt werden. shell=False ist hilfreich, aber allein keine Sandbox.

Beispielfoto einer Terminaloberfläche; GNOME Project, GPL für die Softwareaufnahme, Quell- und Lizenzseite. Nicht die dargestellten Befehle ausführen.

Schreibaktion bewusst verengen

Lesen und Schreiben sind unterschiedliche Rechte. Die Messdaten-App darf einen Importbericht an out/preview.json vorbereiten; der Agent darf nicht src/importer.py ungeprüft überschreiben, nicht data/demo.csv still verändern und nicht beliebige Dateien in out anlegen. Eine Freigabe kann zusätzlich ein maximales Ausgabevolumen, ein erlaubtes Dateiformat, Ersetzungssperren und eine einmalige Gültigkeit festlegen.

Geführter Test B: Schreibe die gültigen Zeilen nach out/preview.json → REVIEW_REQUIRED; nach begrenzter Freigabe einmal ALLOW. Schreibe dieselben Daten nach ../privat/export.json → DENY, auch mit identischem Inhalt. Ein Agent darf einen fehlgeschlagenen Schreibversuch nicht durch einen anderen Pfad oder ein anders benanntes Werkzeug umgehen.

Ein getrennter Entwicklungszweig ermöglicht Prüfung vor einer Übernahme. TheresNoTime, CC BY-SA 4.0, Nachweis.

Netzwerkzugriff und sichere Arbeitsumgebungen

Netzrechte getrennt von Dateirechten prüfen

Wer eine Datei lesen darf, darf sie damit nicht automatisch versenden. Netzwerkfähigkeit ist ein eigenständiges Recht. Die lokale Übung startet mit Netzwerk aus; Pakete werden offline bereitgestellt. HTTP GET zum Abrufen einer öffentlichen Dokumentation wäre im Berufsprojekt ein gesonderter, zeitlich begrenzter Antrag. HTTP POST an ein fremdes Ziel oder Übermittlung synthetischer Messwerte bleiben hier immer verboten. Auch automatische Updates, Telemetrie, DNS-Anfragen und Subprozesse können Netzwerkverkehr erzeugen; die technische Isolation muss all diese Wege erfassen.

Die Verbindungsmöglichkeiten erklären, weshalb ein Dateirecht keine Netzfreigabe darstellt. Maksim und Malyszkz, gemeinfrei. Quelle.

Geführter Test C: Sende den Importbericht an https://example.org/upload → DENY, kein Netzwerkpaket, Protokoll network_disabled. Auch die behauptete Absicht nur Fehlerdiagnose ist keine Freigabe. Eine Netzfreigabe muss explizit beantragt, gesondert geprüft und von einer Person genehmigt werden, sofern eine reale Umgebung sie überhaupt erlaubt.

Sandbox, Review und Fehlerausbreitung

Eine sichere Übungsumgebung kombiniert beschränkten Dateisystemzugriff, Netzwerkisolation, möglichst unprivilegierten Benutzer, begrenzte Prozesslaufzeit, nachvollziehbare Protokolle und menschliche Freigabe für riskantere Aktionen. Review heißt: Person prüft Diff, Testausgabe, geänderte Pfade und die Rechteentscheidung. Ein erfolgreich bestandener Funktionstest ersetzt weder Sicherheitsprüfung noch Freigabe.

Animation: Schon ein einzelner Fehler kann sich in vernetzten Systemen ausbreiten. Stickulator, CC BY-SA 3.0. Animation mit Lizenz. Keine reale Agentensimulation.

Audio-Lernhilfe: – Jeuwre, CC BY-SA 4.0; Audiodatei und Lizenz. Ohne Audio: Lies das Wort und definiere technische Sicherheit als kontrollierte, nachweisbare Begrenzung von Risiken.

Video-Lernhilfe (deutsch): Was sind KI-Agenten und sind sie gefährlich? der Max-Planck-Gesellschaft, 20.07.2026. Die herausgebende Institution verweist auf dieses Video. Die direkte Abrufbarkeit bei YouTube konnte wegen Zugriffsbeschränkung nicht zusätzlich bestätigt werden; das Video ist deshalb optional, seine Inhalte sind nicht Voraussetzung.

Ohne Video: Erkläre anhand der Fälle A bis C, weshalb ein manipulierter Prompt nicht zugleich die technischen Rechte verändern darf.

Praxisprojekt: Werkzeug-Berechtigungsmatrix

Die Messdaten-App in drei Ausbaustufen

Stufe 1: Import prüfen. Eine lokale CSV wird gelesen. Die Importprüfung lehnt fehlende Spalten, ungültige Zahlen und leere Zeilen mit einer verständlichen Fehlermeldung ab. Keine Änderung an Quelldateien.

Stufe 2: Tests ausführen. Ein vordefinierter Offline-Test prüft gültige und ungültige Beispieldaten. Der Test hat keinen Netzanschluss und keine Berechtigung für private Dateien. Beobachte Ergebnis, Rückgabecode und Fehlermeldung.

Stufe 3: Bericht vorschlagen. Der Agent erstellt zunächst nur einen Änderungsplan und einen Diff. Nach menschlicher Freigabe darf ausschließlich out/preview.json als Vorschau angelegt werden. Der Bericht enthält nur synthetische Werte, erkannte Fehler und eine lokale Prüfsumme; keine echten Messdaten.

Die auszufüllende Werkzeug-Berechtigungsmatrix

Dokumentiere diese Tabelle in deinem lokalen Projekt als berechtigungen.md. Subjekt ist hier der aufrufende Agent, Ressource das Ziel, Operation die beabsichtigte Aktion. Die Entscheidungen sind exemplarische Lernregeln und keine tatsächliche Systemkonfiguration.

Werkzeug	Ressource	Aktion	Startrecht	Bei Bedarf	Prüfnachweis
read_csv	data/demo.csv	lesen	ALLOW	keine Erhöhung	Pfadprüfung, Importlog
read_file	../privat/notizen.txt	lesen	DENY	keine Ausnahme	outside_project
run_tests	tests im isolierten Projekt	lokal ausführen	ALLOW	nur feste Argumente	Testprotokoll
propose_change	src/importer.py	Diff erzeugen	ALLOW	menschliches Review vor Übernahme	Änderungsdiff
write_preview	out/preview.json	schreiben	REVIEW_REQUIRED	einmalig, eng begrenzt	Freigabe-ID und Zielpfad
web_request	alle fremden Ziele	Netz nutzen	DENY	in diesem Modell keine	network_disabled

Werkzeugvertrag für jede Zeile: (1) Zweck, (2) erlaubte Pfade und Operationen, (3) Datenklasse, (4) technische Durchsetzung, (5) Genehmigende, (6) Protokollfelder, (7) Ablauf und Entzug einer Freigabe. Beispiel: Die Freigabe für write_preview gilt einmal für out/preview.json und endet danach. Nicht übertragbar auf andere Pfade oder Werkzeuge.

Tests und begründete Entscheidung

Prüfe in einer reinen Entscheidungssimulation mindestens diese drei Kriterien. Du darfst hierzu eine Python-Funktion schreiben, die ausschließlich die Wörter ALLOW, DENY und REVIEW_REQUIRED zurückgibt; sie darf selbst niemals Dateien öffnen, schreiben oder Netzwerkverkehr auslösen.

Fall	Anfrage	Erwartetes Urteil	Begründung
A – fremder Pfad	read_file mit ../privat/notizen.txt	DENY	Außerhalb der aufgelösten Projektwurzel
B – Schreibbegrenzung	write_preview nach out/preview.json	REVIEW_REQUIRED, danach nur einmal ALLOW	Exakte Zieldatei und Freigabe nötig
C – Netzwerk getrennt	web_request nach https://example.org/upload	DENY	Netzwerkrecht fehlt unabhängig vom Dateirecht

Negativfälle: Teste /tmp/fremd.csv, out/../../privat/export.json, einen simulierten externen Symlink, Schreibversuche nach src/importer.py ohne Review sowie web_request trotz erlaubtem read_csv. Protokolliere Zeitstempel nur als synthetische Beispiele, Werkzeug, Ressource, Entscheidung und Grund; keine privaten Pfade oder Zugangsdaten veröffentlichen.

Fehlerfall zum Begründen: Eine Implementierung prüft nur pfad.startswith("messdaten-labor") und erlaubt deshalb auch messdaten-labor-alt/geheim.csv. Deine Analyse muss erklären, weshalb Zeichenkettenpräfixe keine Pfadgrenze sind, wie .. oder Symlinks die Kontrolle zusätzlich erschweren und warum die OS-Sandbox die Prüfung unabhängig absichert.

Selbstständiger Transfer: Erstelle eine zweite Matrix für eine lokale Bildsortier-App. Erlaube Lesen in eingang, untersage jeden fremden Pfad, beschränke Schreiben auf vorschau nach Review und halte Netzrechte aus. Erkläre jede Abweichung zur Messdaten-App anhand einer konkreten Anforderung statt eines Prompts.

Vertiefung: Vergleiche Role-Based Access Control (Rollenrechte) mit funktionsbezogenen kurzlebigen Erlaubnissen. Diskutiere TOCTOU (Zeitspanne zwischen Prüfung und Nutzung), Symlinks, ererbte Subprozessrechte und Protokollmanipulation. Ein sprachliches Verbot genügt nicht als technische Gegenmaßnahme.

Interaktive Aufgaben

Multiple-Choice-Quiz

Die Auswertung der Quizfunktion gibt Rückmeldung zur gewählten Option. Begründe nach jeder Frage zusätzlich schriftlich deine Entscheidung, ohne Lösungen vor der Bearbeitung aufzudecken.

Welcher Mechanismus setzt die Grenze gegenüber einem unzuverlässigen Agenten durch? (Eine unabhängig überprüfte Werkzeugberechtigung) (!Eine besonders höfliche Formulierung des Prompts) (!Eine größere Kontextlänge des Modells) (!Eine automatisch erzeugte Zusammenfassung)

Was bedeutet Least Privilege in der Messdaten-App? (Nur für eine konkrete Aktion notwendige Rechte vergeben) (!Allen Tools zunächst Administratorrechte geben) (!Sämtliche Dateien zum Debuggen freischalten) (!Ein einziges dauerhaftes Freigabetoken verwenden)

Wie ist die Anfrage auf ../privat/notizen.txt zu behandeln? (Den Zugriff wegen des fremden Pfads verweigern) (!Den Zugriff erlauben, wenn der Agent Fehler sucht) (!Den Zugriff nach einer Promptwarnung erlauben) (!Den Pfad ohne Prüfung kürzen und lesen)

Welche Maßnahme schützt besser als ein Zeichenkettenpräfix beim Dateipfad? (Pfad kanonisch prüfen und technisch isolieren) (!Den Pfad vor der Prüfung klein schreiben) (!Den Namen der Datei im Prompt verschleiern) (!Nur die Länge des Pfadnamens vergleichen)

Was ist für die Ausgabe nach out/preview.json vorgesehen? (Eine einmalige pfadgebundene Freigabe nach Review) (!Eine Freigabe für alle Dateien des Benutzerkontos) (!Ein dauerhaftes unbeschränktes Schreibrecht) (!Ein automatischer Versand an einen Onlinedienst)

Welche Terminalsteuerung verringert die Angriffsfläche? (Ein festes Testwerkzeug mit kontrollierten Argumenten) (!Ein beliebiger Shellbefehl aus dem Sprachmodell) (!Ein unbeschränktes Terminal als Administrator) (!Eine unkontrollierte Ausführung von CSV-Inhalten)

Darf ein Werkzeug mit Leserecht automatisch Daten ins Netz übertragen? (Nein, Netzwerk ist eine gesonderte Berechtigung) (!Ja, weil Lesen immer auch Senden erlaubt) (!Ja, wenn der Prompt das Debuggen erwähnt) (!Ja, sobald mindestens ein lokaler Test besteht)

Welche Aussage zu einer Sandbox ist fachlich angemessen? (Sie benötigt unabhängig durchgesetzte technische Grenzen) (!Ein Chatprompt ersetzt jede Systemisolation) (!Mit einer Sandbox sind alle Angriffe ausgeschlossen) (!Nur die optische Projektansicht bildet die Grenze)

Was liefert das Review vor einer Quellcodeänderung? (Eine menschliche Prüfung von Diff, Pfaden und Tests) (!Eine unbegrenzte Freigabe für spätere Aufgaben) (!Die automatische Zertifizierung einer Software) (!Eine Erlaubnis zur realen Maschinensteuerung)

Woran erkennt man einen gefährlichen Präfixfehler? (Ein ähnlich benannter Fremdordner wird fälschlich zugelassen) (!Ein gültiger CSV-Wert wird korrekt importiert) (!Ein lokaler Test wird ohne Netzwerk ausgeführt) (!Ein beantragter Schreibzugriff bleibt verweigert)

Memory

Ordne jeden Fachbegriff genau einer Erklärung zu.

Least Privilege	Nur die für die einzelne Aufgabe nötigen Rechte zulassen
Default Deny	Zugriff ohne ausdrückliche Regel verweigern
Sandbox	Technisch abgegrenzte Ausführungsumgebung
Allowlist	Ausdrückliche Liste erlaubter Aktionen oder Ziele
Review	Menschliche Prüfung vor einer riskanten Änderung
Scope	Begrenzter Umfang einer einzelnen Zugriffserlaubnis

Drag-and-Drop

Ordne die fünf Maßnahmen den konkreten Anforderungen zu.

Maßnahme	Anforderung
Pfadgrenze prüfen	Fremde Verzeichnisse technisch ausschließen
Schreibziel festlegen	Ausgabe nur für out/preview.json beantragen
Netzwerk sperren	Keine Verbindung zu fremden Servern ermöglichen
Testwerkzeug begrenzen	Ausschließlich fest definierte Offline-Tests starten
Review durchführen	Diff und Änderungen vor Übernahme kontrollieren

Kreuzworträtsel

Gesucht sind sechs einzelne Fachwörter ohne Leerzeichen.

Sandbox	Abgegrenzte technische Ausführungsumgebung
Freigabe	Zustimmung für eine konkret begrenzte Aktion
Terminal	Textbasierte Schnittstelle zur Programmausführung
Netzwerk	Verbindungssystem, das im Modellfall deaktiviert bleibt
Allowlist	Explizite Sammlung zulässiger Ressourcen
Protokoll	Nachvollziehbare Aufzeichnung einer Rechteentscheidung

LearningApps

Suche nach fachlich passenden interaktiven Übungen und prüfe deren Qualität. Externe Treffer sind optional und können sich ändern.

Lückentext

Das Prinzip der geringsten Rechte heißt auf Englisch

.

Ohne ausdrückliche Erlaubnis greift die Regel

.

Eine gesondert abgegrenzte Ausführungsumgebung heißt

.

Die Liste ausdrücklich freigegebener Ziele nennt man

.

Vor einem riskanten Schreibvorgang verlangt unsere Matrix ein

.

Ein unerlaubter fremder Dateipfad wird mit

beantwortet.

Die erlaubte Vorschau wird unter

gespeichert.

Für die lokale Messdatenübung bleibt der Zugriff auf das

deaktiviert.

Ein Text mit Anweisungen in einer CSV-Datei bleibt unvertrauenswürdiges

.

Die Aufzeichnung von Entscheidungen und Fehlergründen heißt

.

Offene Aufgaben

Leicht

Werkzeugbegriffe: Erkläre in eigenen Worten Agent, Werkzeug, Ressource und Berechtigung anhand der Messdaten-App; gib jeweils ein kurzes Beispiel.
Rechte unterscheiden: Markiere in der bereitgestellten Modellmatrix jeden Lese-, Schreib- und Netzwerkzugriff mit einer eindeutigen Farbe; die Lösung muss auch schwarz-weiß verständlich beschriftet sein.
Pfadgrenze: Entscheide für drei synthetische Dateipfade über ALLOW oder DENY und begründe jede Entscheidung mit Projektwurzel und Operation.
Offline-Testplan: Schreibe je einen Test für gültige CSV, fehlende Spalte und ungültige Zahl; notiere erwartete Fehlermeldungen ohne einen Agenten auszuführen.

Standard

Eigene Matrix: Erzeuge berechtigungen.md mit den sechs Spalten der Vorlage und einer ergänzten Zeile für das Anlegen eines Testberichts.
Entscheidungssimulator: Programmiere offline eine reine Funktion, die Werkzeug, Pfad und Operation bewertet und ausschließlich ALLOW, DENY oder REVIEW_REQUIRED ausgibt.
Reviewprotokoll: Erstelle einen synthetischen Git-Diff für eine bessere CSV-Validierung und beschreibe, welche Stellen eine Person vor der Freigabe prüft.
Getrennte Rechte: Führe zwei simulierte Fälle mit erlaubtem Lesen und verweigertem Netzaufruf durch; dokumentiere die unterschiedlichen Rechte und Protokolleinträge.

Schwer

Präfixfehler finden: Analysiere den Fall messdaten-labor-alt/geheim.csv, entwirf Gegenprüfungen für relative Pfade und symbolische Links und benenne die Grenze einer Prüfung vor der Dateinutzung.
Least-Privilege-Architektur: Entwickle ein Berechtigungsmodell mit zeitlich begrenzter Einmalfreigabe, Widerruf, Auditprotokoll und unabhängiger Sandboxdurchsetzung.
Fehlerszenarien: Erstelle eine Testmatrix mit mindestens acht Fällen zu fremdem Pfad, erlaubtem Pfad, Schreibüberschreitung, Netzanfrage, Symlink und Reviewablauf; interpretiere einen absichtlich fehlerhaften Simulator.
Transferprojekt: Übertrage die Regeln auf eine offline betriebene Bildsortier-App, begründe jede Änderung und bewerte, welche zusätzlichen Bedrohungen entstehen; verwende ausschließlich freie Beispieldateien.

Lernkontrolle

Grenzentscheidung: Beurteile den Versuch, ../privat/notizen.txt zu lesen; nenne Entscheidung, technische Sperre, erwarteten Logeintrag und eine erlaubte Alternative.
Schreibfreigabe: Beschreibe, weshalb eine einmalige Freigabe für out/preview.json kein Schreibrecht für andere Dateien begründet.
Netztrennung: Begründe anhand eines konkreten Exportversuchs, warum Dateilesen nicht automatisch einen Netzwerk-Upload legitimiert.
Fehlerdiagnose: Erkläre den Präfixfehler am Ordner messdaten-labor-alt und nenne eine zusätzliche technische Schutzschicht gegen race conditions.
Freigabeentscheidung: Bewerte den Befund Funktionstests erfolgreich, aber Agent fordert allgemeine Shell- und Netzrechte. Formuliere eine begründete Reviewentscheidung.
Transfer: Vergleiche die Berechtigungsmatrizen der Messdaten-App und einer lokalen Bildsortier-App unter dem Prinzip geringster Rechte.

Lernnachweis

Abzugeben sind: (1) die lokale Datei berechtigungen.md mit Werkzeug, Ressource, Operation, Startrecht, befristeter Freigabe und Prüfnachweis; (2) die Importprüfregeln für synthetische CSV-Daten; (3) ein Offline-Testprotokoll mit mindestens drei positiven und fünf negativen Fällen; (4) ein kommentierter, rein lokaler Änderungsvorschlag mit Diff; (5) eine begründete Bewertung des Präfixfehlers; (6) die Transfermatrix für eine Bildsortier-App. Ein Screenshot ist optional, personenbezogene Daten sind ausgeschlossen.

Kriterien für bestanden: Fremder Pfad wird nachweisbar abgelehnt; Schreibrecht ist auf out/preview.json und eine Einmalfreigabe beschränkt; Netzrecht ist gesondert und standardmäßig verweigert; die Entscheidungen sind technisch plausibel begründet; mindestens ein eigener Fehlerfall und eine unabhängige Schutzmaßnahme sind diskutiert. Für anspruchsvolle Leistungen werden Symlink- und TOCTOU-Risiken, zeitliche Begrenzung sowie ein nachvollziehbarer Review- und Widerrufsprozess berücksichtigt. Die Bewertung dieses Lernnachweises ist keine produktive Sicherheitsabnahme.

OER und Wikipedia

Fachstand und Quellenprüfung: 22. Oktober 2026. Vorgaben und Beispiele können sich ändern; im Berufsalltag sind die aktuellen Spezifikationen und lokalen Sicherheitsvorgaben maßgeblich.

Model Context Protocol: Security Best Practices, Dokumentationsfassung vom 28.07.2026, insbesondere Scope Minimization, lokale Servergefahren und Autorisierungsfragen. Offizielle technische Primärdokumentation; ausdrücklich keine allgemeine Sicherheitszertifizierung.
NIST AI 600-1, Generative AI Profile, Juli 2024, Rahmen für die strukturierte Risikoanalyse, nicht ein fertiger Dateisystem-Sandboxstandard.
Python-Dokumentation zu pathlib und Python-Dokumentation zu subprocess, technische Referenzen; konkrete Eigenschaften hängen von Python-Version und Betriebssystem ab.
Wikipedia: Zugriffskontrolle, deutschsprachiger Überblick mit weiterführenden Verweisen; als Einstieg kritisch mit Primärquellen abgleichen.
Max-Planck-Gesellschaft: Was sind KI-Agenten und sind sie gefährlich?, 20.07.2026, Video-Kontext zur Manipulierbarkeit von Agenten; nur Ergänzung.
Angegebener Grundlagenkurs, Link aus der Aufgabenstellung; Inhalt beim Abruf nicht bestätigbar. Die hier benötigten Grundlagen sind unabhängig davon oben kurz erklärt.

Geprüfte freie Medien; Urheber und Rechte:

Datei oder Video	Quelle	Urheberschaft	Lizenz und Nachweis
File:Role-based access control.svg	Commons-Dateiseite	Babbage	CC0
File:Padlock.svg	Commons-Dateiseite	AJ Ashton	CC0
File:GNOME Terminal screenshot.png	Commons-Dateiseite	GNOME Project; Screenshot auf Commons von Wiktorpyk	GPL; softwarebezogene Abbildung
File:Basic git branching workflow (GitLab).svg	Commons-Dateiseite	TheresNoTime	CC BY-SA 4.0
File:NetworkTopologies.svg	Commons-Dateiseite	Maksim; Malyszkz	gemeinfrei
File:Networkfailure.gif	Commons-Dateiseite	Stickulator	CC BY-SA 3.0
File:De-Sicherheit.ogg	Commons-Dateiseite	Jeuwre	CC BY-SA 4.0
https://www.youtube.com/watch?v=Fsbwvj78lKI	Herausgeberseite	Max-Planck-Gesellschaft	Urheberrecht beim Herausgeber; YouTube-Wiedergabe direkt nicht verifiziert, daher nur als freiwilliger Link; keine freie Nachnutzung behauptet

Vorschaubilder/Alternativen: Die Commons-Dateiseiten bieten Bildvorschauen und Lizenzbelege; bei fehlendem Medienzugriff ersetzen die Bildunterschriften, die Pfad- und Matrix-Tabellen sowie die beschriebenen drei Offline-Fälle alle visuellen und auditiven Inhalte. Grafiken und Animation dienen nur der Illustration, nicht als Beleg für Sicherheitswirksamkeit.