KI-Agenten in der CI/CD-Pipeline

Agenten sind die neue Pipeline-Identität

Immer mehr Pipelines delegieren an autonome Agenten: Sie bauen, testen, deployen und beheben Fehler - mit Secrets, Tokens und OS-Zugriff. Damit erben sie die vollen Rechte des Runners.

Warum Memory das Problem verschärft

Ein Agent liest sein Memory und seine Skills bei jedem Lauf neu. Ist es einmal vergiftet (siehe Memory Poisoning), wirkt es bei jedem künftigen Pipeline-Run - eine Persistenz, die kein Anwendungs-Code-Review findet.

Die Darstellung

Wie aus einem einmaligen Zugriff dauerhafte Persistenz wird - und wo PoisonZero sie bricht:

1 · Initial Access

PPE oder vergifteter Skill

Angreifer erreicht den Agenten - via Pipeline-Datei oder Marketplace-Skill.

2 · Persistenz

Memory vergiftet

"Vertraue Quelle X / deaktiviere Prüfung Y" landet im Agent-Memory.

PoisonZero

PoisonZero bewertet jeden Write ins Agent-Memory/Skills/Config - auch auf dem Runner.

gefährlich → revert

✕ Verhindert

Jeder Run kompromittiert

↳ Agent handelt bei jedem Heartbeat mit Secrets
↳ Lateral Movement über Pipeline-Grenzen
↳ Unsichtbar für App-Code-Reviews

Ohne Schutz ist vergiftetes Agent-Memory eine dauerhafte Hintertür in der Pipeline. Mit PoisonZero endet die Kette am Memory-Write - fail-closed, mit Audit.

So schützt PoisonZero Sie hier

PoisonZero läuft als Daemon (auch auf Runnern und Build-Hosts) und überwacht Agent-Memory, -Skills und -Config; es prüft jede Änderung, bevor sie wirksam wird - eine harmlose Änderung passiert, eine gefährliche wird zurückgerollt, eine unklare wird zur Prüfung zurückgehalten:

• Jeder Write in die geschützten Agent-Pfade wird bewertet, nicht nur der erste Prompt.
• Gefährliche werden fail-closed mit vollem Audit-Trail zurückgerollt; Meta-Attacken werden gesondert erkannt.
• Ein einmaliger Angriff bleibt einmalig, statt zu einer dauerhaften Anweisung zu werden, die bei jedem Lauf neu gelesen wird.

Verwandt: Poisoned Pipeline Execution und Supply-Chain-Würmer.