PoisonZero - Technisches Whitepaper
Das Architektur-Dokument für die Menschen, die den poison0-Agenten bewerten: Security-Engineers und CISOs, die das Design wollen, nicht den Pitch. Es spezifiziert das Threat-Model, die ereignisgetriebene Verarbeitungs-Pipeline, die Decision-Engine mit ihren echten Default-Schwellwerten, beide Bewertungs-Modi (cloud-gestützt und vollständig on-device), das On-Device-Erkennungsmodell sowie die Integritäts- und Datenhaltungs-Garantien dahinter. Restrisiken werden ehrlich benannt. Das adressierte Risiko ist als OWASP ASI06 (Memory & Context Poisoning) in den OWASP Top 10 for Agentic Applications katalogisiert.
Whitepaper herunterladen (English, PDF)
Version 2.7 · Oktober 2026 · 39 Seiten · Englisch
Abstract
KI-Agenten halten ein persistentes Gedächtnis (stehende Anweisungen, Projektnotizen, gelernte Präferenzen) in einfachen Dateien, die bei jedem Lauf zurück in den Modellkontext gelesen werden. Ein Angreifer, der einen einzigen bösartigen Eintrag schreibt, beeinflusst jedes künftige Verhalten, ohne anwesend zu sein, wenn der Schaden eintritt. Der poison0-Agent behandelt jede Änderung an einer geschützten Datei als nicht vertrauenswürdig, bis sie als sicher erwiesen ist, und ist fail-closed: Ist eine Bewertung unmöglich oder mehrdeutig, wird die Änderung als strukturiertes Audit-Ereignis festgehalten und sichtbar gemacht, statt unbewertet durchgewunken zu werden. Das Dokument spezifiziert das Threat-Model mit fünf Angriffsklassen, die Verarbeitungs-Pipeline, den cloud-gestützten Modus mit überprüfbarem Egress-Vertrag, den vollständig on-device-Modus mit Minimal-Privilegien-Sandbox, das decoder-only-Erkennungsmodell mit vollständig eigenen Gewichten, die At-Rest-Integrität des on-device-Modells (authentifiziert verschlüsselt und manipulationssicher gespeichert, sodass jede Veränderung fail-closed scheitert) sowie die Lizenz- und Integritäts-Architektur. Jede Modellversion hat ihren eigenen Schlüssel, abgeleitet aus Hauptschlüsseln in Hardware-Sicherheitsmodulen (HSM) von Google Cloud, die nicht ausgelesen werden können; ein Gerät erhält nur die Schlüssel der Modelle, die es nutzen darf, verpackt an einen Schlüssel des Geräts. Die Details der Sandbox je Plattform (Seatbelt, Landlock, netzwerk-isolierter AppContainer, eingeschränktes Token und Job Object) stehen in der Engine-Sandbox-Übersicht.
exec0: Prüfung von Tool-Aufrufen
exec0 prüft jeden Tool-Aufruf eines KI-Agenten, bevor er ausgeführt wird: Shell-Befehle, Schreibzugriffe, Web-Abrufe und MCP-Aufrufe. Zuerst greifen feste Regeln ohne Modell; sie blockieren klare Katastrophen sofort, auch wenn die Engine nicht läuft. Alle anderen Aufrufe bewertet Melira AI auf dem Gerät, mit dem Auftrag des Nutzers, dem Verlauf der Sitzung und dem zuletzt gelesenen Inhalt als Kontext. Ist ein Fall unklar, fragt der poison0-Agent im gewohnten Dialog nach; ohne Antwort läuft der Aufruf nicht. Bewertet wird der Aufruf, nicht seine Herkunft.
Melira Ultra - GPU-beschleunigte Erkennung
Innerhalb des Enterprise-Tiers wird eine GPU-beschleunigte Variante angeboten: Melira Ultra läuft GPU-beschleunigt auf Hosts mit fähiger GPU, bei niedrigerer Latenz und höherem Durchsatz. Es gehört zum Enterprise-Tier und ist keine eigene Produktstufe. Der Inferenz-Vertrag bleibt derselbe. CPU-only-Inferenz bleibt die empfohlene, sichere Voreinstellung und die oben beschriebene Basis. Die GPU-Beschleunigung ist eine opt-in-Wahl, die die vertrauenswürdige Rechenbasis vergrößert; sie wird als separater, gehärteter Build ausgeliefert, in dem der Netzwerkzugriff auf Betriebssystemebene verweigert bleibt. Gehärtete GPU-Unterstützung ist auf allen drei Plattformen ausgeliefert: macOS (Apple Silicon, Metal), Linux (Vulkan) und Windows (Vulkan). Auf macOS und Linux gilt dieselbe kernel-erzwungene Isolation wie auf dem CPU-Pfad; auf Windows verlässt der GPU-Start den AppContainer und gibt die Integritäts-Absenkung auf, während eingeschränktes Token, Job-Objekt und Netzsperre bleiben.
Fragen für Ihr Security-Team?
Schicken Sie uns die Eckdaten Ihrer Umgebung (Private-Setup-Vorgaben, Flottengröße, DLP-Anforderungen), und wir gehen die Details mit Ihren Engineers durch.
Sales kontaktieren