PoisonZero - Technisches Whitepaper
Das Architektur-Dokument für die Menschen, die PoisonZero bewerten: Security-Engineers und CISOs, die das Design wollen, nicht den Pitch. Es spezifiziert das Threat-Model, die ereignisgetriebene Verarbeitungs-Pipeline, die Decision-Engine mit ihren echten Default-Schwellwerten, beide Bewertungs-Modi (cloud-gestützt und vollständig on-device), das On-Device-Erkennungsmodell sowie die Integritäts- und Datenhaltungs-Garantien dahinter. Restrisiken werden ehrlich benannt. Das adressierte Risiko ist als OWASP ASI06 (Memory & Context Poisoning) in den OWASP Top 10 for Agentic Applications katalogisiert.
Whitepaper herunterladen (English, PDF)
Version 2.6 · August 2026 · 22 Seiten · Englisch
Abstract
KI-Agenten halten ein persistentes Gedächtnis (stehende Anweisungen, Projektnotizen, gelernte Präferenzen) in einfachen Dateien, die bei jedem Lauf zurück in den Modellkontext gelesen werden. Ein Angreifer, der einen einzigen bösartigen Eintrag schreibt, beeinflusst jedes künftige Verhalten, ohne anwesend zu sein, wenn der Schaden eintritt. PoisonZero behandelt jede Änderung an einer geschützten Datei als nicht vertrauenswürdig, bis sie als sicher erwiesen ist, und ist fail-closed: Ist eine Bewertung unmöglich oder mehrdeutig, wird die Änderung als strukturiertes Audit-Ereignis festgehalten und sichtbar gemacht, statt unbewertet durchgewunken zu werden. Das Dokument spezifiziert das Threat-Model mit fünf Angriffsklassen, die Verarbeitungs-Pipeline, den cloud-gestützten Modus mit überprüfbarem Egress-Vertrag, den vollständig on-device-Modus mit Minimal-Privilegien-Sandbox, das decoder-only-Erkennungsmodell mit vollständig eigenen Gewichten, die At-Rest-Integrität des on-device-Modells (authentifiziert verschlüsselt und manipulationssicher gespeichert, sodass jede Veränderung fail-closed scheitert) sowie die Lizenz- und Integritäts-Architektur. Die Details der Sandbox je Plattform (Seatbelt, Landlock, netzwerk-isolierter AppContainer, eingeschränktes Token und Job Object) stehen in der Engine-Sandbox-Übersicht.
Melira Enterprise Ultra - GPU-beschleunigte Erkennung
Innerhalb des Enterprise-Tiers wird eine GPU-beschleunigte Variante angeboten: Melira Enterprise Ultra läuft GPU-beschleunigt auf Hosts mit fähiger GPU, bei niedrigerer Latenz und höherem Durchsatz. Es gehört zum Enterprise-Tier und ist keine eigene Produktstufe. Der Inferenz-Vertrag bleibt derselbe. CPU-only-Inferenz bleibt die empfohlene, sichere Voreinstellung und die oben beschriebene Basis. Die GPU-Beschleunigung ist eine opt-in-Wahl, die die vertrauenswürdige Rechenbasis vergrößert; sie wird als separater, gehärteter Build ausgeliefert, in dem der Netzwerkzugriff auf Betriebssystemebene verweigert bleibt. Gehärtete GPU-Unterstützung ist auf allen drei Plattformen ausgeliefert: macOS (Apple Silicon, Metal), Linux (Vulkan) und Windows (Vulkan). Auf macOS und Linux gilt dieselbe kernel-erzwungene Isolation wie auf dem CPU-Pfad; auf Windows verlässt der GPU-Start den AppContainer und gibt die Integritäts-Absenkung auf, während eingeschränktes Token, Job-Objekt und Netzsperre bleiben.
Fragen für Ihr Security-Team?
Schicken Sie uns die Eckdaten Ihrer Umgebung (Private-Setup-Vorgaben, Flottengröße, DLP-Anforderungen), und wir gehen die Details mit Ihren Engineers durch.
Sales kontaktieren