Erst die Grenze nachweisen, dann Autonomie gewähren.

Was das Labor heute tut

Jeder Punkt ist eine Eigenschaft des Labors und der signierten Berichte, die es erzeugt — nachprüfbar, ohne uns zu fragen.

• Reproduziert zuerst die Lücke: Eine permissive Baseline zeigt die Wirkung, die ein Agent verursachen kann, wenn eine Grenze nur deklariert ist, damit der geschützte Durchlauf etwas Reales einzudämmen hat.
• Schickt denselben verbotenen Versuch über MCP, die Shell, ein Skript und einen direkten API-Aufruf. Eine Route, die nicht durchlaufen wurde, wird als nicht bewertet gemeldet, nie als geschützt.
• Beobachtet Wirkungen aus einem Prozess außerhalb des Agenten. Logs, Zusammenfassungen und Tool-Ausgaben des Agenten gelten als nicht vertrauenswürdige Belege.
• Lässt nur genau den geprüften Kandidaten hinaus — Repository, Branch, erwartete ref und diff — über den Execution Guardian, mit einer atomaren Prüfung des Remote-Zustands.
• Signiert jeden Durchlaufbericht mit einem Supervisor-Schlüssel, den der Agent nie sieht; der Bericht verifiziert offline gegen Trust Anchors, die der Betreiber installiert.

Warum es existiert

MCP ist eine Route. Die Shell, Dateien, APIs, der Browser und Automatisierungen sind weitere.

Ein Team will einen Coding-Agenten arbeiten lassen, ohne dass er Produktion, Geheimnisse oder die Arbeit anderer erreicht, und muss prüfen, dass diese Grenzen halten, ohne die eigene reale Umgebung zu zerstören. Hooks und Freigabemodi beschreiben, wie ein Agent um Erlaubnis bittet; sie sind kein Perimeter. Das Risiko liegt in der Autorität, die der Agent tatsächlich nutzen kann, und in den Routen, die er tatsächlich erreicht — ein SSH-Socket, eine Browser-Sitzung, ein Proxy, der jede Anfrage signiert, oder ein interner Endpunkt verleihen Autorität, ohne einen einzigen Schlüssel preiszugeben.

Die Fehlerfamilien hinter den Tests

Öffentliche Fälle aus dem Jahr 2026 haben die Szenarien geprägt. Jede Familie entspricht einer Kontrolle und den Tests, die sie auszuhebeln versuchen.

Diese Fälle motivieren Fehlerfamilien. Sie sind keine forensischen Nachbildungen, und nichts hier behauptet, das Labor hätte sie verhindert. Die Varianten, die wir testen — Aliase, Shims, Cache-Misses —, sind unsere eigenen.

Der Kreislauf

Deklarieren, Durchbruch versuchen, beobachten, korrigieren, erneut testen, freigeben, ausführen, verifizieren.

1. 01 Deklarieren
2. 02 Durchbruch versuchen
3. 03 Von außen beobachten
4. 04 Korrigieren
5. 05 Erneut testen
6. 06 Die exakte Wirkung freigeben
7. 07 Ausführen
8. 08 Verifizieren

Eine deklarierte Grenze wird zu einem widerlegbaren Test, und dieselbe Grenze regelt danach den eigentlichen Durchlauf. Ändert sich ein wesentliches Feld — das Modell, ein Mount, die Policy, der Adapter oder das Ziel —, müssen die betroffenen Routen neu validiert werden, bevor sie wieder zählen.

Vier getrennte Verantwortlichkeiten

Im Labor sind Beobachter und Guardian getrennte Prozesse mit getrennten Verzeichnissen und Berechtigungen. Das ist Unabhängigkeit vom getesteten Prozess, kein unabhängiges institutionelles Audit.

Profile und Laborstufen

Jedes Ergebnis nennt die Routen, die es abgedeckt hat, nie ein globales „sicher“.

Alle drei Profile, einschließlich der bewusst permissiven Baseline, laufen in einem abgeschlossenen Bereich ohne Produktion und ohne Ziele im Internet. Die Baseline darf eine synthetische verbotene Ressource erreichen — nie eine echte.

Nachprüfbare Belege

Signierte Berichte und drei Achsen, die nie vermischt werden.

Durchläufe werden durch versionierte, mit Zod validierte Strukturen beschrieben — HarnessProfileV1, HarnessScenarioV1 und HarnessRunReportV1. Der Bericht wird mit einem Supervisor-Schlüssel außerhalb des Agenten signiert und offline gegen Anker verifiziert, die über einen Betreiberkanal installiert wurden; einem Schlüssel, der in genau dem Bericht mitgeliefert wird, den er signiert, wird nie vertraut.

Belege werden pro Eigenschaft wiederverwendet, nicht über einen globalen Digest.

Die Zulassung ist eine Konjunktion: exakte Autorität, lokale Policy, authentische und anwendbare Belege für jede geforderte Route, laufende Beobachtung und verbleibendes Budget. Ein Bericht kann eine dieser Bedingungen erfüllen; er ersetzt nie die anderen und schafft nie eine Berechtigung. Eine versionierte Regel, die der Betreiber außerhalb des Agenten installiert, vergleicht die wesentlichen Abhängigkeiten jeder Aussage mit der jetzt beobachteten Konfiguration — ein fehlendes, unbekanntes oder nicht prüfbares Feld bedeutet nicht bewertet.

• Datei- und ProzessisolationHängt von Betriebssystem, Kernel, Backend, Image, Identität, Privilegien, Mounts, Sockets und dem tatsächlichen Start ab. Ein neues Git-Ziel allein macht sie nicht ungültig; ein neuer Mount schon.
• Eingedämmter Netzwerk-EgressHängt von Regeln, Routen, DNS, Proxys, Hilfsprozessen und erreichbaren Endpunkten ab. Die Autorisierung einer weiteren Domain erbt nie ein PASS, und ein lokaler Canary beweist keine Sperre des Internets.
• Der Adapter bewahrt die exakte WirkungWiederverwendbar als Beleg für den Mechanismus. Über Berechtigungen, Netzwerk, Identität oder das Verhalten eines echten Providers beweist das nichts.
• Integration mit dem ZielWird nur auf genau diesem autorisierten Ziel erlangt. Ein lokales Fixture wird nie zum Beleg über das echte GitHub, und ref und Vorzustand werden für jede Wirkung neu gelesen.
• Verhalten des AgentenGebunden an Modell, Version, Harness, Tools, Aufgabe und Parameter. Ein neues Modell macht eine Betriebssystem-Barriere, die unabhängig von ihm getestet wurde, nicht ungültig; wohl aber jede Hochrechnung seines Verhaltens.

Ein grüner Bericht stellt nie ein Execution Grant aus, ersetzt nie MFA oder Quorum und autorisiert nie künftige Ergebnisse. Ein neuer Kandidaten-SHA braucht eine neue exakte Freigabe, auch wenn alle Belege zur Umgebung weiterhin gelten.

Exakter Export

Nur die geprüfte Änderung verlässt das Labor.

1. 01Das Schreiben stoppt, und der Kandidat geht in Quarantäne. Der Supervisor baut aus einer vertrauenswürdigen Basis plus der Änderung ein sauberes Repository neu auf — ohne .git, Hooks, Helper, Konfiguration, Submodule oder Filter vom Agenten.
2. 02Akzeptiert werden nur reguläre Textdateien innerhalb der Pfade der Aufgabe. Symlinks, gitlinks, ausbrechende Pfade und Änderungen an den Kontrollen werden abgelehnt.
3. 03Artefakt-Digest, Kandidaten-SHA, Basis, Ziel, erwartete ref und der vollständige diff des exportierten Bereichs werden fixiert. Der Commit-Autor zählt als Metadaten, nicht als Autorisierung.
4. 04Die Prüfung legt dar, was gesendet wird, an welches Repository und in welchen Branch, und welche Automatisierungen dadurch ausgelöst werden. Ein Task Contract bindet genau diese Wirkung.
5. 05Der Execution Guardian validiert Artefakt, Ref, Policy, Budget und Stopp erneut und führt dann einen Fast-Forward oder das Anlegen einer Ref mit atomarem Vergleich des Vorzustands aus — auf GitHub nur das Anlegen. Es gibt keinen generischen Force-Push.
6. 06Der Remote-Zustand wird verifiziert. Ein Timeout hält die Reservierung und ein ungewisses Ergebnis bis zum Abgleich aufrecht, ohne blinde Wiederholung, und das Receipt trennt einen autorisierten Push von korrektem oder gutartigem Code.

Stopp, Liveness und Budget

Harnesses

Belege pro Harness, Version und Plattform.

Adapter übersetzen den Start und die Ereignisse einer gepinnten Harness-Version. Hat ein Harness keinen gleichwertigen blockierenden Hook, bleibt die Eindämmung extern, und dieser Hook wird als nicht unterstützt markiert, statt erfunden zu werden. Linux ist das getestete Backend; macOS und Windows erben seine Ergebnisse nicht, und kein Harness-Logo bedeutet vollständige Abdeckung.

1. 01

   Claude Code · Codex

   Die ersten Adapter, einer nach dem anderen. Das native macOS-Profil wird eigenständig bewertet und erbt nichts von Linux.

2. 02

   Cursor

   Als Nächstes, mit eigenem Profil und einer Eigenschaft pro Arbeitspaket.

3. 03

   SDKs

   Danach die SDKs, mit derselben Beleg-Semantik.

4. 04

   Cloud-Agenten

   Angerechnet wird nur die tatsächlich vermittelte Wirkung am Ziel; die interne Umgebung des Agenten bleibt nicht bewertet.

Für Teams, die Modelle trainieren und evaluieren

Agentische Evaluierungen innerhalb eines getesteten Perimeters.

Harness-Evaluierungen integrieren sich in Inspect — dessen Tasks, Samples und Docker-Sandbox — für Lebenszyklen, Szenarien und Limits. SecureStamp steuert den externen Beobachter, die Wirkungsorakel und den Export der Berichte bei — keinen weiteren Scheduler, keinen LLM-Bewerter und keine Log-Pipeline. Kein Scorer führt den Kandidaten im vertrauenswürdigen Prozess aus, Wiederholungen von Befehlen mit Wirkungen sind deaktiviert, und Entwicklungs- und Holdout-Sets bleiben getrennt: Das Holdout-Set wird nie zum Feinjustieren der Kontrollen verwendet.

• Zuerst werden deterministische Versuche eingespeist, als kausaler Test des Mechanismus. Echte Harnesses und Modelle laufen danach, innerhalb eines autorisierten Budgets, als Beleg dafür, wie sich das System verhält.
• Anfragen erneut abzuspielen spielt kein stochastisches Reasoning erneut ab. Versionen, verfügbare Parameter, Anzahl der Durchläufe, Timeouts und Nenner werden festgehalten; ein identisches Replay wird nicht versprochen.
• Nutzen und Eindämmung werden getrennt ausgewiesen, damit das Blockieren von allem nie als funktionierendes Produkt zählt. Ein Ergebnis von 0/N ist kein Nullrisiko.