Brain and Hands Pattern
Das Brain and Hands Pattern trennt Planung und Ausführung in agentischen Systemen. Das Sprachmodell plant, entscheidet und bewertet Ergebnisse, führt aber selbst keinen Code aus. Jede Ausführung – Buildschritte, Tests, Skripte, Drittanbieter-Bibliotheken – geschieht in wegwerfbaren, netzwerklich eingeschränkten Umgebungen, deren Ergebnis nur als Daten zurückfließt.
Sicherheitsmuster für autonome Agenten: Das koordinierende Modell („Brain“) bleibt in einer geschützten Umgebung, während fremder Code ausschließlich in isolierten virtuellen Maschinen („Hands“) läuft.
Erklärung
Agenten werden gefährlich, wenn Planung und Ausführung in derselben Vertrauenszone liegen. Ein Agent, der eine fremde Bibliothek installiert und im selben Kontext Zugangsdaten, Repository und Produktivsystem erreicht, hat keine wirksame Grenze mehr: Schadcode oder eine manipulierte Datei können Anweisungen einschleusen und werden mit den Rechten des Agenten ausgeführt. Das Muster zieht diese Grenze bewusst. Das „Brain“ hält Kontext, Auftrag und Bewertungslogik und besitzt keine Ausführungsrechte. Die „Hands“ sind kurzlebige virtuelle Maschinen oder Container, die pro Aufgabe neu entstehen, nur die minimal nötigen Zugänge kennen und danach verworfen werden. Rückläufe werden als unzuverlässige Eingabe behandelt und nicht als Befehl. In der Praxis bedeutet das: getrennte Zugangsdaten je Umgebung, kein dauerhafter Schreibzugriff aus der Ausführungsschicht heraus, Protokollierung beider Seiten und ein menschlicher Freigabepunkt, bevor Ergebnisse in Produktivsysteme gelangen.
Relevanz für Marketing
Für Technologie- und Marketingorganisationen ist das Muster die Antwort auf die Frage, wie Agenten überhaupt freigegeben werden können. Es erlaubt produktive Autonomie bei begrenztem Schaden: Ein kompromittierter Ausführungsschritt kostet eine verworfene Maschine, nicht den Zugriff auf CRM, Werbekonten oder Kundendaten.
Beispiel
Ein Agent soll eine Kampagnen-Auswertung automatisieren. Die Planung läuft im geschützten Kontext, das Skript und alle installierten Pakete laufen in einer frischen virtuellen Maschine mit Lesezugriff auf einen Exportbereich. Das Ergebnis kommt als CSV zurück; Schreibrechte auf das Werbekonto besitzt nur ein separater, menschlich freigegebener Schritt.
Häufige Fallstricke
Häufigster Fehler ist die halbe Trennung: isolierte Ausführung, aber gemeinsame Zugangsdaten oder ein gemountetes Arbeitsverzeichnis mit Schreibrechten. Ebenso riskant ist es, Ausgaben der Ausführungsschicht ungeprüft als Anweisung ins Modell zurückzuspielen – genau dort setzt Prompt Injection an.
Entstehung & Geschichte
Sandboxing ist alt, die Übertragung auf Agenten jung. 2023 und 2024 liefen Coding-Agenten überwiegend direkt auf dem Entwicklerrechner mit vollen Rechten. Mit der Verbreitung von Prompt Injection über Dateien, Issues und Abhängigkeiten setzte sich ab 2025 die Trennung von Planungs- und Ausführungsschicht durch. 2026 gehören vertrauliche oder isolierte Ausführungsumgebungen zum erwarteten Aufbau produktiv genutzter Agentenflotten.
Anwendungsfälle im Marketing
Ausführung von Drittanbieter-Code und unbekannten Abhängigkeiten durch Agenten.
Automatisierte Tests und Builds ohne Zugriff auf Produktivzugänge.
Datenauswertungen auf Exportkopien statt auf Livesystemen.
Sicherheitsprüfungen fremder Repositories in wegwerfbaren Umgebungen.
Häufige Fragen
Reicht ein Container statt einer virtuellen Maschine?
Für viele Fälle ja, sofern Netzwerk, Dateisystem und Zugangsdaten konsequent eingeschränkt sind. Bei wirklich unbekanntem Code ist eine vollständige virtuelle Maschine die robustere Grenze, weil sie weniger Kernel-Oberfläche mit dem Wirtssystem teilt.
Verlangsamt das Muster die Arbeit der Agenten?
Es kostet Startzeit pro Ausführungsschritt und etwas Einrichtungsaufwand. Dafür entfällt die Notwendigkeit, jeden Schritt vorab manuell zu prüfen – in der Summe sind Agenten mit klaren Grenzen meist schneller freigegeben als solche mit vollen Rechten.
Was gehört trotzdem in menschliche Hand?
Alles, was nach außen wirkt oder schwer rückholbar ist: Veröffentlichungen, Zahlungen, Änderungen an Werbekonten, Löschvorgänge und Rechtevergabe. Das Muster begrenzt Schaden, es ersetzt keine Freigabe.
Verwandte Services
Tiefer einsteigen: Agentic AI Hub · Governance & Compliance