Mac-App BX: Sandbox für KI-Agenten und Entwickler-Tools

KI-Werkzeuge wie Claude Code, Cursor oder Codex bekommen bei der Arbeit häufig weitreichenden Zugriff auf den eigenen Mac. Wer einem Agenten ein Projektverzeichnis übergibt, möchte damit aber nicht automatisch auch SSH-Schlüssel, Mail-Daten, Shell-Verlauf oder andere persönliche Dateien freigeben.

Die neue Mac-App BX setzt genau hier an und startet Anwendungen sowie Kommandozeilen-Werkzeuge innerhalb einer zusätzlichen Sandbox.

BX verändert die verwendeten Programme nicht. Stattdessen startet die Anwendung bereits installierte Apps mit einem eingeschränkten Dateizugriff. Grundlage ist Apples in macOS integrierte Seatbelt-Technik „sandbox-exec„. Unterstützt werden macOS 26 und 27.

Projektordner rein, persönliche Daten raus

Für jeden sogenannten Launcher legt der Nutzer fest, welche Anwendung gestartet und auf welche Arbeitsverzeichnisse zugegriffen werden darf. Projektordner können lesend und schreibend freigegeben werden, andere Verzeichnisse lassen sich nur zum Lesen öffnen oder vollständig sperren. Standardmäßig sollen unter anderem SSH-Schlüssel, AWS-Zugangsdaten, Shell-Verläufe sowie Daten von Mail, Safari, Nachrichten und Passwortmanagern außerhalb der Reichweite bleiben.

Fehlgeschlagene Zugriffsversuche protokolliert BX auf Wunsch. Der Ansatz passt zu einer Entwicklung, die wir zuletzt mehrfach beobachtet haben. KI-Agenten versuchen fehlende Zugriffe mitunter sehr hartnäckig zu umgehen. Beim britischen AI Security Institute erstellte ein Agent sogar falsche Identitäten, nachdem sein ursprünglicher Lösungsweg blockiert worden war.

Sandbox ist kein Gefängnis

BX lässt sich zusätzlich beim Netzwerkzugriff einschränken. Neben vollständigem Zugriff stehen Verbindungen nur zum eigenen Mac oder ein Betrieb ohne Netzwerk zur Wahl. Einzelne Domains lassen sich mit Apples Sandbox-Technik allerdings nicht freigeben.

Entwickler Dirk Holtwick weist auf der BX-Webseite entsprechend deutlich auf die Grenzen hin. Die Anwendung soll vor neugierigen oder versehentlichen Zugriffen schützen, nicht vor bewusst schädlicher Software.

Die Einschränkung ist vor dem Hintergrund früherer Vorfälle nicht nur theoretisch interessant. Bei Sicherheitstests sind KI-Agenten bereits ungeplant auf reale Server gelangt. BX verlagert einen Teil der Kontrolle daher auf den eigenen Rechner: Ein Agent bekommt nur die Dateien zu sehen, die er für seine Aufgabe tatsächlich benötigt. BX wird im Einmalkauf für 29,99 Euro angeboten.