Uber veröffentlicht KI-Agenten-Schutzsystem ADR als Open Source

Stellen Sie sich folgendes Szenario vor: Sie erlauben Entwicklern, Coding-Assistenten wie Claude Code oder Cursor zu nutzen. Agents navigieren frei durch die Konsole, führen Befehle aus, lesen Dateien und rufen externe APIs über das Model Context Protocol (MCP) auf. Plötzlich befindet sich eine unauffällige Prompt-Injection in einer der zu verarbeitenden Dateien. Der Agent liest die bösartige Anweisung und sendet stillschweigend private Schlüssel an einen externen Server.

Uber ist mit dieser Bedrohung direkt konfrontiert worden. Um interne Prozesse und Client-Support-Bots zu schützen, haben die Ingenieure des Unternehmens das ADR-System (Agentic AI Detection and Response) entwickelt. Die Autoren haben das Projekt kürzlich auf GitHub als Open Source veröffentlicht und einen Forschungsartikel für die MLSys 2026-Konferenz publiziert.

Woraus ADR besteht

Uber setzt ADR bereits produktiv ein. Einige Komponenten verbleiben in den internen Repositories des Unternehmens (zum Beispiel die Prevention-Engine für automatisches Blockieren gefährlicher Aktionen und das ADR Explorer-Tool für automatisierte Audits). Der Hauptteil der Architektur wurde jedoch unter der Apache 2.0-Lizenz veröffentlicht.

Der Open-Source-Teil des Projekts ist in drei Blöcke unterteilt:

• Observability (Sensor). Sammelt und normalisiert Telemetriedaten von über 7 beliebten Entwicklungstools nach einem einheitlichen Schema. Läuft auf macOS, Linux und Windows.
• Benchmark (ADR-Bench). Eine Testumgebung für Sicherheitsvalidierung. Besteht aus 303 Aufgaben, 133 MCP-Servern und deckt 17 Angriffstechniken gegen autonome Agents ab.
• Detection (ADR Detector). Ein zweistufiges Modul zur Bedrohungserkennung in Agent-Aktivitätsprotokollen.

Telemetrieerfassung ohne Bindung an ein bestimmtes Tool

Die größte Herausforderung beim Tracking von KI-Agenten ist die Fragmentierung der Logs. Cursor schreibt Logs in einem Format, Claude Code in einem anderen und ein interner Company-Bot in einem dritten.

Das Sensor-Modul ruft rohe Events von jedem Tool ab und normalisiert sie in ein gemeinsames Format. Es erfasst nicht nur den Nachrichtentext, sondern auch Intent-Ketten, spezifische Funktionsaufrufe und Befehlsausführungsergebnisse. Dadurch erhält das Sicherheitsteam einen einheitlichen Event-Stream, unabhängig davon, in welcher Umgebung der Ingenieur gearbeitet hat.

Danach können Sie ein Standardtestszenario ausführen. Falls Sie keine API-Keys zur Hand haben oder keine Tokens ausgeben möchten, enthält das Projekt einen leichtgewichtigen lokalen Validierungsmodus:

Detaillierte Anweisungen zur Reproduktion der Grafiken und Metriken aus dem Forschungsartikel finden Sie in der docs/REPRODUCIBILITY.md-Datei.

Für wen das Projekt interessant sein dürfte

Das Repository hat bisher etwa 650 Stars gesammelt, aber sein praktischer Nutzen ist sofort erkennbar. Im Gegensatz zu vielen theoretischen Frameworks ist ADR aus einem echten Bedürfnis eines großen Unternehmens entstanden, seine Mitarbeiter abzusichern.

Das Projekt ist nützlich für:

• Informationssicherheitsspezialisten, die nach Wegen suchen, die Nutzung von KI-Assistenten im Unternehmen zu kontrollieren.
• Forscher, die einen fertigen Benchmark zum Testen der LLM-Agent-Sicherheit benötigen.
• Entwickler eigener Agents, die das Telemetrieerfassungs- und Normalisierungsschema studieren möchten.

Natürlich enthält die Open-Source-Version noch nicht das automatische Angriffsverhinderungsmodul (Prevention). Aber selbst in seinem aktuellen Zustand bietet ADR eine ausgezeichnete Grundlage für den Aufbau eines Monitoring-Systems für KI-Tools innerhalb eines Teams.