Wie baut man sichere AI-Agenten? — Die Open-Source-Container-Architektur von NanoClaw

Gibt man einem AI-Agenten Bash, wird er leistungsfähiger — aber zugleich auch riskanter. NanoClaw ist eine Open-Source-Architektur, die dieses Problem löst, indem sie das Claude Agent SDK (Claude Code) in einem Docker-Container isoliert.

Durch die Trennung von Host und Container werden AI-Aufgaben isoliert, über stdin/stdout-Pipes wird ohne Ports kommuniziert, und eine Allowlist für Volume-Mounts schützt das Dateisystem. Während der Kern bei knapp 500 Zeilen bleibt, folgt der Rest der Philosophie "Skills over features": Claude-Code-Skills passen den jeweiligen Fork jedes Nutzers individuell an.