DNS-AID schlägt DNS-basierte Mechanismen für Vertrauen und Kontrolle bei AI agents vor

DNS-AID ist ein Vorschlag, das Domain Name System, kurz DNS, als Vertrauens- und Kontrollebene für autonome AI agents zu nutzen. Diese AI agents sind Softwaresysteme, die Werkzeuge auswählen, auf Dienste zugreifen und Aufgaben an andere AI agents delegieren können, häufig ohne dass ein Mensch jeden Schritt vorgibt. Der Vorschlag befasst sich mit einer grundlegenden Sicherheitsfrage: Wie kann ein AI agent die vorgesehene Website, Datenquelle, Cloud-Workload oder einen anderen AI agent finden, ohne zu einem nicht autorisierten Ziel umgeleitet zu werden?

Die Arbeit erscheint inmitten einer breiteren Debatte darüber, ob die Entwicklung fortschrittlichster AI verlangsamt werden sollte. Am 12. September 2026 veröffentlichte der CEO von Anthropic einen Essay, in dem er eine langsamere Verbesserung der Fähigkeiten von AI-Modellen forderte. Die CEOs von OpenAI und xAI stimmten öffentlich zu. Im Juli hatten rund 1.400 Beschäftigte führender AI-Unternehmen die US-Regierung aufgefordert, eine internationale Initiative zur Entwicklung technischer und regulatorischer Werkzeuge für eine bewusste Steuerung des Tempos bei der Entwicklung fortgeschrittener AI zu unterstützen. Kritiker dieser Position meinten, eine solche Drosselung könne den Wettbewerbsdruck verringern, auf Engpässe bei der Rechenkapazität reagieren oder vor möglichen Börsengängen die öffentliche Wahrnehmung beeinflussen. Andere äußerten Bedenken hinsichtlich des Kartellrechts und möglicher Eigeninteressen.

Infoblox argumentiert, dass Organisationen weder den Ausgang dieser Debatte noch neue Vorschriften abwarten sollten, bevor sie die Sicherheit der bereits eingesetzten Systeme verbessern. Das Unternehmen vergleicht die Aufgabe mit dem Brandschutz, bei dem Türen, Wände, Alarmanlagen, Sprinkler, Hydranten, Bauvorschriften, Inspektoren, Rettungsdienste, öffentliche Aufklärung, Übungen und Versicherungen gemeinsam das Risiko senken. Auf AI übertragen bedeutet dieses Argument, dass Fertigung, Gesundheitswesen, Recht, Sicherheit, Bildung und operative Tätigkeiten an vorderster Front jeweils Kontrollen benötigen, die auf ihre konkrete Arbeit zugeschnitten sind.

Das Unternehmen schlug DNS for AI Discovery, bekannt als DNS-AID, als offenen Standard vor, der derzeit als Entwurf der Internet Engineering Task Force weiterentwickelt wird. DNS-AID ist außerdem Teil der IETF-Initiative Discovery of Agents With Names, kurz DAWN, die sichere Möglichkeiten zur Erkennung von AI agents und anderen Einheiten untersucht, die über Organisationsgrenzen hinweg mit Netzwerken verbunden sind. DNS-AID wurde zudem als Open-Source-Projekt der Linux Foundation gestartet; als Unterstützer werden Akamai, Cloudflare, CSC, Equinix, GoDaddy, IDC, Indeed, Internet Systems Consortium und WWT aufgeführt. GoDaddy und Infoblox erklären, dass DNS-AID und Agent Name Service zusammenwirken sollen.

Infoblox hat außerdem Stellungnahmen beim US National Institute of Standards and Technology zu dessen Concept Paper on Identity and Authority of Software Agents, dessen Informationsanfrage zur Sicherheit von AI agents und dessen Cyber AI Profile eingereicht. Das Unternehmen beteiligte sich auch an Konsultationen zur Überarbeitung des EU Cybersecurity Act und zu Singapurs Entwurf eines Zusatzdokuments zur Absicherung agentischer AI-Systeme. Zuletzt unterstützte es einen Gesetzentwurf des US-Repräsentantenhauses, der NIST anweisen würde, ein Sicherheitskonzept für die Erkennung von AI agents zu entwickeln.

DNS übersetzt seit mehr als 40 Jahren Namen wie infoblox.com in numerische Internet Protocol-Adressen wie 151.101.2.253. Es ist föderiert, was bedeutet, dass keine einzelne Organisation das gesamte System betreibt, und es ist bereits weltweit im Einsatz. Domain Name System Security Extensions (DNSSEC) ergänzen eine kryptografische Verifizierung, sodass ein resolver prüfen kann, ob signierte DNS records authentisch sind und weder verändert noch ersetzt wurden.

DNS-AID würde einem AI agent einen Namen unterhalb einer von seinem Betreiber kontrollierten domain geben. Im Beispiel des Vorschlags könnte ein AI agent unter billing.acme.com durch DNSSEC mit der Organisation verknüpft werden, die acme.com kontrolliert. Die DNS records könnten außerdem die unterstützten Protokolle des AI agent veröffentlichen, darunter A2A, sowie seine Fähigkeiten und weitere Metadaten, also beschreibende Informationen über den Dienst. Infoblox stellt diese domain-basierte Identität als Grundlage für Verantwortlichkeit und eine agent chain of trust dar. Nach Angaben des Unternehmens nutzen auch andere Identitäts- und Authentifizierungsstandards, darunter SPIFFE, Agent Name Services und ARD, domain-Namen als grundlegenden trust root. DNSSEC authentifiziert jedoch DNS-Daten und beweist nicht, dass das Verhalten oder die Ausgaben eines AI agent sicher sind.

Der zweite Teil des Ansatzes ist protective DNS, ein Dienst, der Regeln anwendet, wenn Geräte domain-Namen abfragen. Sicherheitsteams nutzen solche Kontrollen bereits, um den Zugriff auf bekannte schädliche oder nicht autorisierte domains zu verhindern. Wenn ein AI agent kompromittiert oder nicht genehmigt ist, kann eine Organisation verhindern, dass Benutzer, Geräte und Workloads seine domain auflösen. Dadurch wird der DNS-basierte Weg zu diesem endpoint noch vor der ersten Verbindung unterbrochen. Infoblox bezeichnet dies als DNS kill switch, weil DNS zu einem Kontrollpunkt dafür wird, ob der AI agent erreichbar ist.

Die beiden Kontrollen wirken in entgegengesetzte Richtungen. DNS-AID ist die positive Kontrolle: Es benennt einen AI agent, verknüpft ihn mit einer vom Betreiber kontrollierten domain und verwendet DNSSEC, um den Ursprung seiner endpoint records zu verifizieren. Protective DNS ist die negative Kontrolle: Es blockiert Abfragen für domains, die durch Richtlinien oder Threat Intelligence als nicht autorisiert oder schädlich eingestuft werden. Keiner der beiden Mechanismen kann gewährleisten, dass ein AI-Modell harmlose Ausgaben erzeugt. Die Netzwerkkontrollen können jedoch Zugriffsentscheidungen treffen, bevor ein AI agent eine Verbindung herstellt.

domain-Namen sind außerdem in bestehende Verfahren zur Streitbeilegung und Abschaltung eingebunden. Die Uniform Domain-Name Dispute-Resolution Policy (UDRP), die unter anderem durch WIPO verwaltet wird, ermöglicht es Rechteinhabern, missbräuchliche Registrierungen anzufechten und deren Übertragung oder Löschung zu beantragen. Das Uniform Rapid Suspension-System (URS) bietet in eindeutigen Fällen von Cybersquatting oder Identitätsvortäuschung einen schnelleren Weg, domains zu sperren. Registrar- und Hostinganbieter können ebenfalls aufgefordert werden, missbräuchliche Infrastruktur abzubauen. Infoblox gibt an, dass seine Digital Risk Protection Services die zuständigen Parteien innerhalb von vier Minuten benachrichtigen und einen domain takedown in ungefähr neun Stunden erreichen, bei einer Erfolgsquote von 98,9 Prozent. Bei diesen Zahlen handelt es sich um die vom Unternehmen selbst angegebenen Leistungskennzahlen.

Für Organisationen, die AI agents einführen, bestehen die praktischen Schritte darin, jeden AI agent unterhalb einer vom Unternehmen kontrollierten domain zu veröffentlichen, DNSSEC für die betreffenden records zu aktivieren und DNS-Richtlinien so zu konfigurieren, dass nicht genehmigte Verbindungen erkannt, protokolliert und isoliert werden. Infoblox empfiehlt außerdem, offene, föderierte Standards zu unterstützen, damit Organisationen die Kontrolle über die namespace ihrer AI agents behalten, und sich an gemeinschaftlichen Tests interoperabler Kontrollen zu beteiligen. Da DNS-AID weiterhin ein sich entwickelnder Entwurf und ein Open-Source-Projekt ist, sollte es als noch in Entwicklung befindlicher Vorschlag und nicht als universell eingesetzter Standard betrachtet werden.

Für Leser, die Datenschutz und Sicherheit ihres alltäglichen DNS-Datenverkehrs bewerten möchten, bietet AEU DNS privates, sicheres DNS für alle. Dieser Dienst ist jedoch von dem hier behandelten Unternehmenskonzept zur Erkennung von AI agents getrennt. Die unmittelbare Erkenntnis für IT-Teams lautet, dass die Bereitstellung von AI agents sowohl einen verifizierbaren Benennungsplan als auch eine Möglichkeit zur Sperrung unerwünschter Ziele erfordert, und nicht lediglich Vertrauen in das zugrunde liegende AI-Modell.