2026: Ist die DeepSeek Harness Mac-Sandbox sicher? Seatbelt-Abnahmeliste

2026 DeepSeek Harness Mac-Sandbox-Sicherheit: Die Entscheidung zuerst

Die derzeit sichtbare Version v0.1.0-rc.8 wurde am 19.08.2026 als Vorabversion veröffentlicht; der offizielle Status bleibt „developer preview“ und kann daher inkompatible Änderungen enthalten (offizielle Releases). Der Gewinner ist damit klar: Seatbelt eignet sich für kontrollierte Projekte als Schutz gegen unerwünschte Dateischreibvorgänge, aber nicht als vollständige Isolation von Host, Netzwerk oder Prozessen.

Ein lokales Deployment darf erst freigegeben werden, wenn vier Bedingungen nachweisbar erfüllt sind: Der eingeschränkte Modus ist tatsächlich aktiv, Schreibzugriffe außerhalb des erlaubten Arbeitsbereichs werden abgewiesen, ein Ausfall des Sandbox-Runners beendet die Ausführung, und eine Rechteerweiterung benötigt eine ausdrückliche Genehmigung. Für nicht vertrauenswürdige Repositories, gemeinsam genutzte Systeme oder besonders sensible Zugangsdaten ist ein separater entfernter Mac oder eine stärkere Isolationsstufe die bessere Entscheidung.

Diese Prüfung ist für drei Gruppen gedacht:

• Persönliche Entwickler: Sie wollen wissen, ob DeepSeek Harness aus einem Projektverzeichnis heraus andere Dateien verändern kann.
• Sicherheits- und Plattformteams: Sie müssen die dokumentierten Seatbelt-Funktionen in reproduzierbare Abnahmetests übersetzen.
• Teamverantwortliche: Sie vergleichen einen gemeinsam genutzten Büro-Mac, einen dedizierten entfernten Mac und eine stärker isolierte Umgebung für den Dauerbetrieb.

Hinweis zur Aktualität: Zuletzt aktualisiert am 21.08.2026. Die Angaben wurden gegen die offiziellen Releases, die Sandbox-Dokumentation, die Policy-Dokumentation, die Shell-Dokumentation und die Provider-Anleitung geprüft. Bei einer stabilen v0.1-Version, einem neuen Sandbox-Backend oder geänderten Bedeutungen der Modi ist die Prüfung erneut durchzuführen.

Seatbelt als Dateischutz, nicht als vollständige Sicherheitsgrenze

DeepSeek Harness behandelt Modelle, Werkzeuge, Benutzeroberfläche und Sandbox als getrennte Erweiterungspunkte. Auf macOS verwendet das lokale Sandbox-Backend Seatbelt zusammen mit sandbox-exec. Das Projekt kennzeichnet sandbox-exec selbst als veraltet, obwohl es derzeit noch Bestandteil von macOS ist (offizielle Sandbox-Beschreibung).

Für die Abnahme ist entscheidend, was ein Prozess tatsächlich tun darf. Die bloße Anzeige eines Modus in der Benutzeroberfläche genügt nicht. Ein Agent kann einen Pfad anders auflösen als erwartet. Symbolische Verknüpfungen, relative Pfade, temporäre Dateien und Hilfsprozesse müssen deshalb mitgeprüft werden.

Sandbox-Modus	Erwartete Dateiwirkung	Geeigneter Einsatz	Freigabeentscheidung
read-only	Lesen im vorgesehenen Kontext, keine regulären Schreibvorgänge im Arbeitsbereich	Analyse, Code-Review, Recherche im Repository	Nur freigeben, wenn jede notwendige Änderung bewusst ausgeschlossen ist
workspace-write	Schreiben im freigegebenen Arbeitsbereich; übrige Pfade bleiben eingeschränkt	Kontrollierte Entwicklung und Tests	Freigeben, wenn Schreibgrenzen mit realen Pfaden bestätigt wurden
danger-full-access	Die Sandbox-Beschränkung wird für den Aufruf weitgehend umgangen	Ausnahmefall mit dokumentierter Einzelentscheidung	Nicht als Standard gegen häufige Ablehnungen verwenden

Die Semantik der Modi und die Policy-Auswertung sind in der offiziellen Policy-Dokumentation festgelegt. danger-full-access ist daher keine komfortablere Variante von workspace-write, sondern eine andere Risikoklasse.

Arbeitsbereich außerhalb der Grenze

Die erste Langfragerisikoprüfung betrifft Dateien außerhalb des Projekts. Ein Agent sollte nicht deshalb Zugriff erhalten, weil ein relativer Pfad wie ../config oder ein absoluter Pfad in einem Textfeld unauffällig aussieht. Geprüft wird immer der nach der Auflösung tatsächlich verwendete Zielpfad.

Die Abnahme sollte mindestens diese Testgruppen enthalten:

1. Eine Datei innerhalb des freigegebenen Arbeitsbereichs wird angelegt oder geändert.
2. Eine Datei außerhalb des Arbeitsbereichs wird über einen absoluten Pfad angesprochen.
3. Ein temporäres Verzeichnis wird sowohl lesend als auch schreibend geprüft.
4. Ein relativer Pfad, eine symbolische Verknüpfung und eine Pfadnormalisierung werden getestet.

Für jeden Test gehören Befehl, Zielpfad, aktiver Modus, Prozessstatus und beobachtetes Ergebnis ins Protokoll. Ein „Zugriff verweigert“ ohne Pfadangabe ist kein belastbarer Nachweis. Ebenso reicht ein erfolgreiches Schreiben im Arbeitsbereich nicht aus, um die Außengrenze zu bestätigen.

Read-only und Workspace-write

read-only und workspace-write sollten nicht anhand ihrer Namen bewertet werden. Die relevante Frage lautet: Welche Dateioperationen passieren unter dem realen Benutzerkonto und mit den realen Verzeichnisrechten?

Ein sauberer Testablauf sieht so aus:

1. Legen Sie ein frisches Testverzeichnis mit einer bekannten Eingabedatei und einer nicht beschreibbaren Referenzdatei an.
2. Starten Sie eine minimale Harness-Ausführung im read-only-Modus.
3. Fordern Sie eine Änderung an der Eingabedatei, eine neue Datei und eine Änderung außerhalb des Arbeitsbereichs an.
4. Prüfen Sie danach Inhalt, Änderungszeit und Dateirechte aller beteiligten Pfade.
5. Wiederholen Sie denselben Ablauf in workspace-write.
6. Testen Sie zusätzlich einen temporären Pfad und eine symbolische Verknüpfung.
7. Speichern Sie die vollständige Ausgabe und ordnen Sie jede Ablehnung einer konkreten Ursache zu.

Die beiden Modi haben damit unterschiedliche Freigabekriterien. Bei read-only muss die erwartete Schreiboperation scheitern. Bei workspace-write muss nur die erlaubte Schreibzone funktionieren; ein erfolgreicher Schreibvorgang außerhalb dieser Zone ist ein Ausschlusskriterium.

Fehlerschutz und Prozessverhalten

sandbox-exec nicht verfügbar

Der wichtigste Unterschied bei Fehlern lautet: Ein normaler Shell-Fehler ist nicht dasselbe wie ein Fehler des Sandbox-Runners. Die offizielle Shell-Dokumentation beschreibt die Ausführung von Befehlen und deren Status, während die Sandbox-Dokumentation die spezielle Behandlung eines nicht verfügbaren Runners festlegt (Shell-Subsystem).

Die Abnahme muss daher drei Resultatklassen getrennt erfassen:

Ergebnis	Typische Bedeutung	Was der Prüfer bestätigen muss
Normaler Befehlsfehler	Das gestartete Kommando selbst ist fehlgeschlagen	Der Runner war aktiv und der Fehler stammt aus dem Kommando
Dateizugriff verweigert	Die Policy hat eine Operation blockiert	Der Pfad lag außerhalb der erlaubten Wirkung
runnerFailed oder SANDBOX_UNAVAILABLE	Die Ausführungsumgebung konnte nicht sicher bereitgestellt werden	Kein automatischer Wechsel in eine ungeschützte Ausführung

Für den Test werden sandbox-exec-Aufruf, Ausführbarkeit und eine absichtlich ungültige oder nicht verwendbare Sandbox-Konfiguration geprüft. Der erwartete Sicherheitszustand ist fail-closed: Kann die Einschränkung nicht hergestellt werden, darf der Befehl nicht einfach ohne Sandbox weiterlaufen. Diese Erwartung muss aus der offiziellen Projektbeschreibung und dem beobachteten Prozessverhalten abgeleitet werden, nicht aus der pauschalen Annahme „jede Fehlermeldung ist sicher“.

Erfahrung aus der Abnahme: Ein Fehlertext allein beweist keine Isolation. Erst die Kombination aus Fehlerklasse, fehlendem Kindprozess und unverändertem Zielpfad zeigt, dass der Runner tatsächlich blockiert hat.

Beweisführung bei Runner-Ausfällen

Für Plattformteams empfiehlt sich ein Protokoll mit mindestens diesen Feldern:

• verwendeter Modus und Policy-Eingabe,
• exakter Befehl ohne gekürzte Argumente,
• aufgelöster Zielpfad,
• Runner- und Prozessstatus,
• Rückgabecode,
• erzeugte oder veränderte Dateien,
• Zeitpunkt und ausführendes Benutzerkonto.

Die Prüfung gilt nur dann als bestanden, wenn SANDBOX_UNAVAILABLE beziehungsweise der dokumentierte Fehlerzustand zurückgegeben wird und kein ungeschützter Ersatzprozess entsteht. Ein UI-Hinweis wie „Sandbox konnte nicht gestartet werden“ genügt nicht.

Rechteerweiterung und Genehmigung

Ein Agent, der im eingeschränkten Modus regelmäßig an Grenzen stößt, darf nicht automatisch dauerhaft mehr Rechte erhalten. Für jede angeforderte Erweiterung muss der konkrete Zweck sichtbar sein. Eine Begründung wie „Build benötigt Zugriff“ ist zu allgemein. Erforderlich sind Zielpfad, benötigte Operation und erwartete Dauer.

Die Genehmigungsprüfung folgt diesem Ablauf:

1. Starten Sie eine Operation, die im aktuellen Modus abgewiesen wird.
2. Prüfen Sie, ob DeepSeek Harness eine konkrete Begründung für sandbox_permissions anfordert.
3. Lehnen Sie die Anfrage ab und kontrollieren Sie, dass der Befehl nicht ausgeführt wurde.
4. Wiederholen Sie den Test mit abgebrochenem Dialog und nicht verfügbarem Genehmigungsdienst.
5. Genehmigen Sie die Operation einmal.
6. Starten Sie danach einen zweiten, nicht identischen Aufruf und prüfen Sie, dass die erste Freigabe nicht stillschweigend übernommen wird.
7. Kontrollieren Sie, ob eine vollständige Zugriffsfreigabe als Ausnahme sichtbar protokolliert wird.

Die Reihenfolge ist wichtig. Eine Genehmigung darf nur für den konkreten Aufruf gelten. Sie darf nicht zur dauerhaften Eigenschaft des Projekts, des Agenten oder des Benutzerkontos werden. danger-full-access bleibt deshalb eine dokumentierte Notfallmaßnahme. Es ist kein Ersatz für eine präzise Policy.

Selbst gehostete Modelle und Anmeldedaten

Seatbelt begrenzt bestimmte Dateiwirkungen. Daraus folgt jedoch keine automatische Absicherung von Modellanfragen, Netzwerkverbindungen oder Zugangsdaten. Beim Anschluss eines selbst gehosteten DeepSeek V4 über einen OpenAI-kompatiblen Endpunkt müssen mindestens zwei getrennte Komponenten betrachtet werden:

• der Harness-Host mit Arbeitsbereich, Tools und Agent-Prozess,
• der Inferenz-Endpunkt mit Base-URL, Provider-ID, Anmeldedaten und Protokollen.

Die offizielle Provider-Anleitung beschreibt die vorgesehenen Konfigurationspunkte (Provider-Konfiguration). Sie sollte bei jeder Version erneut geprüft werden, weil sich eine Vorabversion bei Variablennamen oder Konfigurationsabläufen ändern kann.

Die zentrale Gefahr liegt in editierbaren Projektdateien. Wenn ein Agent Konfigurationsdateien verändern darf, darf er dadurch nicht den vertrauenswürdigen Provider auf einen fremden Endpunkt umleiten oder die Quelle eines privilegierten API-Schlüssels austauschen. Eine belastbare Architektur trennt deshalb:

• Endpunkt und Provider-ID von projektveränderlichen Dateien,
• geheime Werte von Quellcode und Arbeitsbereich,
• Entwicklungsprotokolle von vollständigen Anfrage- und Antwortinhalten,
• lokale Testanmeldedaten von produktiven Zugangsdaten.

Für eine DSGVO-orientierte Prüfung gehören außerdem Speicherort, Aufbewahrungsdauer, Zugriff durch Teammitglieder und mögliche Übertragung von Eingaben in externe Protokolle auf die Liste. Die Datenschutzhinweise von ProxyMac können dabei als ergänzende Referenz für die Auswahl einer verwalteten Umgebung dienen; sie ersetzen keine eigene Provider- und Log-Prüfung.

Schutz vor Konfigurationsübernahme

Die folgende Matrix hilft bei der Abnahme des selbst gehosteten Endpunkts:

Prüfpunkt	Bestanden, wenn …	Ausschlusskriterium
Base-URL	Der Endpunkt stammt aus einer kontrollierten, nicht frei überschreibbaren Quelle	Projektdatei kann den Zielhost ohne Genehmigung ersetzen
Provider-ID	Die verwendete Identität ist im Laufprotokoll eindeutig	Agent kann unbemerkt einen anderen Provider wählen
API-Key	Der Schlüssel liegt außerhalb des editierbaren Arbeitsbereichs und erscheint nicht im Log	Geheimnis steht in einer Datei, die der Agent ändern oder auslesen kann
Netzwerkpfad	Verbindungen zum erwarteten Endpunkt sind nachvollziehbar	Unbekannte Zielhosts werden ohne Kontrolle erreicht
Protokollierung	Sicherheitsrelevante Ereignisse bleiben prüfbar, Geheimnisse werden maskiert	Vollständige Schlüssel oder sensible Prompts landen im Klartext

Die MIT-Lizenz des Harness-Projekts ändert daran nichts. Sie macht weder Modellaufrufe noch einen selbst betriebenen Inferenzdienst oder die benötigte Laufzeit automatisch kostenlos. Für die technische Verfügbarkeit und die Kostenstruktur des eigenen Endpunkts bleibt das Betreiberteam verantwortlich. Die offizielle Harness-Seite beschreibt das Produktmodell, nicht eine pauschale Zusage für kostenlose Modellnutzung (offizielle Harness-Seite).

Deployment-Entscheidung nach Risikoprofil

Die Frage „DeepSeek Harness Mac-Sandbox sicher?“ lässt sich nicht mit einem einzigen Ja oder Nein beantworten. Entscheidend ist die Kombination aus Codevertrauen, Benutzerkreis, Laufzeit, Geheimnisschutz und Wiederherstellung.

Risikoprofil	Code und Nutzer	Geeignete Umgebung	Mindestentscheidung
Niedrig	Eigenes Repository, einzelne Person, keine produktiven Geheimnisse	Lokaler Mac	Nur nach bestandenem Schreib- und Fail-Closed-Test
Mittel	Teamprojekt, gemeinsamer Zugriff, längere Agent-Läufe	Dedizierter entfernter Mac	Eigenes Benutzerkonto, begrenzte Verzeichnisse und getrennte Zugangsdaten
Hoch	Unbekanntes Repository, produktive Schlüssel, automatische Aufgaben	Stärker isolierte Umgebung oder unabhängiger Host	Lokale Freigabe stoppen, bis eine höhere Isolationsstufe nachgewiesen ist

Ein gemeinsam genutzter Büro-Mac ist nicht automatisch gleichwertig mit einem dedizierten entfernten Mac. Andere Benutzer, persistente Dateien, vorhandene SSH-Schlüssel, Browser-Sitzungen und nicht dokumentierte Hintergrunddienste vergrößern die Prüfoberfläche. Ein dedizierter Mac reduziert diese Überschneidungen, ersetzt aber weder die Sandbox-Abnahme noch eine saubere Geheimnisverwaltung.

Ein lokaler Mac bleibt sinnvoll, wenn die Aufgaben kontrolliert sind, der Arbeitsbereich klar abgegrenzt ist und keine produktiven Anmeldedaten im Prozess liegen. Ein entfernter Mac ist vorzuziehen, wenn der Agent über längere Zeit unbeaufsichtigt läuft, mehrere Teammitglieder beteiligt sind oder die Umgebung nach einem fehlgeschlagenen Lauf reproduzierbar zurückgesetzt werden muss. Informationen zur Verwaltung einer solchen Arbeitsumgebung finden Sie in der ProxyMac-Hilfe.

Freigabeformular für den Betrieb

Vor der Freigabe sollte das Team folgende Punkte mit „bestanden“, „nicht bestanden“ oder „nicht getestet“ markieren:

• read-only blockiert jede geplante Schreiboperation.
• workspace-write erlaubt nur bestätigte Arbeitsbereichspfade.
• Außenpfade, temporäre Verzeichnisse und symbolische Verknüpfungen wurden mit aufgelösten Zielen geprüft.
• Ein nicht verfügbarer Runner erzeugt den dokumentierten Fehlerzustand.
• Kein Befehl läuft nach einem Runner-Fehler ungeschützt weiter.
• Ablehnung, Abbruch und fehlende Genehmigungsdienste verhindern die Ausführung.
• Eine einmalige Freigabe wird nicht automatisch wiederverwendet.
• danger-full-access ist nicht der normale Arbeitsmodus.
• Base-URL und Provider-ID können nicht aus einer beliebig editierbaren Projektdatei überschrieben werden.
• API-Schlüssel liegen außerhalb des Agent-Arbeitsbereichs und werden nicht protokolliert.
• Für den Fall eines Fehlers existieren Reset-, Sperr- und Log-Löschprozesse.
• Der Status der verwendeten Preview-Version ist im Abnahmeprotokoll festgehalten.

Sobald ein sicherheitsrelevanter Punkt „nicht getestet“ lautet, sollte die Umgebung nicht als freigegeben gelten. Das ist besonders wichtig bei einer Developer Preview: Ein späteres Update kann die Policy-Semantik, Fehlermeldungen oder Backend-Anbindung verändern. Die Release-Seite muss deshalb vor jeder produktionsnahen Aktualisierung erneut kontrolliert werden.

Bestehender Mac oder dedizierte Mac-Umgebung

Der vorhandene Mac hat einen offensichtlichen Vorteil: Er ist sofort verfügbar und verursacht keine zusätzliche Übergabe eines Systems. Für persönliche, kontrollierte Aufgaben kann das ausreichen. Die Nachteile treten bei Agent-Betrieb jedoch schnell hervor: persönliche Schlüssel liegen möglicherweise auf dem Rechner, mehrere Projekte teilen sich denselben Benutzerkontext, ein Reset ist manuell und die dauerhafte Verfügbarkeit hängt von Schlafmodus, Netzwerk und lokaler Administration ab.

Eine dedizierte Mac-Umgebung trennt Arbeitsbereich, Benutzerkonto und Wiederherstellung besser. Sie verursacht dafür Verwaltungsaufwand und laufende Mietkosten. Auch dort muss die Seatbelt-Prüfung wiederholt werden; ein entfernter Standort macht eine unsichere Policy nicht sicherer.

Wenn der vorhandene Mac keine dedizierte Nutzung, keinen kontrollierten Reset oder keinen dauerhaft verfügbaren Betrieb ermöglicht, ist das Mieten eines Mac von ProxyMac die passendere Betriebsform für zeitlich begrenzte Tests oder einen getrennten Agent-Arbeitsplatz. Das bleibt eine Umgebungsentscheidung, keine Abkürzung bei der Sicherheitsprüfung. Für die Verwaltung des Zugangs kann die ProxyMac-Konsole relevant sein.

Wer dagegen dauerhaft hohe Last fährt, physische Schnittstellen benötigt oder eine langfristig unveränderte Infrastruktur aufbauen muss, sollte die Gesamtkosten und Administrationsrechte eines eigenen Mac gegen eine gemietete Umgebung rechnen. Für kurzfristige Evaluierungen, reproduzierbare Abnahmen und getrennte selbst gehostete V4-Tests bietet eine dedizierte, nach Bedarf bereitgestellte Mac-Umgebung meist die sauberere Trennung als ein persönlicher oder gemeinsam genutzter Rechner.