F5 und MuleSoft gaben am 2. September 2026 bekannt, dass F5 AI Guardrails nun in MuleSoft Agent Fabric allgemein verfügbar ist. Die Integration sendet eingehende Prompts und ausgehende Modellantworten vom Omni Gateway von Agent Fabric zur Inline-Prüfung an die F5 AI Guardrails Scan API.
Die konkrete Änderung betrifft die Architektur. Teams, die Agent Fabric bereits einsetzen, müssen keinen separaten F5-Proxy mehr in den Datenpfad stellen, um diese Schutzmaßnahmen anzuwenden. Laut F5 werden die Richtlinien weiterhin in der F5-Konsole verwaltet und vom Gateway dynamisch übernommen. Die Unternehmen positionieren die Integration für Agentforce-Agenten, Agent-Fabric-Abläufe und eigene KI-Anwendungen.
Die allgemeine Verfügbarkeit ist durch die F5-Ankündigung belegt und wurde unabhängig von Martech Notes und Inforchannel berichtet. Aussagen, die Integration blockiere jede genannte Bedrohung, wahre in jeder Konfiguration die Datenresidenz oder vereinfache Compliance, stammen vom Anbieter. Keine öffentliche unabhängige Prüfung in den ausgewerteten Quellen misst Erkennungsgenauigkeit, Latenz, Umgehungsresistenz oder betriebliche Wirksamkeit.
Was die Integration prüft
F5 beschreibt einen Inline-Pfad für Prompts vor dem Modellaufruf und für Antworten, bevor sie an den aufrufenden Ablauf zurückgegeben werden. Die Kontrollen sollen nach Aussage des Anbieters Prompt Injection, Jailbreaks, toxische Inhalte, nicht autorisierte Themen, personenbezogene Daten und die Offenlegung geschützter Daten erkennen.
Die Integration übermittelt außerdem eine gemeinsame Scan-ID und Entscheidungstelemetrie an die F5-Konsole. Das kann einem Security Operations Team helfen, ein Anwendungsereignis mit der vorherigen Prüfentscheidung zu korrelieren.
Die wichtige Grenze lautet: Die Prüfung von Prompts und Antworten ist nicht dasselbe wie die Autorisierung jeder nachgelagerten Werkzeughandlung. Ein Agent kann eine unauffällige Antwort erzeugen und dennoch eine Handlung außerhalb seiner Aufgabe, Berechtigungen oder Geschäftsrichtlinie versuchen. Teams benötigen separate Kontrollen für Identität, Werkzeugautorisierung, Handlungsumfang, menschliche Prüfung und Verifikation des resultierenden Effekts.
Sicherheitsteams sollten den vollständigen Pfad prüfen
Eine Inline-Sicherheitsintegration verdient Vertrauen durch Nachweise aus dem exakten Produktionspfad. Vor einer breiten Einführung sollten Teams folgenden Ablauf vollständig testen:
- Ein abgedeckter Agent sendet einen bekannten gutartigen Prompt und erhält die erwartete Zulassungsentscheidung.
- Ein kontrollierter Test auf Injection oder Datenoffenlegung erreicht den Scan-Dienst und erzeugt die erwartete Reaktion.
- Das Gateway setzt die konfigurierte Entscheidung um, ohne auf einen ungeprüften Pfad auszuweichen.
- Die Anwendung behandelt Blockierung, Zeitüberschreitung und Nichtverfügbarkeit sicher.
- Die gemeinsame Scan-ID erscheint in der erwarteten Sicherheitstelemetrie.
- Ein zulässiger Prompt, der einen folgenreichen Werkzeugaufruf vorschlägt, erreicht weiterhin die separate Autorisierungskontrolle.
Dieser Test sollte Konfigurationsversionen, Zeitstempel, Routenidentität, Modellendpunkt, Richtlinienergebnis, Anwendungsreaktion und Prüfer erfassen. Ein Konsolenbild liefert nützlichen Kontext, ist aber schwächer als ein reproduzierbares Ereignis, das Gateway, Scan-Dienst, Anwendung und Werkzeuggrenze verbindet.
Maetras Secure-Sandbox bietet einen begrenzten Weg, verdächtige Prompts und Inhalte von Werkzeugaufrufen zu prüfen. Der Leitfaden zu Prompt-Injection-Kontrollen für KI-Agenten erklärt, warum die Inhaltsprüfung zusammen mit Berechtigungs- und Ausführungskontrollen eingesetzt werden sollte.
Die Bereitstellung verändert die Nachweislage
F5 sagt, dass die Integration eine duale Bereitstellungstopologie unterstützt, darunter selbst gehostetes Kubernetes und private virtuelle Cloud-Umgebungen. Dies kann es Kunden erlauben, Prompt- und Antwortdaten innerhalb gewählter Grenzen zu halten, abhängig von der Konfiguration des gesamten Pfads.
Der letzte Zusatz ist entscheidend. Der Datenstandort hängt nicht nur von der Guardrail-Komponente ab. Protokolle, Gateway-Telemetrie, Modellendpunkte, Supportzugriffe, Sicherungen und nachgelagerte Werkzeuge können jeweils weitere Datenpfade schaffen. Teams sollten tatsächliche Ziele und Aufbewahrungseinstellungen erfassen, statt sich auf ein breites Souveränitätslabel zu verlassen.
Auch die Richtlinienanpassung braucht Governance. F5 sagt, Sicherheitsteams könnten Scanner, Blocklisten und Empfindlichkeitsschwellen in der Konsole versionieren. Ein belastbarer Prozess zeichnet auf, wer eine Richtlinie geändert hat, warum sie geändert wurde, welche Anwendungen die neue Version erhielten, wann sie wirksam wurde und wie sie in Regressionstests abschnitt.
| Kontrollebene | Zentrale Frage |
|---|---|
| Agent-Fabric-Routing | Haben alle abgedeckten Prompts und Antworten den vorgesehenen Prüfpfad genutzt? |
| F5-Scan-Richtlinie | Welche Richtlinienversion erzeugte die Entscheidung und auf welcher Grundlage? |
| Anwendungsreaktion | Haben Blockierung, Zeitüberschreitung und Fehler sicher geschlossen? |
| Werkzeugautorisierung | War die vorgeschlagene Handlung für diese Identität, Aufgabe, dieses Werkzeug und diese Ressource erlaubt? |
| Effektprüfung | Erreichte das externe System den beabsichtigten Zustand ohne zusätzliche Änderungen? |
Was die Quellen nicht belegen
Die ausgewerteten Quellen liefern keine Kundentests, unabhängigen Benchmarks, Falsch-Positiv- oder Falsch-Negativ-Raten, Latenzmessungen oder Belege dafür, dass die Integration eine bestimmte rechtliche Pflicht erfüllt. Verweise auf die EU-KI-Verordnung, die DSGVO und HIPAA sind als Anbieterpositionierung zur Auditierbarkeit zu lesen, nicht als Zertifizierung oder Compliance-Garantie.
Die Quellen zeigen auch nicht, wie jeder Agent-Fabric-Connector bei einem Ausfall des Scan-Dienstes reagiert, wie Richtlinien mit modellspezifischen Schutzmaßnahmen zusammenspielen oder ob der gesamte Agentenverkehr automatisch abgedeckt ist. Diese Fragen gehören in Bereitstellungstests und Vertragsprüfungen.
Maetra-Analyse
Die Veröffentlichung ist relevant, weil sie die Prüfung in eine bestehende Agentenverkehrsschicht legt und eine Integrationsentscheidung entfernt, die Telemetrie fragmentieren konnte. Das kann die Kontrollabdeckung verbessern, wenn der Gateway-Pfad vollständig ist und Fehlerzustände getestet sind.
Ein belastbares Design trennt weiterhin drei Entscheidungen. Erstens werden Prompts und Ausgaben auf feindliche oder sensible Inhalte geprüft. Zweitens wird die genaue Werkzeughandlung gegen Identität, Aufgabe, Ressource und Richtlinie autorisiert. Drittens wird der externe Effekt verifiziert und ein verbundener Datensatz aufbewahrt. Wer die erste Entscheidung als Beleg für die beiden anderen behandelt, lässt eine folgenreiche Lücke offen.