RuntimeGuardrails.
Runtime Security setzt Regeln dort durch, wo Anwendung, Modell und Werkzeuge sich treffen. Sie ist der technische Durchsetzungspunkt für Nutzungsrichtlinien, Datenschutz und Agentenrechte, und sie liefert die Protokolle für die Überwachung.
Wofür die Klasse gebraucht wird.
Prompts und Antworten sind natürliche Sprache, die klassische Filter nicht bewerten können. Guardrails prüfen Ein- und Ausgaben, ein Gateway begrenzt und leitet Aufrufe, und bei Agenten kommt die Freigabe von Werkzeugaufrufen und MCP-Verbindungen hinzu. Laufzeit-Monitoring zeichnet Anfragen, Antworten und Agentenschritte auf und gibt sicherheitsrelevante Ereignisse an SIEM und Incident-Prozess weiter.
- Erkennung von Prompt Injection und Jailbreak-Versuchen
- Filterung und Maskierung sensibler Inhalte in Eingabe und Ausgabe
- Freigabe und Begrenzung von Tool-Aufrufen und MCP-Verbindungen bei Agenten
- Routing, Richtlinien, Rate Limits und Kostenzuordnung je Anwendung
- Ablaufverfolgung, Protokollierung und Weitergabe an SIEM
Durchsetzen, wo das Modell antwortet.
Kaum eine Klasse hat sich so stark konsolidiert: Fast alle bekannten Guardrail-Spezialisten gehören seit 2025 zu grossen Security-Herstellern, etwa Lakera zu Check Point (angekündigt 16.09.2025), Prompt Security zu SentinelOne (05.09.2025), CalypsoAI zu F5 (26.09.2025), Pangea zu CrowdStrike (September 2025) und Protect AI zu Palo Alto Networks (22.07.2025). Parallel wachsen AI-Gateways und Guardrails zusammen: Palo Alto Networks hat den Gateway-Anbieter Portkey übernommen (abgeschlossen 29.05.2026) und bietet ihn seit Juli 2026 als Prisma AIRS AI Gateway an; F5 und Microsoft kombinieren Routing, Token-Limits und Guardrails ebenfalls. Der Schwerpunkt verschiebt sich von Prompt-Filtern zur Kontrolle von Agenten, Tool-Aufrufen und MCP-Verbindungen. Mit NeMo Guardrails und LlamaFirewall stehen Open-Source-Bausteine zur Verfügung, die Betrieb und Pflege im eigenen Team voraussetzen.
Injection: Abwehr von Prompt Injection und Jailbreak · Daten: Maskierung und DLP in Ein- und Ausgabe · Agenten: Kontrolle von Tools, Agenten und MCP · Gateway: Routing, Richtlinien, Rate Limits · Monitoring: Protokollierung und Laufzeit-Monitoring. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Check Point AI Guardrails (vormals Lakera Guard) / AI Agent Security
Check Point Software Technologies Ltd.
Prompt Defense gegen direkte und indirekte Prompt-Angriffe und Jailbreaks; Inhaltsmoderation und Erkennung unbekannter Links.
Data Leakage Prevention für PII und System-Prompt; Agent Behavior Defense mit Tool-Allow/Deny-Liste und Dangerous-Deviation-Erkennung (Beta).
Screening über die Guard-API; verwaltete und eigene Guardrails, Allow/Deny-Listen; Teil des Check Point AI Defense Plane.
Verarbeitungs- und Speicherregion wählbar (u. a. EU); Self-Hosting für Enterprise-Kunden mit Richtlinien aus S3-Bucket oder Dateisystem.
Prompt- und Agentenabwehr aus dem Zürcher Lakera-Team, mit wählbarer EU-Verarbeitungsregion.
Kein eigenes Routing/Gateway; Produktnamen und Konsolen werden nach der Übernahme in die Check-Point-Plattform überführt.
Prisma AIRS (AI Runtime Security, AI Gateway, Agent Security)
Palo Alto Networks, Inc.
Schützt LLM-Apps, Modelle und Daten vor Prompt Injection, schädlichem Code, toxischen Inhalten, Datenabfluss und Ressourcenüberlastung.
AI Gateway (GA Juli 2026) als zentraler Kontrollpunkt für LLM-, MCP- und A2A-Verkehr mit Regeln für Modellzugriff, Tool-Nutzung, Budgets und Rate Limits.
Agent Security prüft Agentenidentitäten und unterbindet nicht autorisierte Aktionen; MCP-Bedrohungserkennung seit 2025.
Einheitliche Sicht auf Nutzung, Tokens, Latenz und Kosten; Managed AI Runtime Security als Vorschau angekündigt.
Deckt alle fünf Matrixspalten in einer Plattform ab, inklusive Gateway.
Mehrere Module mit eigener Lizenzierung; Portkey-Integration erst seit Mitte 2026 verfügbar.
Cisco AI Defense (AI Runtime Protection)
Cisco Systems, Inc.
Prüft Prompts und Antworten auf Prompt Injection, Denial of Service und schädliche URLs.
Blockiert Abfluss personenbezogener, Zahlungs- und Gesundheitsdaten; Tool-Allow/Blocklisten und Erkennung unsicherer Agentenaktionen über MCP.
Guardrails für API-Aufrufe und Verkehr zwischen internen Diensten und KI-Apps; Cisco Secure Access für Drittanbieter-GenAI.
Dashboard für Verstösse und Anbindung an Splunk; bei VPC/AI POD bleiben Daten in der Kundenumgebung.
Netzwerknahe Durchsetzung ohne Code-Änderung und On-Premises-Option.
Kein eigenständiges Routing/Gateway mit Rate Limits belegt; EU-Datenresidenz nicht beschrieben.
CrowdStrike Falcon Guardian (Falcon AIDR)
CrowdStrike Holdings, Inc.
Erkennt direkte und indirekte Prompt Injection (über 200 Techniken) und verknüpft Agentenaktivität mit Endpoint-Telemetrie.
Schwärzt, verschlüsselt oder blockiert sensible Daten in KI-Interaktionen; Eindämmungsaktionen gegen kompromittierte Agenten.
Schützt Mitarbeiter-KI und Endpoint-Agenten sowie eigene KI-Agenten und Workloads; AI-Gateway-Funktion angekündigt.
Teil der Falcon-Plattform; Threat Hunting und MDR für Falcon Guardian verfügbar.
Verknüpft Prompt-Ebene und Prozessaktivität auf dem Endpoint in einer Untersuchungssicht.
Gateway/Routing noch nicht verfügbar («coming soon»); Seitentitel nennt Falcon AIDR, das Produkt heisst Falcon Guardian (AIDR als Kategorie).
Prompt Security (AI Application Security, Agentic AI Security)
SentinelOne, Inc.
Echtzeit-«AI Firewall» blockiert adversariale Prompts und bereinigt sensible Ausgaben.
Erkennt Schatten-MCP-Server und nicht genehmigte Agenten; Least-Privilege für Agenten innerhalb definierter Grenzen.
Testet vor dem Deployment auf Prompt Injection, Jailbreaks und Data Poisoning und überführt Befunde automatisch in Guardrails.
Durchsuchbares Audit-Log aller Agentenaktionen; gemeinsame Konsole mit Endpoint-, Cloud- und Identitätsschutz.
Ein Richtlinienmodell für Mitarbeitende, eigene Apps und Agenten.
Kein Routing/Gateway mit Rate Limits belegt; Self-Hosting-Optionen auf der aktuellen Seite nicht beschrieben.
F5 AI Guardrails und F5 AI Gateway
F5, Inc.
Abwehr von Prompt Injection, Datenexfiltration und Jailbreaks; Moderation toxischer, voreingenommener oder falscher Ausgaben.
Eigene Guardrails in natürlicher Sprache; vorgefertigte Kontrollen für PII, PCI, PHI und EU AI Act; Sperre nicht autorisierter Tool-Aufrufe.
AI Gateway vereint Model Gateway, MCP Gateway und Guardrails mit Routing, Caching, Budgets und Token-Metering.
Auditfähige Protokolle mit Begründung jeder Entscheidung; volle Funktion auch On-Premises und Air-Gapped.
Sehr flexible Betriebsmodelle bis Air-Gapped, mit Gateway-Funktionen aus dem Application-Delivery-Umfeld.
Produktfamilie nach Übernahmen 2025/2026 in Neuordnung (AI Security Platform); Zuschnitt der Lizenzen prüfen.
Cloudflare AI Gateway und AI Security for Apps (vormals Firewall for AI)
Cloudflare, Inc.
AI Security for Apps ergänzt die WAF um Prompt-Injection-Scoring, PII-Erkennung und unsichere/eigene Themen; LLM-Endpunkte werden automatisch erkannt.
Regeln der WAF können auf Erkennungsfelder reagieren; Log-Modus vor dem Produktivbetrieb.
AI Gateway mit Caching, Rate Limiting, dynamischem Routing, Modell-Fallback sowie DLP und Guardrails (Beta) für viele Anbieter.
Analytics, Logging und OpenTelemetry im AI Gateway; KI-Erkennungsfelder der WAF nur als kostenpflichtiges Enterprise-Add-on.
Gateway und Edge-Schutz ohne eigene Infrastruktur, schnell vor bestehende Anwendungen zu setzen.
Agenten-/Tool-Kontrolle nicht als Fähigkeit belegt; mehrere Gateway-Sicherheitsfunktionen noch im Beta-Status.
Microsoft Foundry Guardrails (Prompt Shields), API Management AI Gateway, Defender for AI Services
Microsoft Corporation
Prompt Shields erkennt und blockiert User-Prompt-Angriffe und versteckte Anweisungen in Dokumenten (indirekte Injection).
Guardrails in Foundry für Modell-Deployments und Agenten; API Management setzt Token-Limits und Quoten je Konsument durch.
AI Gateway in API Management verteilt Last auf KI-Endpunkte und kann bestehende MCP-Server bereitstellen und steuern.
Defender for AI Services meldet Jailbreak, Datenabfluss und Credential-Diebstahl als Alarme in Defender XDR (GA, kommerzielle Clouds).
In Azure ohne Zusatzanbieter kombinierbar: Guardrails, Gateway und SOC-Alarmierung.
Mehrere Produkte statt eines Werkzeugs; Abdeckung ausserhalb von Azure begrenzt, Maskierung sensibler Daten hier nicht belegt.
HiddenLayer AI Runtime Security (inkl. Agent Harness Security)
HiddenLayer, Inc.
Erkennt Prompt Injection auch über abgerufene Inhalte und Tool-Ausgaben, unsicheres Agentenverhalten und bösartige Tool-Nutzung.
Inline-Schutz: unsichere Aktionen und sensible Informationen nach Richtlinie erkennen, blockieren oder schwärzen.
Leichte On-Device-Integration für KI-Coding-Agenten («Agent Harness Security»); Weitergabe an SIEM und SOAR.
Rekonstruiert Agenten-Interaktionen über Tools, Daten und Workflows für Untersuchungen.
Eigenständiger Spezialist mit Abdeckung von Modellprüfung bis Laufzeit.
Kein Gateway/Routing; Funktionsumfang einzelner Module beim Hersteller im Detail prüfen.
Datadog Agent Observability / LLM Observability
Datadog, Inc.
Erkennt Halluzinationen, Prompt-Injection-Versuche und PII-Exposition in laufenden Anwendungen (Erkennung, keine Blockierung).
Alarmierung und rollenbasierte Zugriffe; Sensitive Data Scanner schwärzt sensible Daten in erfassten Traces.
Verfolgt Prompts, Retrieval-Schritte, Tool-Aufrufe und Agentenentscheidungen über den gesamten Request.
Teil der Datadog-Plattform; Aufbewahrung von Traces per Add-on auf 30, 60 oder 90 Tage erweiterbar.
Liefert die Laufzeit-Nachvollziehbarkeit, die Guardrail-Produkte für Untersuchungen und Nachweise brauchen.
Kein Schutzwerkzeug im engeren Sinn: erkennt, blockiert aber nicht; Prompt-Inhalte werden in der Datadog-SaaS gespeichert, Region und Aufbewahrung prüfen.
NeMo Guardrails
NVIDIA Corporation
Input-, Retrieval-, Dialog-, Execution- und Output-Rails; Jailbreak-Erkennung per Heuristik, LLM-Selbstprüfung oder NemoGuard.
PII-Erkennung (u. a. Presidio) mit Blockieren oder Maskieren; Execution Rails prüfen Ein- und Ausgaben von Tools.
Server-Modus mit OpenAI-kompatiblen Endpunkten; Anbindung von Drittanbietern wie Cisco AI Defense, Prompt Security oder Pangea AI Guard.
Eigenbetrieb, Protokollierung und Tracing von Agentenaktionen; Version 0.24.1 laut Projektseite.
Flexibles, frei nutzbares Framework, das kommerzielle Detektoren einbinden kann.
Konfiguration in Colang und Betrieb erfordern Entwicklungsaufwand; Qualität hängt von gewählten Detektoren ab.
LlamaFirewall (PurpleLlama)
Meta Platforms, Inc.
PromptGuard 2 erkennt direkte Prompt-Injection-Versuche mit einem leichten BERT-Klassifikator.
AlignmentCheck prüft die Begründungskette eines Agenten in Echtzeit auf Zielabweichung; CodeShield analysiert generierten Code statisch.
Beispiele für OpenAI Agents SDK und LangChain; eigene Regex-Filter ergänzbar.
Lokal ausführbar; letzte PyPI-Version 1.0.3 vom Mai 2025.
Speziell auf Agenten zugeschnittene, frei verfügbare Schutzschichten.
Keine Maskierung, kein Monitoring-Backend; seit Mai 2025 keine neue PyPI-Version, Reifegrad für den Produktivbetrieb prüfen.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Netskope AI Guardrails / AI Gateway / Agent Action Control: neue Module der Skylight-Plattform
- Cato AI Security for Applications (Aim): Prompt-Injection-Abwehr und Schwärzung per API, Proxy oder AI Gateway; Plattformbezug, unter Discovery aufgeführt
- WitnessAI Protect: bidirektionaler Laufzeitschutz und Modell-Routing; unter Discovery aufgeführt
- Noma AI-DR / Zenity: Laufzeitschutz mit Schwerpunkt Agenten; Agenten-Sicherheit wird gesondert betrachtet
- Akamai Firewall for AI: Edge-basierter Schutz für LLM-Endpunkte
- Splunk Agent Observability (vormals Galileo, Cisco): Beobachtbarkeit und Evaluation mit Guardrail-Funktionen; Übernahme durch Cisco abgeschlossen, Funktionsumfang noch im Umbau
- Guardrails AI: Open-Source-Guardrail-Framework; seit 09.09.2026 Teil von Harvey, Weiterentwicklung offen
- Kong AI Gateway, LiteLLM, Portkey Gateway (Open Source): reine AI-Gateways für Routing und Limits; Sicherheitsprüfungen nur über Plugins oder Drittanbieter
- Langfuse (Open Source): LLM-Observability mit Schwerpunkt Qualität und Kosten; Security-Bezug gering
Mit eigenen Angriffen testen.
Ein Pilot misst mit einem eigenen Satz von Angriffs- und Normalprompts, was die Lösung erkennt, was sie fälschlich blockiert und wie viel Latenz sie hinzufügt. Bei Agenten gehört ein Test mit realen Werkzeugen und MCP-Servern dazu.
- Welche Modelle und Betriebsformen (Cloud, lokal) lassen sich anbinden?
- Wie hoch sind Latenz und Ausfallrisiko, wenn die Lösung im Pfad liegt?
- Sind Regeln versionierbar und je Anwendung unterschiedlich einstellbar?
- Wie werden Erkennungsraten und Fehlalarme nachvollziehbar gemessen?
- Werden Agenten, Tool-Aufrufe und MCP unterstützt?
- Lassen sich Protokolle ans SIEM und an die Nachweisführung übergeben?
Kontrollen, Prozesse und Regulierung zu dieser Klasse stehen im Themenbereich AI Security: Agenten und MCP, Architektur-Referenz, Datenkontrollen, Monitoring und Incident Response.
Typische Bedrohungen wie Prompt Injection sind im OWASP Top 10 for LLM Applications beschrieben, Angriffstechniken gegen KI-Systeme in MITRE ATLAS. Für Hochrisiko-KI verlangt die KI-Verordnung der EU in Art. 12 Aufzeichnungen, in Art. 15 Robustheit und Cybersicherheit und in Art. 26 Überwachung durch die Betreiber.
Security Tool Navigator · Gebiet 15
Im KI-Zusammenhang entscheiden.
Diese Werkzeugklasse ist Teil der AI-Security-Werkzeuge. Der Gebietshub ordnet die 5 Klassen ein und zeigt die Abgrenzung zu den benachbarten Werkzeugklassen.