AppExchange Security Review für agentische Apps: was anders ist

Kurze Antwort: Agentische Apps durchlaufen dieselbe AppExchange Security Review wie jedes andere Managed Package. Was sich ändert, ist die Fläche, die sie abdeckt. Salesforce bestimmt den Testumfang, indem es der Datenspur folgt, und in einer Anwendung mit Sprachmodell wandern Kundendaten jetzt in einen Prompt, häufig aus der Org hinaus zu einem Modell und als Text zurück, der eine Aktion auslösen kann. Halten Sie vor der Einreichung drei Antworten bereit: was in den Prompt geht, was die Org verlässt und was der Agent im Namen einer Person tun darf.

Was ändert sich wirklich, wenn das Package agentisch ist?

Für die Review ist eine agentische App jedes Package, das Agent Actions, Topics oder Prompt Templates ausliefert oder aus Apex oder Flow ein Sprachmodell aufruft. Die Richtlinien wurden dafür nicht neu geschrieben (Salesforce Developers). Gewachsen ist der Umfang, denn Salesforce entscheidet über den Testumfang, indem es der Datenspur folgt, und es gibt weit mehr Datenbewegung zu verfolgen als in einem klassischen CRM-Package.

In einem klassischen Managed Package waren die riskanten Pfade endlich: SOQL, Sharing, ein paar Callouts, etwas Visualforce-Ausgabe. Eine agentische App baut zusätzlich Prompts aus Kundendatensätzen, schickt sie irgendwohin und handelt anschließend nach der Antwort. Jeder dieser Sprünge ist eine Stelle, an der jemand nachsieht.

Was fragen die Prüfer zur Prompt-Verarbeitung?

Sie müssen in der eingereichten Developer-Edition-Org genau zeigen können, woher Prompt-Text stammt und was ihn begrenzt. In der Praxis sind das fünf Punkte:

• Integrität der Anweisungen. Nutzertext darf Ihre Systemanweisungen nicht umschreiben können. Behandeln Sie jedes Freitextfeld, das einen Prompt erreicht, als feindliche Eingabe.
• Grounding respektiert Berechtigungen. Datensätze, die einen Prompt untermauern, müssen im Kontext des ausführenden Benutzers gelesen werden, mit Sharing und Feldberechtigungen. Ein Agent, der einen Datensatz zusammenfasst, den die Person nicht öffnen darf, ist eine Sharing-Verletzung mit besseren Manieren.
• Modellausgabe ist nicht vertrauenswürdig. Nie roh in Markup rendern und nie in eine Query hängen. Die alten Injection-Regeln gelten auch für generierten Text.
• So wenig Daten wie möglich im Prompt. Senden Sie die Felder, die die Aufgabe braucht, nicht den ganzen Datensatz.
• Log-Disziplin. Wer Prompts oder Antworten zum Debuggen speichert, speichert Kundendaten. Sagen Sie es, begrenzen Sie es, und lassen Sie Admins es abschalten.

Was muss beim Datenabfluss stimmen?

Das ist die Frage, die klassische Packages selten gut beantworten mussten, und hier verlieren agentische Einreichungen Wochen. Liegt eine Komponente außerhalb von Salesforce, verlangt die Einreichung die URLs und Zugangsdaten dieser externen Komponenten, einen Checkmarx-Scanbericht und einen Bericht eines dynamischen Anwendungssicherheitstests (Salesforce Developers). Aus Erfahrung will Ihr Prüfer zusätzlich Folgendes ausformuliert sehen:

• Eine explizite Liste, welche Objekte und Felder die Org verlassen dürfen, je Funktion.
• Eine Named Credential für jeden Modell-Endpunkt, damit Endpunkt und Authentifizierung nie im Apex-Code stehen (Salesforce Help).
• Wer die Credential hält: der Schlüssel des Kunden oder Ihrer in seinem Namen. Sagen Sie welcher, und warum.
• Was der Modellanbieter speichert, wie lange und in welcher Region.
• Ob eine Administratorin den externen Aufruf abschalten kann und trotzdem eine funktionierende App behält.

Und Aufrufe an Modelle Dritter?

Wo Sie die Vertrauensgrenze ziehen, entscheidet, wie viel Review bei Ihnen landet. Nutzen Sie die KI-Dienste der Plattform, liegt die Grenze weitgehend bei Salesforce. Rufen Sie ein externes Modell direkt aus dem Package auf, müssen Sie alles belegen: Endpunkt, Authentifizierung, Verhalten bei Ausfall oder unsinniger Antwort und die Isolation zwischen Abonnenten. Geben Sie den Prüfern funktionierenden Testzugang zu dieser externen Komponente, keine Beschreibung davon.

Was darf der Agent im Namen der Nutzenden tun?

Sobald eine Aktion schreibt, löscht, versendet oder bezahlt, geht es in der Review nicht mehr um Code, sondern um Befugnis. Vergeben Sie das engste nötige Permission Set, laufen Sie im Benutzerkontext, verlangen Sie eine menschliche Bestätigung für alles Unumkehrbare, und schreiben Sie einen Audit-Eintrag darüber, was der Agent getan hat und für wen. Salesforce hat den Maßstab klar benannt, als es seinen Agenten-Marktplatz für Partner öffnete:

Man muss der KI vertrauen können. Das heißt, wir müssen Berechtigungen verstehen und Leitplanken respektieren, und unsere Enterprise-Kunden müssen mit ihren Lösungen compliant bleiben. (Alice Steinglass, EVP und GM, Salesforce Platform, diginomica)

Was bereiten Sie vor der Einreichung vor?

1. Ein Managed-Released-Package. Unmanaged- und Beta-Packages werden abgelehnt.
2. Eine Developer-Edition-Org mit installierter Lösung, sauberen Beispieldaten, Zugangsdaten und Nutzungsanleitung.
3. Dokumentation etwaiger False Positives aus Ihren Scans.
4. Scanberichte und Zugangsdaten für jede externe Komponente, auch für Ihr Modell-Gateway.
5. Eine einseitige Datenflussbeschreibung je KI-Funktion: Auslöser, gesendete Felder, Ziel, Aufbewahrung und der Schalter für Admins.

Die ersten vier sind die dokumentierten Einreichungsunterlagen. Der fünfte steht nicht auf der Liste und ist genau der Punkt, der aus einer mehrrundigen Review einen einzigen Durchlauf macht, weil er die Fragen entlang der Datenspur beantwortet, bevor jemand sie stellen muss.

Ist AgentExchange eine andere Review?

AgentExchange startete auf der TDX 2025 mit mehr als 200 Partnern und vier Komponententypen: Actions, Prompt Templates, Topics und Agent Templates, die laut Salesforce alle die Security Review bestanden haben (diginomica). Betrachten Sie es als denselben Maßstab, angelegt an kleinere Einheiten. Eine einzelne Action trägt dieselben drei Fragen wie eine ganze App, nur mit weniger Code, hinter dem man sich verstecken kann.

Tekunda ist Salesforce PDO und hat Packages in Healthcare, Logistik und Fertigung durch die Security Review gebracht, darunter das Managed Package Syntilio CareHub, das heute 12 oder mehr Pflegeorganisationen auf der AppExchange bedient. Wenn Sie eine agentische App paketieren, sprechen Sie mit uns vor der ersten Einreichung statt nach der ersten Ablehnung.

FAQ

Braucht eine KI-Funktion eine eigene Security Review?

Nein. Sie wird als Teil Ihres Packages geprüft, erweitert aber den Testumfang, weil der Datenpfad die Objekte verlässt und durch einen Prompt läuft.

Darf ich meinen eigenen Modell-API-Schlüssel im Package ausliefern?

Beide Architekturen sind möglich, aber benennen Sie Ihre Wahl klar. Ein gemeinsamer Schlüssel macht Mandantentrennung und Einwilligung je Abonnent zu Ihrer Beweislast.

Muss ich Sharing auf Daten für das Grounding durchsetzen?

Ja. Grounding ist ein Lesezugriff. Die üblichen Sharing- und Feldberechtigungsregeln gelten, und eine Zusammenfassung, die ein verborgenes Feld ausplaudert, fällt genauso durch wie eine rohe Query.

Was ist der häufigste Grund, dass eine agentische Einreichung zurückkommt?

Undokumentierter Datenabfluss. Der Code ist meist in Ordnung; es fehlt die klare Aussage, welche Kundendaten die Org verlassen, wohin sie gehen und wie lange sie dort bleiben.