Agent Sandboxing

1. Обзор концепции и системная проблема

Автономные агенты раскрывают свой максимальный потенциал только тогда, когда имеют возможность выполнять системные команды в терминале, писать код, устанавливать пакеты и тестировать программы в реальном времени. Однако предоставление агенту прямого доступа к хост-системе разработчика или сервера — это критический риск информационной безопасности:

1. Непредсказуемость LLM: Модель может сгенерировать деструктивную команду через галюцинацию (например, случайный рекурсивный rm -rf на неудачно сформированном пути).
2. Атаки непрямого Prompt Injection (Indirect Injection): Если агент анализирует внешний веб-сайт или читает сторонний GitHub-репозиторий, скрытый в тексте вредоносный промпт может заставить модель считать файлы ~/.ssh/id_rsa, .env и отправить их на удаленный сервер атакующего через curl.
3. Истощение ресурсов хоста: Бесконечный цикл или Fork Bomb парализуют работу всего сервера.

Agent Sandboxing устраняет этот конфликт, предоставляя агенту абсолютно безопасное, изолированное, одноразовое (ephemeral) окружение.

2. Архитектурная таксономия и ментальная модель

В зависимости от требований к безопасности и скорости старта выделяют четыре архитектурных уровня изоляции:

• 1. Процессная изоляция ОС (Namespaces & Cgroups, Bubblewrap): Базовое разграничение файловой системы, PID и лимитов памяти внутри Linux. Имеет самый быстрый запуск (<50 мс), но не защищает от эксплойтов на уровне ядра.
• 2. Виртуализация уровня ядра (gVisor / User-space Kernel): Специальный слой, разработанный Google, который эмулирует ядро Linux в пользовательском пространстве. Каждый системный вызов (syscall) фильтруется и не контактирует с реальным ядром хоста.
• 3. Аппаратные MicroVM (AWS Firecracker, Kata Containers): Золотой стандарт облачной безопасности. Настоящая минималистичная виртуальная машина с собственным ядром Linux, которая запускается за 100–150 мс и полностью изолирована на уровне аппаратного гипервизора KVM.
• 4. WebAssembly (Wasm / WASI Runtimes): Выполнение кода во внутреннем изолированном байткоде (например, Wasmtime). Идеально подходит для безопасного выполнения JavaScript/Python без операционной системы, но имеет ограничения на вызовы системных утилит.

3. Технический пайплайн и внутренняя механика

Жизненный цикл изолированного выполнения задания состоит из 4 этапов:

1. Ephemeral Provisioning (Быстрое развертывание): Оркестратор создает свежий экземпляр микроконтейнера из заранее подготовленного snapshot-образа с установленной средой (Node.js, Python, Git).
2. Virtual Workspace Mount & Secret Redaction (Монтирование окружения): В сендбокс монтируется только рабочая папка текущего проекта. Все реальные токены доступа (AWS keys, Production DB creds) заменяются моковыми или одноразовыми ограниченными токенами.
3. Execution & Syscall Interception (Контролируемое выполнение): Агент отправляет команду через gRPC или WebSocket API. Драйвер сендбокса выполняет команду, стримит stdout/stderr агенту, автоматически останавливая выполнение, если процесс превысил лимит времени (Execution Timeout) или памяти (OOM Watchdog).
4. Instant Teardown & Garbage Collection (Полное очищение): После завершения задания весь контейнер безвозвратно уничтожается вместе со всеми временными артефактами. Ни одно состояние не переходит в следующую сессию.

4. Практические инженерные сценарии в продакшене

01. Безопасный Code Interpreter для пользователей

Сервис позволяет пользователям загружать CSV/Excel таблицы и просить агента написать Python-скрипт для сложной визуализации. Код запускается в микроконтейнере E2B без риска чтения соседних файлов других пользователей.

02. Автономное тестирование сторонних репозиториев и PR

Агент автоматически загружает Pull Request, устанавливает npm install и запускает тесты. Если в зависимостях присутствует вредоносный preinstall-скрипт (Supply-chain attack), атака разобьется о стенки сендбокса.

03. Изолированный веб-скрейпинг и браузинг

Агент использует Headless Chromium для просмотра опасных сайтов в сети. Браузер запущен в изолированном контейнере без доступа к системному хранилищу паролей или корпоративному VPN.

5. Подводные камни, типовые ошибки и безопасность

• Network Egress SSRF Leaks (Утечка внутренних адресов): По умолчанию контейнер может пинговать локальную сеть хоста. Необходимо настроить строгую политику egress-трафика (Network Isolation), заблокировав доступ к localhost и подсетям облачных метаданных.
• Дисбаланс Latency vs Security: Полноценные виртуальные машины запускаются секундами, что раздражает пользователя. Используйте пул «подогретых» контейнеров (Warm Pools) или технологию Forking MicroVM для мгновенного отклика.
• Resource Starvation (Fork Bombs): Агент или скрипт может бесконечно порождать процессы (:(){ :|:& };:). Всегда жестко лимитируйте максимальное количество процессов (pids_limit) и память (mem_limit).