Agent Sandboxing

يتمثل عزل بيئة عمل الوكيل في تشغيل أفعال وكيل الذكاء الاصطناعي، مثل أوامر الصَدَفة والتعليمات البرمجية المُنشأة وتحرير الملفات وتصفح الويب، داخل بيئة معزولة تحد من الملفات والشبكات وبيانات الاعتماد وموارد الحوسبة التي يمكن لهذه الأفعال الوصول إليها. ويختار الوكيل المبني على نموذج لغوي كبير (LLM) كل أمر استنادًا إلى نص قرأه، وقد يكون ذلك النص خاطئًا أو عدائيًا. وتفرض بيئة العزل حدودها على مستوى نظام التشغيل أو برنامج مراقبة الأجهزة الافتراضية، لذا تظل هذه الحدود قائمة حتى عندما يتبع النموذج حقنًا للموجّه مخفيًا في صفحة ويب أو ملف README، أو يرتكب خطأً ببساطة.

لماذا تحتاج الوكلاء إلى بيئات معزولة#

تحوّل استدعاءات الدوال واستخدام الأدوات نص النموذج إلى أفعال حقيقية، لذا يستطيع الوكيل الذي يمكنه تشغيل الصَدَفة حذف الملفات وقراءة مفاتيح SSH أو تحميل الشيفرة المصدرية أيضًا. وتدرج ورقة الغش الأمنية لوكلاء الذكاء الاصطناعي من OWASP السماح للوكلاء بتنفيذ شيفرة عشوائية من دون عزل ضمن الممارسات التي ينبغي تجنبها، كما يصنّف OWASP Top 10 for Agentic Applications، المنشور في ديسمبر 2025، تنفيذ الشيفرة غير المتوقع ضمن المخاطر العشرة الرئيسية للأنظمة الوكيلة. وتجعل بيئات العزل الوكلاء أسهل استخدامًا أيضًا: إذ تؤدي مطالبة شخص بالموافقة على كل أمر إلى إرهاق الموافقة، وقد وجدت Anthropic أن عزل Claude Code خفّض مطالبات الأذونات بنسبة 84% في الاستخدام الداخلي، لأن الأوامر التي تبقى داخل الحدود لم تعد تتطلب مطالبة.

ما الذي تقيّده بيئة العزل#

تتحكم بيئة العزل الخاصة بالوكيل عادةً في خمسة أمور:

• نظام الملفات: يرى الوكيل مساحة عمل مؤقتة أو مستودعًا واحدًا، غالبًا ضمن صورة أساسية للقراءة فقط، ولا يمكنه قراءة بيانات الاعتماد أو ملفات تعريف المتصفح أو المشاريع الأخرى.
• الشبكة: يُحظر الاتصال الصادر أو يُوجَّه عبر وكيل لا يسمح إلا بنطاقات مدرجة، مثل سجل حزم برمجية، كي لا يتمكن وكيل مخترق من إرسال البيانات إلى خادم المهاجم.
• بيانات الاعتماد: تبقى الأسرار خارج بيئة العزل أو تُمرر إليها في صورة رموز قصيرة الأجل مقيّدة بمهمة واحدة، وفق مبدأ الحد الأدنى من الامتيازات في أمن البيانات.
• الحوسبة: تمنع الحدود المفروضة على وقت CPU والذاكرة وعدد العمليات ووقت الساعة الفعلي الحلقات الجامحة وقنابل إنشاء العمليات المتفرعة.
• استدعاءات النظام: تحظر المرشحات، مثل seccomp، واجهات النواة التي لا تحتاج إليها أدوات الوكيل مطلقًا.

تعتمد قوة العزل على موضع الحد الفاصل. تشترك حاويات Docker في نواة المضيف، لذا يمكن استغلال ثغرة في النواة للهروب منها. ويضيف gVisor نواة في مساحة المستخدم تعترض استدعاءات النظام لكل حاوية، فيما تمنح الآلات الافتراضية المصغرة مثل Firecracker، التي أنشأتها AWS لخدمة Lambda، كل بيئة عزل نواة مصغرة خاصة بها، مع بدء التشغيل في أقل من 125 مللي ثانية وبذاكرة إضافية تقل عن 5 MiB. وتشغّل عادةً أدوات تفسير الشيفرة المستضافة ووكلاء البرمجة السحابيون كل مهمة في حاوية أو آلة افتراضية مصغرة جديدة تُدمّر بعد ذلك. وعلى أجهزة المطورين، تستخدم بيئة العزل في Claude Code أداتي Seatbelt على macOS وbubblewrap على Linux، وتسمح لأوامر الصَدَفة بالكتابة في دليل العمل ودليل مؤقت فقط، كما تمرر حركة الشبكة عبر وكيل يتحقق من كل مضيف مقارنةً بقائمة سماح.

بيئة العزل طبقة واحدة من حاضنة الوكيل، أي البرنامج الذي ينفّذ استدعاءات النموذج للأدوات. وتتحقق الحاضنة من كل فعل مقترح وفق السياسة، وتشغّل الأفعال المسموح بها داخل بيئة العزل، وتتوقف لطلب موافقة شخص قبل الأفعال التي لا يمكن التراجع عنها، مثل المدفوعات أو عمليات النشر أو الرسائل المرسلة خارج المؤسسة:

عزل الشيفرة المُنشأة#

تحتاج الوكلاء التي تكتب الشيفرة وتشغّلها، بدءًا من مساعدات تحليل البيانات ووصولًا إلى أدوات البرمجة الوكيلة، إلى أشد القيود، لأن الشيفرة المُنشأة تستطيع فعل أي شيء يستطيع المفسّر فعله. وتتمثل الطبقة الأعمق في عزل العمليات المعتاد، ويمكن توضيح ذلك باستخدام المكتبة القياسية في Python: يشغّل هذا البرنامج النصي شيفرة كتبها النموذج في دليل مؤقت، مع بيئة فارغة وحد زمني لاستخدام CPU يُضبط عبر وحدة resource (على Linux وmacOS).

import os
import resource
import subprocess
import sys
import tempfile

os.environ["API_KEY"] = "sk-live-123"  # ⁨سرّ تحتفظ به عملية الوكيل نفسها⁩

# ⁨شيفرة كتبها النموذج: تقرأ البيئة، ثم تدخل في حلقة لا نهائية⁩
generated = "import os\nprint('API_KEY =', os.environ.get('API_KEY'), flush=True)\nwhile True: pass"


def limit_cpu():
    """Stop the child process after 2 seconds of CPU time."""
    resource.setrlimit(resource.RLIMIT_CPU, (2, 2))


# ⁨شغّلها في وضع معزول، داخل دليل مؤقت، وببيئة فارغة⁩
cmd = [sys.executable, "-I", "-c", generated]
with tempfile.TemporaryDirectory() as workspace:
    proc = subprocess.run(cmd, cwd=workspace, env={}, capture_output=True, text=True, preexec_fn=limit_cpu)

print(proc.stdout.strip())
print("exit code:", proc.returncode)

تطبع العملية الفرعية API_KEY = None، لأنها تبدأ ببيئة فارغة ولا تستطيع رؤية سر العملية الأم، ثم تنتهي بالرمز -24، ما يعني أن النواة أوقفتها باستخدام SIGXCPU عندما بلغت الحلقة اللانهائية حد CPU البالغ ثانيتين. وتضيف الحاوية أو الآلة الافتراضية المصغرة حدود نظام الملفات والشبكة حول هذه العملية.

العزل مقارنةً بالضوابط ذات الصلة#

• ضوابط الذكاء الاصطناعي: مصنّفات وقواعد تفحص المدخلات أو المخرجات أو الأفعال المقترحة قبل تنفيذها. وتحتوي بيئة العزل أي شيء يفعله الفعل بعد أن تسمح الضوابط بمروره.
• الأذونات: تحدد آلية التحكم بالوصول الأدوات والموارد التي يجوز للوكيل استخدامها من الأساس. وتنفّذ بيئة العزل هذه القرارات على مستوى نظام التشغيل، أسفل أي فحص قد يحاول النموذج التحايل عليه بالكلام.
• الحاويات: تجميع البرامج مع تبعياتها لتسهيل النشر القابل للتكرار. وتعمل الحاوية كبيئة عزل عندما تُشغّل بصلاحيات مخفّضة، ونقاط تحميل مقيّدة، وقواعد لحركة البيانات الصادرة.
• بيئات الاختبار المعزولة: نسخ غير إنتاجية من نظام تُجرّب فيها البرمجيات بأمان. وتحيط بيئات عزل الوكلاء بكل فعل ينفّذه الوكيل، في الإنتاج والتطوير على حد سواء.

مواضع استخدام بيئات عزل الوكلاء#

• وكلاء البرمجة: تحصل كل مهمة على حاوية أو آلة افتراضية جديدة تضم مستودعًا واحدًا، حيث يثبّت الوكيل التبعيات ويشغّل الاختبارات ويعيد فرقًا لمراجعتها بشريًا.
• وكلاء استخدام الحاسوب: تعمل الوكلاء التي تتفاعل مع سطح مكتب أو متصفح عبر لقطات الشاشة والنقرات داخل آلة افتراضية بحساباتها الخاصة، لأن أي صفحة تعرضها قد تتضمن تعليمات موجهة إليها.
• مفسّرات الشيفرة: تشغّل المساعدات التي تحلل جداول البيانات أو الصور المرفوعة شيفرة Python الخاصة بها في بيئة عزل مستقلة لكل جلسة، غالبًا من دون وصول إلى الإنترنت.
• خوادم MCP ومهارات الوكلاء: تعمل الأدوات الخارجية والنصوص البرمجية للمهارات باستخدام بيانات اعتماد المستخدم، لذا يشغّل المضيفون الحريصون الخوادم المحلية والنصوص البرمجية داخل حدود العزل نفسها التي تعمل فيها صدفة الوكيل.

تطبّق منصات الوكلاء المستضافة الحدود نفسها على مسارات عملها. ويقوم وكلاء منصة Ultralytics بربط الكشف باستخدام YOLO26 ونماذج الرؤية واللغة وكتل التنبيه، وتحديد حدّ أقصى لكل تشغيل تجريبي مشترك قدره 60 ثانية و20 صورة إدخال و20 استدعاءً للنموذج أو المزوّد؛ أما كتلة Webhook الخاصة بوكلاء منصة Ultralytics فلا ترسل إلا إلى عناوين HTTPS عامة، ولا تتبع عمليات إعادة التوجيه، وتنتهي مهلتها بعد 5 ثوانٍ.