Agent Sandboxing

Cách ly môi trường cho agent là thực tiễn chạy một AI agent, các công cụ của nó, hoặc mã được tạo ra bên trong một môi trường thực thi bị hạn chế. Môi trường cách ly giới hạn các tệp, mạng, thông tin đăng nhập, tiến trình và tài nguyên tính toán mà agent có thể truy cập. Nếu agent đưa ra một quyết định không an toàn hoặc xử lý các hướng dẫn độc hại, các ranh giới đó sẽ làm giảm tác động tiềm ẩn đối với hệ thống sản xuất và dữ liệu nhạy cảm.

Cách thức hoạt động của việc cách ly môi trường cho agent#

Một agent thường hoạt động thông qua một agent harness kết nối model với các công cụ, bộ nhớ, API và các vòng lặp thực thi. Việc cách ly môi trường bổ sung một lớp thực thi xung quanh các khả năng này. Thay vì tin tưởng model sẽ tuân theo một lời nhắc chẳng hạn như “không truy cập các tệp riêng tư”, môi trường vận hành sẽ ngăn chặn việc truy cập đó về mặt kỹ thuật.

Một môi trường cách ly thực tế có thể kết hợp:

• Một container tạm thời hoặc máy ảo bị phá hủy sau khi tác vụ hoàn thành.
• Một hệ thống tệp cơ sở chỉ đọc kèm theo một không gian làm việc có thể ghi nhỏ.
• Các quy tắc thoát mạng chỉ cho phép các tên miền được phê duyệt hoặc các dịch vụ nội bộ.
• Thông tin đăng nhập có thời gian sống ngắn giới hạn trong phạm vi người dùng và tác vụ hiện tại.
• Giới hạn về CPU, bộ nhớ, lưu trữ, tiến trình và thời gian thực thi.
• Nhật ký kiểm toán bao gồm các lệnh gọi công cụ, các thay đổi tệp, các yêu cầu mạng và các vi phạm chính sách.

Các điều khiển của Linux chẳng hạn như Docker default seccomp profile có thể hạn chế các lệnh gọi hệ thống, trong khi Docker resource constraints giới hạn mức tiêu thụ tài nguyên. Ở quy mô cụm, Kubernetes NetworkPolicies có thể kiểm soát các dịch vụ mà khối lượng công việc của agent giao tiếp cùng.

Tại sao việc cách ly môi trường cho agent lại quan trọng#

Agent có thể thực hiện các hành động thông qua function calling and tool use, khiến các lỗi của chúng có hậu quả lớn hơn so với phản hồi sai của chatbot. Một coding agent có thể thực thi các lệnh shell, trong khi một operations agent có thể cập nhật các bản ghi hoặc kích hoạt việc triển khai.

Tài liệu OWASP AI Agent Security guidance xác định các rủi ro bao gồm lạm dụng công cụ, leo thang đặc quyền, nhiễm độc bộ nhớ và trích xuất dữ liệu. Việc cách ly môi trường giúp kiểm soát các rủi ro này, đặc biệt khi agent gặp phải prompt injection ẩn trong một trang web, tài liệu, siêu dữ liệu hình ảnh hoặc phản hồi của công cụ. Tài liệu OWASP prompt injection prevention guidance khuyến nghị các biện pháp phòng thủ nhiều lớp vì việc lọc đầu vào đơn thuần không thể xác định đáng tin cậy mọi hướng dẫn độc hại.

Việc cách ly môi trường cũng giải quyết vấn đề quyền hạn quá mức (excessive agency). Một agent có các công cụ không cần thiết, thông tin đăng nhập rộng rãi và quyền tự chủ không giới hạn có thể thực hiện các hành động gây hại sau một lỗi của model hoặc đầu vào bị thao túng. Tài liệu OWASP guidance on excessive agency khuyến nghị giảm thiểu chức năng công cụ, quyền hạn và quyền tự chủ thay vì chỉ dựa vào hành vi của model.

Cách ly môi trường so với các biện pháp kiểm soát liên quan#

Cách ly môi trường cho agent bổ sung cho các cơ chế bảo mật khác nhưng không thay thế chúng:

• AI guardrails: Các hàng rào bảo vệ kiểm tra đầu vào, đầu ra hoặc các hành động được đề xuất. Một môi trường cách ly thực thi các giới hạn môi trường ngay cả khi hàng rào bảo vệ bỏ sót một mối đe dọa.
• Kiểm soát truy cập: Việc ủy quyền xác định xem một hành động có được phép hay không. Việc cách ly môi trường giới hạn các tài nguyên có sẵn nếu logic ủy quyền bị vượt qua. Các thực tiễn tốt nhất về AWS identity and access management best practices nhấn mạnh thông tin đăng nhập tạm thời và quyền hạn tối thiểu.
• Container hóa: Các container đóng gói và cô lập các tiến trình, nhưng các thiết lập container mặc định không nhất thiết là một ranh giới bảo mật mạnh mẽ. Tài liệu Ultralytics Docker Quickstart hỗ trợ các môi trường thị giác máy tính nhất quán, cô lập, trong khi các môi trường cách ly sản xuất đòi hỏi các hạn chế bổ sung về hệ thống tệp, tính năng, mạng và tài nguyên.
• Môi trường thử nghiệm: Một “sandbox” phát triển là một bản sao phi sản xuất của hệ thống. Việc cách ly môi trường cho agent cụ thể hạn chế quá trình thực thi và có thể được áp dụng trong quá trình phát triển và sản xuất.

Ultralytics Agent Skills cung cấp các hướng dẫn có thể tái sử dụng cho các coding agent, nhưng các kỹ năng này không tạo ra ranh giới cô lập. Các tập lệnh và phần phụ thuộc của chúng vẫn nên được xem xét và thực thi với các quyền thích hợp.

Các ứng dụng trong thực tế#

Enterprise coding agents: Một coding agent có thể kiểm tra một kho lưu trữ, sửa đổi tệp và chạy thử nghiệm bên trong một không gian làm việc tạm thời. Môi trường cách ly chỉ gắn kết kho lưu trữ được chỉ định, chặn thông tin đăng nhập sản xuất, hạn chế lưu lượng truy cập đi đến các kho lưu trữ gói được phê duyệt và yêu cầu sự chấp thuận của con người trước khi hợp nhất hoặc triển khai. Do đó, một phần phụ thuộc bị xâm phạm hoặc hướng dẫn bị tiêm nhiễm không thể quét tự do bộ nhớ nội bộ hoặc truyền mã nguồn.

Vision-enabled operations agents: Một agent trong kho hàng có thể phân tích hình ảnh camera với Ultralytics YOLO26, xác định các lối đi bị chặn và mở các ticket bảo trì. Môi trường cách ly của nó có thể cung cấp quyền truy cập chỉ đọc đối với hình ảnh đến và quyền truy cập mạng chỉ đối với các API suy luận và cấp ticket. Nó không được nhận quyền quản trị camera không giới hạn, bản ghi nhân viên hoặc thông tin đăng nhập triển khai.

Bước nhận thức có thể sử dụng quy trình Ultralytics YOLO predict workflow được tài liệu hóa:

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Run visual inference inside the restricted workspace
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

Mã Python thực hiện suy luận thông thường; thời gian chạy xung quanh cung cấp môi trường cách ly bằng cách hạn chế tệp, mạng, thông tin đăng nhập và tài nguyên.

Hướng Dẫn Thiết Kế Thực Tiễn#

Bắt đầu bằng việc không có quyền truy cập và cho phép rõ ràng chỉ những gì mỗi tác vụ yêu cầu. Sử dụng không gian làm việc tạm thời, thông tin đăng nhập có thời gian sống ngắn, các điểm gắn chỉ đọc, danh sách cho phép mạng đi, thời gian chờ và hạn mức tài nguyên. Yêu cầu phê duyệt đối với các hành động không thể hoàn tác và giữ các kiểm tra ủy quyền bên ngoài model.

Ghi nhật ký mọi hành động được thử nghiệm, bao gồm các hoạt động bị chặn, mà không làm lộ các bí mật trong nhật ký. Các nhóm có thể sử dụng Ultralytics Platform deployment monitoring để quan sát các yêu cầu điểm cuối thị giác, độ trễ, lỗi và trạng thái sức khỏe trong các quy trình làm việc của agent. Cuối cùng, kiểm tra toàn bộ hệ thống chống lại các tệp độc hại, lời nhắc gián tiếp, các lệnh gọi công cụ lặp đi lặp lại và các nỗ lực làm cạn kiệt tài nguyên. Tài liệu NIST AI Risk Management Framework Playbook cung cấp một cấu trúc rộng hơn để quản trị, đo lường và liên tục quản lý các rủi ro này.