Agent Sandboxing

Cô lập môi trường thực thi cho agent là thực hành chạy agent AI, các công cụ hoặc mã được tạo ra trong một môi trường thực thi bị giới hạn. Sandbox giới hạn quyền truy cập của agent vào tệp, mạng, thông tin xác thực, tiến trình và tài nguyên tính toán. Nếu agent đưa ra quyết định không an toàn hoặc xử lý chỉ dẫn độc hại, các ranh giới đó sẽ giảm thiểu tác động tiềm ẩn đến hệ thống production và dữ liệu nhạy cảm.

Cách hoạt động của sandbox dành cho agent#

Agent thường hoạt động thông qua một bộ khung điều phối agent, kết nối model với các công cụ, bộ nhớ, API và vòng lặp thực thi. Sandbox bổ sung một lớp thực thi chính sách bao quanh các khả năng này. Thay vì tin rằng model sẽ làm theo prompt như “không truy cập tệp riêng tư”, môi trường vận hành sẽ ngăn chặn về mặt kỹ thuật việc truy cập đó.

Một sandbox thực tế có thể kết hợp:

• Một container hoặc máy ảo tạm thời sẽ bị hủy sau khi hoàn thành tác vụ.
• Một hệ thống tệp cơ sở chỉ đọc cùng một vùng làm việc nhỏ có quyền ghi.
• Các quy tắc lưu lượng mạng đi ra chỉ cho phép kết nối đến những miền hoặc dịch vụ nội bộ đã được phê duyệt.
• Thông tin xác thực có thời hạn ngắn, giới hạn theo người dùng và tác vụ hiện tại.
• Các giới hạn về CPU, bộ nhớ, dung lượng lưu trữ, tiến trình và thời gian thực thi.
• Nhật ký kiểm toán ghi lại các lệnh gọi công cụ, thay đổi tệp, yêu cầu mạng và vi phạm chính sách.

Các biện pháp kiểm soát của Linux như hồ sơ seccomp mặc định của Docker có thể hạn chế các lệnh gọi hệ thống, trong khi các giới hạn tài nguyên của Docker giới hạn mức tiêu thụ tài nguyên. Ở quy mô cụm, NetworkPolicy của Kubernetes có thể kiểm soát những dịch vụ mà workload của agent được phép giao tiếp.

Vì sao sandbox cho agent quan trọng#

Agent có thể thực hiện hành động thông qua gọi hàm và sử dụng công cụ, khiến hậu quả từ lỗi của agent nghiêm trọng hơn so với câu trả lời sai của chatbot. Agent lập trình có thể thực thi lệnh shell, trong khi agent vận hành có thể cập nhật bản ghi hoặc kích hoạt triển khai.

Hướng dẫn bảo mật agent AI của OWASP xác định các rủi ro, bao gồm lạm dụng công cụ, leo thang đặc quyền, đầu độc bộ nhớ và đánh cắp dữ liệu. Sandbox giúp ngăn chặn các rủi ro này, đặc biệt khi agent gặp phải prompt injection ẩn trong trang web, tài liệu, siêu dữ liệu hình ảnh hoặc phản hồi từ công cụ. Hướng dẫn ngăn chặn prompt injection của OWASP khuyến nghị áp dụng nhiều lớp phòng thủ, vì chỉ lọc đầu vào không thể nhận diện đáng tin cậy mọi chỉ dẫn độc hại.

Sandbox cũng giải quyết vấn đề quyền tự chủ quá mức. Agent có những công cụ không cần thiết, thông tin xác thực với phạm vi rộng và quyền tự chủ không giới hạn có thể thực hiện các hành động gây thiệt hại sau khi model mắc lỗi hoặc đầu vào bị thao túng. Hướng dẫn của OWASP về quyền tự chủ quá mức khuyến nghị giảm thiểu chức năng công cụ, quyền hạn và mức độ tự chủ, thay vì chỉ dựa vào hành vi của model.

Sandbox cho agent và các biện pháp kiểm soát liên quan#

Sandbox cho agent bổ trợ cho các cơ chế bảo mật khác chứ không thay thế chúng:

• Rào chắn an toàn cho AI: Rào chắn an toàn kiểm tra đầu vào, đầu ra hoặc hành động được đề xuất. Sandbox thực thi các giới hạn của môi trường ngay cả khi rào chắn an toàn không phát hiện được mối đe dọa.
• Kiểm soát truy cập: Cơ chế cấp quyền xác định một hành động có được phép hay không. Sandbox giới hạn các tài nguyên có thể sử dụng nếu logic cấp quyền bị vượt qua. Các phương pháp tốt nhất về quản lý danh tính và quyền truy cập của AWS nhấn mạnh việc sử dụng thông tin xác thực tạm thời và quyền hạn tối thiểu.
• Đóng gói bằng container: Container đóng gói và cô lập các tiến trình, nhưng cài đặt mặc định của container không nhất thiết tạo ra ranh giới bảo mật vững chắc. Hướng dẫn bắt đầu nhanh Docker của Ultralytics hỗ trợ tạo các môi trường thị giác máy tính nhất quán, được cô lập; trong khi đó, sandbox production cần thêm các giới hạn về hệ thống tệp, quyền năng, mạng và tài nguyên.
• Môi trường kiểm thử: “Sandbox” trong quá trình phát triển là một bản sao của hệ thống phi production. Sandbox cho agent đặc biệt giới hạn việc thực thi và có thể được áp dụng trong cả môi trường phát triển lẫn production.

Ultralytics Agent Skills cung cấp các chỉ dẫn có thể tái sử dụng cho agent lập trình, nhưng các skill không tạo ra ranh giới cô lập. Các script và phần phụ thuộc của skill vẫn cần được rà soát và thực thi với quyền hạn phù hợp.

Ứng dụng thực tế#

Agent lập trình doanh nghiệp: Agent lập trình có thể kiểm tra kho mã nguồn, chỉnh sửa tệp và chạy kiểm thử trong một workspace tạm thời. Sandbox chỉ gắn kho mã nguồn được giao, chặn thông tin xác thực production, giới hạn lưu lượng đi ra đến các registry gói đã được phê duyệt và yêu cầu con người phê duyệt trước khi hợp nhất hoặc triển khai. Vì vậy, phần phụ thuộc bị xâm phạm hoặc chỉ dẫn bị chèn không thể tự do quét bộ nhớ trong hay truyền mã nguồn ra ngoài.

Agent vận hành có khả năng xử lý hình ảnh: Agent trong kho hàng có thể phân tích hình ảnh camera bằng Ultralytics YOLO26, xác định các lối đi bị chặn và tạo phiếu bảo trì. Sandbox có thể cấp quyền chỉ đọc đối với hình ảnh đầu vào và chỉ cho phép truy cập mạng đến API suy luận và API quản lý phiếu. Agent không nên được cấp quyền quản trị camera không giới hạn, quyền truy cập hồ sơ nhân viên hoặc thông tin xác thực triển khai.

Bước nhận diện có thể sử dụng quy trình dự đoán Ultralytics YOLO đã được tài liệu hóa:

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Chạy suy luận hình ảnh bên trong workspace bị giới hạn
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

Mã Python thực hiện suy luận thông thường; môi trường chạy xung quanh cung cấp sandbox bằng cách giới hạn tệp, mạng, thông tin xác thực và tài nguyên.

Hướng dẫn thiết kế thực tế#

Bắt đầu với trạng thái không có quyền truy cập và chỉ cho phép rõ ràng những gì mỗi tác vụ cần. Sử dụng workspace tạm thời, thông tin xác thực có thời hạn ngắn, các mount chỉ đọc, danh sách cho phép mạng đi ra, giới hạn thời gian và hạn mức tài nguyên. Yêu cầu phê duyệt đối với các hành động không thể đảo ngược và đặt các bước kiểm tra quyền bên ngoài model.

Ghi nhật ký mọi hành động được thử, kể cả các thao tác bị chặn, nhưng không để lộ bí mật trong nhật ký. Các nhóm có thể sử dụng tính năng giám sát triển khai của Ultralytics Platform để theo dõi yêu cầu đến endpoint thị giác, độ trễ, lỗi và tình trạng hoạt động trong quy trình làm việc của agent. Cuối cùng, hãy kiểm thử toàn bộ hệ thống bằng các tệp độc hại, prompt gián tiếp, lệnh gọi công cụ lặp lại và các nỗ lực làm cạn kiệt tài nguyên. Sổ tay Khung Quản lý Rủi ro AI của NIST cung cấp cấu trúc tổng quát hơn để quản trị, đo lường và liên tục quản lý các rủi ro này.