Agent Sandboxing

了解代理沙盒如何隔离AI代理、限制对文件和网络的访问，并降低提示注入、工具滥用和数据外泄带来的风险。

Agent sandboxing 是在受限制的执行环境中运行 AI agent 及其工具或生成代码的做法。Sandbox 限制了 agent 可以访问的文件、网络、凭据、进程和计算资源。如果 agent 做出不安全的选择或处理恶意指令，这些边界可以减少对生产系统和敏感数据的潜在影响。

Agent Sandboxing 的工作原理#

Agent 通常通过将模型连接到工具、记忆、API 和执行循环的 agent harness 来运行。Sandboxing 在这些功能周围添加了一个强制执行层。操作系统环境在技术上阻止这种访问，而不是信任模型去遵守诸如“不要访问私有文件”之类的 prompt。

实用的 sandbox 可能组合以下内容：

在任务完成后会被销毁的短暂容器或虚拟机。
具有小型可写工作空间的只读基础文件系统。
仅允许经过批准的域或内部服务的网络出口规则。
作用域限定为当前用户和任务的短期凭据。
CPU、内存、存储、进程和执行时间的限制。
涵盖工具调用、文件更改、网络请求和策略违规的审计日志。

诸如 Docker default seccomp profile 的 Linux 控制可以限制系统调用，而 Docker resource constraints 则限制资源消耗。在集群规模下，Kubernetes NetworkPolicies 可以控制 agent 工作负载与之通信的服务。

为什么 Agent Sandboxing 很重要#

Agent 可以通过 function calling and tool use 采取行动，这使得它们的失败比不正确的聊天机器人响应产生更严重的后果。coding agent 可能会执行 shell 命令，而 operations agent 可能会更新记录或触发部署。

OWASP AI Agent Security guidance 识别了包括工具滥用、权限提升、记忆投毒和数据窃取在内的风险。Sandboxing 有助于遏制这些风险，特别是当 agent 遇到隐藏在网页、文档、图像元数据或工具响应中的 prompt injection 时。OWASP prompt injection prevention guidance 建议采用分层防御，因为仅靠输入过滤无法可靠地识别每个敌对指令。

Sandboxing 还解决了过度代理（excessive agency）问题。具有不必要工具、广泛凭据和不受限制自主权的 agent 可能会在模型错误或输入被操纵后执行破坏性操作。OWASP guidance on excessive agency 建议最小化工具功能、权限和自主权，而不是仅仅依赖模型行为。

Sandboxing 与相关控制措施的对比#

Agent sandboxing 是对其他安全机制的补充，但不能替代它们：

AI guardrails: Guardrails 检查输入、输出或建议的操作。即使 guardrail 漏掉了一个威胁，sandbox 也会强制执行环境限制。
访问控制： 授权决定是否允许某个操作。如果绕过了授权逻辑，sandbox 会限制可用的资源。AWS identity and access management best practices 强调了临时凭据和最低权限原则。
容器化： 容器打包并隔离进程，但默认的容器设置不一定是强安全边界。Ultralytics Docker Quickstart 支持一致、隔离的计算机视觉环境，而生产 sandbox 需要额外的文件系统、能力、网络和资源限制。
测试环境： 开发中的“sandbox”是系统的非生产副本。Agent sandboxing 专门限制执行，并且可以应用于开发和生产环境中。

Ultralytics Agent Skills 为 coding agent 提供可重用的指令，但 Skills 不会创建隔离边界。其脚本和依赖项仍应经过审查，并在具有适当权限的情况下执行。

实际应用#

Enterprise coding agents: Coding agent 可以检查仓库、修改文件并在临时工作空间内运行测试。Sandbox 仅挂载分配的仓库、阻止生产凭据、将出站流量限制为批准的包注册表，并要求在合并或部署之前获得人工批准。因此，受损的依赖项或注入的指令无法自由扫描内部存储或传输源代码。

Vision-enabled operations agents: 仓库 agent 可以使用 Ultralytics YOLO26 分析相机图像、识别阻塞的通道并打开维护工单。其 sandbox 可以提供对传入图像的只读访问权限，并且仅对推理和工单 API 提供网络访问权限。它不应接收不受限制的相机管理、员工记录或部署凭据。

感知步骤可以使用记录的 Ultralytics YOLO predict workflow：

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# Run visual inference inside the restricted workspace
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

Python 代码执行普通推理；周围的运行时通过限制文件、网络、凭据和资源来提供 sandbox。

实用设计指南#

从无访问权限开始，并显式仅允许每个任务所要求的内容。使用临时工作空间、短期凭据、只读挂载、出站网络允许列表、超时和资源配额。要求对不可逆的操作进行批准，并将授权检查保持在模型外部。

记录每个尝试的操作（包括被阻止的操作），同时不在日志中泄露机密。团队可以使用 Ultralytics Platform deployment monitoring 来观察 agent 工作流中的视觉端点请求、延迟、错误和运行状况。最后，针对恶意文件、间接 prompt、重复工具调用和资源耗尽尝试测试完整系统。NIST AI Risk Management Framework Playbook 为治理、度量和持续管理这些风险提供了更广泛的框架。

Agent Sandboxing