Песочница агента

Песочница агента — это изолированная среда выполнения, где сгенерированный агентом код, команды оболочки или файловые операции работают, не дотягиваясь ни до чего важного. Это не тестовый арендатор SaaS-продукта, а граница удержания вокруг действий, которые выбрала модель, построенная из предположения, что часть из них окажется ошибочной или враждебной. Предположение обосновано: во входных данных агента есть документы, веб-страницы и результаты инструментов, и всё это может нести инструкции, то есть агент, исполняющий код, исполняет текст из источников, которыми никто не управляет. Песочницу определяет то, что она запрещает. Файловая система, ограниченная рабочим каталогом, без пути к учётным данным и к хосту. Сетевая политика, по умолчанию запрещающая исходящие соединения и разрешающая перечисленный набор адресатов, — единственная мера, которая удерживает данные внутри даже при вредоносном коде. Никакой окружающей облачной личности, потому что роль инстанса или примонтированный файл с ключами превращает произвольный код в произвольный доступ к инфраструктуре. Лимиты ресурсов и времени, чтобы сбежавший процесс завершился сам. И срок жизни в один прогон с последующим уничтожением, чтобы между задачами, которым не полагалось делить состояние, ничего не сохранялось. Отсюда два проектных следствия. Песочнице нужен продуманный узкий способ вернуть результат — примонтированный каталог вывода или структурированный ответ, — потому что постоянный соблазн состоит в том, чтобы ослабить границу ради удобства обвязки, а всякое ослабление оказывается постоянным. И повышение прав должно быть явным: если задаче действительно нужен секрет или сетевой адресат, выдайте их под эту задачу, покажите в трассировке и дайте им истечь, вместо того чтобы вносить в образ по умолчанию, куда никто больше не заглянет.