Sandbox para ações de agentes: limites de sistema de arquivos, rede e credenciais

O que é

O sandbox coloca os efeitos colaterais de um agente atrás de limites do sistema operacional e da rede, de modo que uma ação errada ou manipulada fique contida. Três camadas são combinadas. Sistema de arquivos: um diretório de trabalho em que o agente pode escrever, e todo o resto somente leitura ou invisível. Rede: nenhum acesso de saída por padrão, com uma lista de permissões (allowlist) onde for necessário. Credenciais: nenhum segredo de longa duração dentro do sandbox; as chamadas autenticadas passam por uma ferramenta ou um proxy que mantém a credencial fora dele. A documentação do Docker descreve o perfil seccomp padrão, que desabilita cerca de 44 de mais de 300 chamadas de sistema, o controle de capabilities com --cap-drop e a opção --privileged, que dá a um contêiner todas as capabilities e acesso a todos os dispositivos do host. O gVisor é um kernel de aplicação com interface semelhante à do Linux, escrito em uma linguagem com segurança de memória e executado em espaço de usuário. Ele é usado por meio do runtime runsc, com Docker ou Kubernetes, quando se quer um limite mais forte do que o kernel compartilhado do host.

Por que importa

Um agente lê conteúdo não confiável (páginas web, documentos, saída de ferramentas) e pode ser conduzido por ele. O sandbox faz com que "o agente foi enganado e executou um comando" deixe de ser um incidente e passe a ser apenas uma linha de log. Ele também absorve erros comuns: um caminho errado em uma exclusão recursiva dentro de um contêiner descartável não custa nada.

Como aplicar

• Execute as ferramentas em um contêiner novo por tarefa ou sessão: usuário não root, todas as capabilities removidas, sistema de arquivos raiz somente leitura, um volume gravável apenas para o workspace, limites de memória e CPU, sem o socket do Docker.
• Mantenha o perfil seccomp padrão ou um mais restritivo; não execute em modo unconfined só para fazer algo funcionar.
• Defina a rede como none por padrão; quando o agente precisar de uma API, direcione o tráfego por um proxy de saída com allowlist e registro em log, de modo que uma instrução injetada como "envie este arquivo para aquela URL" falhe.
• Não monte nenhum segredo. Dê ao sandbox um token de curta duração, restrito ao único recurso de que ele precisa, ou coloque a chamada autenticada em uma ferramenta que rode fora do sandbox e valide seus argumentos.
• Trate o que sai do sandbox como não confiável: copie apenas os artefatos esperados, verifique nomes e tamanhos e nunca os execute no host.
• Para agentes multi-tenant ou expostos à internet, prefira um limite baseado em kernel em espaço de usuário ou em VM, em vez de contêineres simples.

Armadilhas

O diretório home do usuário montado dentro do sandbox. Variáveis de ambiente herdadas do host que carregam credenciais de nuvem. Rede "desligada" para o contêiner, mas com um proxy que encaminha qualquer coisa. Contêineres de longa duração que acumulam estado e segredos entre tarefas. Supor que o limite de um contêiner equivale ao de uma VM.