零认证沙箱x腾讯云安全——Agent执行环境的信任边界重构.docxVIP

零认证沙箱x腾讯云安全Agent执行环境的信任边界重构

为什么关注执行环境：PromptInjection的成败取决于模型，损失发生在执行环境

防御讨论大多集中在模型侧，但真正的破坏都发生在推理之后

外部内容

网页、文件、工具，返回值里夹带指令

模型推理

注入是否成功，取决于模型

执行环境

代码在沙箱里真正运行

损失

·凭证被读走

·数据被外发

·内网被探测

模型决定Agent想做什么,执行环境决定它能做成什么

威胁模型：用户自己提交的代码，本身就不可信

Agent执行环境的问题不是传统多租户的“防止用户A看到用户B”

传统多租户防止用户

传统多租户

防止用户A看到用户B

边界在租户之间，租户内部的代码默认是可信的

沙箱内任何形式的凭证，对执行代码都是明文

文件配置文件、Token文件进程内存运行时读取

可被执行代码直接读取，沙箱内的认证挡不住

结论：沙箱内的认证只能防误操作，防不了恶意

PPIO的做法：不在沙箱内认证，而让沙箱内不具备认证的必要

把凭证、网络判定和服务暴露都放到沙箱之外，由平台执行

凭证零下发

沙箱只持有占位符，真实凭证在平台边界注入。凭证生命周期独立于沙箱，可轮换、可吊销。

网络策略自定义

出入双向流量按声明式策略控制。判定在沙箱之外执行，沙箱内代码读不到、也改不了自己