محیط‌های ایزولهٔ ایجنت‌های کدنویسی هوش مصنوعی در حال تبدیل‌شدن به یک رشتهٔ جدی امنیتی هستند، نه یک اقدام ثانویه
اگر به یک ایجنت کدنویسی هوش مصنوعی دسترسی کامل به ریپازیتوری، شل و متغیر‌های محیطی خود بدهید، دقیقاً همان شعاع آسیبی را در اختیارش قرار دادهاید که یک پایپلاین CI نفوذ‌شده دارد. زمانی که ایجنت‌ها وظایف تکمرحل‌های و تحت نظارت انسان را در عرض چند دقیقه اجرا می‌کردند، این یک ریسک قابلقبول بود. اما از لحظ‌های که ایجنت‌ها شروع به اجرای بدون نظارت برای ساعت‌ها، هماهنگی با چندین زیرایجنت و اجرای دستورات شل برای آزمایش تغییرات خودشان کردند، دیگر قابلقبول نیست.
پاسخ صنعت به یک الگو همگرا شده است: ایجنت‌ها در محیط‌های ایزوله و یکبارمصرف — سندباکس‌ها، کانتینر‌ها یا ورکتری‌های موقت git — اجرا شوند، نه مستقیماً روی checkout فعال توسعه‌دهنده. این دیگر یک احتیاط آزمایشی نیست. این در حال تبدیل‌شدن به زیرساخت پایه است و تیم‌هایی که از آن غفلت میکنند، ریسکی را انباشته میکنند که هزینهٔ آن را برآورده نکردهاند.
چرا رویکرد سادهلوحانه از هم میپاشد
بدیهیترین راه برای اجرای یک ایجنت کدنویسی این است که آن را به دایرکتوری کاری خود هدایت کنید و اجازه دهید فایل‌ها را مستقیماً ویرایش کند. این روش برای ویرایش‌های کوچک و تحت نظارت بهخوبی کار می‌کند. اما با افزایش خودمختاری، از سه جهت دچار فروپاشی می‌شود:
افشای اعتبارنامه‌ها. ایجنتی که به شل دسترسی دارد می‌تواند فایل‌های .env، کلید‌های SSH، اعتبارنامه‌های CLI ابری و توکن‌های API موجود در محیط را بخواند — نه به این دلیل که قصدش این است، بلکه به این دلیل که یک مرحلهٔ اشکالزدایی یا یک دستور اشتباه تفسیر‌شده باعث می‌شود فایلی را که نباید cat کند. تزریق پرامپت از طریق یک وابستگی مخرب، یک README مسموم یا یک ریجستری بستهٔ نفوذ‌شده می‌تواند این موضوع را از یک اتفاق به یک نشت فعال تبدیل کند.
اثرات جانبی بازگشتنا‌پذیر. ایجنتی که یک مهاجرت پایگاهداده را آزمایش می‌کند، یک اسکریپت پاک‌سازی اجرا می‌کند یا یک دستور استقرار را روی زیرساخت واقعی امتحان می‌کند، می‌تواند خسارتی وارد کند که هیچ بازبینی کدی آن را تأیید نمی‌کرد — چون پیش از اجرا هیچکس آن را بازبینی نکرده است.
آلودگی وضعیت. وقتی چندین ایجنت یا چندین تلاش یک درخت کاری واحد را به اشتراک میگذارند، ویرایش‌های ناقص یک تلاش ناموفق به تلاش بعدی سرایت میکنند. اشکالزدایی به باستان‌شناسی تبدیل می‌شود: کدام تغییرات از کدام اجرا آمدهاند؟
الگوی سندباکس بهعلاوهٔ ورکتری در عمل چگونه است
الگویی که شکل گرفته، دو سازوکار مجزا را ترکیب می‌کند که هر کدام وظیفهٔ جداگان‌های دارند.
ورکتری‌های Git (یا کلون‌های کامل ریپازیتوری) جدا‌سازی را در سطح سامانهٔ فایل فراهم میکنند. بهجای اینکه ایجنت نسخهٔ checkoutشدهٔ واحد شما از ریپازیتوری را ویرایش کند، ورکتری اختصاصی خودش را دریافت می‌کند — یک دایرکتوری مجزا که از همان تاریخچهٔ git پشتیبانی می‌شود اما فایل‌ها و وضعیت شاخهٔ مستقل دارد. چندین ایجنت یا چندین تلاش موازی برای یک وظیفه، هر کدام یک درخت پاک دریافت میکنند. هیچچیز به شاخهٔ اصلی commit نمی‌شود مگر اینکه یک انسان — یا یک مرحلهٔ تأیید — diff را تأیید کند.
سندباکس‌های اجرایی جدا‌سازی را در سطح پردازش و شبکه فراهم میکنند. دستورات شل ایجنت درون یک کانتینر، ماشین مجازی یا زمینهٔ اجرایی محدود اجرا میشوند که هیچ دسترسی به اعتبارنامه‌های میزبان ندارد، هیچ مسیری به اینترنت فراتر از یک فهرست مجاز صریح ندارد و نمی‌تواند هیچچیزی خارج از ورکتری اختصاصی خود را دستکاری کند. پلتفرم Antigravity شرکت Google، برای مثال، حالت استدلال عمیق /boost خود را در آنچه ورکتری‌های ایزولهٔ یکبارمصرف مینامد اجرا می‌کند، دقیقاً به این دلیل که زیرایجنت‌های پیاده‌سازی بتوانند اهداف build و مجموعه‌های تست را بهصورت محلی اجرا کنند بدون اینکه وضعیت کاری واقعی توسعه‌دهنده را دستکاری کنند — و بهاینترتیب یک فرضیهٔ ناموفق بهجای بازگرداندن دستی، بهسادگی دور انداخته می‌شود.
در مجموع، این بدان معناست که میتوان به ایجنت مجوز‌های واقعاً گسترده داد — خواندن کل کدبیس، اجرای دستورات شل دلخواه، نصب بسته‌ها، دسترسی به سرویس‌های محلی — بدون اینکه آن مجوز‌ها به هر چیزی که توسعه‌دهنده واقعاً نگران حفاظت از آن است سرایت کند. شعاع آسیب، سندباکس یکبارمصرف است، نه ماشین یا حساب کاربری.
مرحلهٔ تأیید همچنان اهمیت دارد
سندباکس‌سازی مسئلهٔ مهار را حل می‌کند، نه مسئلهٔ صحت را. یک ایجنت می‌تواند کاملاً درون یک محیط ایزوله اجرا شود و همچنان کدی تولید کند که اشتباه، ناامن یا بهطور ظریفی معیوب است. آنچه سندباکس‌سازی برای شما بههمراه میآورد، توانایی تکرار ایجنت است — نوشتن کد، اجرای تست‌ها، مشاهدهٔ شکست‌ها، تلاش مجدد — بدون اینکه هر مرحلهٔ میانی نیازمند حضور انسان در حلقه باشد. بازبینی همچنان باید در نقط‌های انجام شود که یک diff برای ادغام پیشنهاد می‌شود و هرچه بیشتر آن مرحلهٔ بازبینی خودکار می‌شود: گذر‌های تأیید مستقلی که مجموعهٔ تست کامل را علیه تغییرات سندباکس‌شده دوباره اجرا میکنند، پیش از آنکه اصلاً به یک انسان نشان داده شوند.
این همچنین دلیلی است که الگوی سندباکس بهتر از پرسش مجوز مقیاس‌پذیر است. درخواست تأیید از انسان برای هر نوشتن فایل یا دستور شلی که ایجنت می‌خواهد اجرا کند، در واقع امنیت را بهبود نمیبخشد — بلکه افراد را عادت می‌دهد که بدون خواندن دکمهٔ تأیید را بزنند، دقیقاً همان حالت شکستی که دیالوگ‌های مجوز مرورگر و پرامپت‌های UAC را تقریباً بیفایده کرد. محدودکردن شعاع آسیب از ابتدا و سپس بازبینی diff نهایی، مدل امنیتی صادقانهتری است نسبت به امید بستن به اینکه یک توسعهدهندهٔ خسته هر دیالوگ تأیید را بخواند.
در عمل چه باید کرد
اگر امروز ایجنت‌های کدنویسی هوش مصنوعی را روی ریپازیتوری‌های واقعی اجرا می‌کنید، سه تغییر مهم‌تر از هر ابزار خاص فروشند‌های هستند:
اعتبارنامه‌های ایجنت را از اعتبارنامه‌های خودتان جدا کنید. هرگز اجازه ندهید ایجنت در شلی اجرا شود که کلید‌های SSH شخصی، اعتبارنامه‌های ارائهدهندهٔ ابری یا توکن‌های API تولیدی شما در دسترس است. از توکن‌های محدود و کوتاهمدت برای هر دسترسیای که ایجنت واقعاً به آن نیاز دارد استفاده کنید و نه بیشتر.
به ایجنت‌ها ورکتری اختصاصی بدهید، نه checkout فعال خود را. چه از طریق git worktree add، چه یک کانتینر یکبارمصرف برای هر وظیفه، و چه یک پلتفرم مدیریتی که این کار را برای شما انجام می‌دهد، مطمئن شوید که یک اجرای ناموفق یا مخرب هیچ ردی روی نسخ‌های از کد که واقعاً در آن کار می‌کنید باقی نمی‌گذارد.
با ترافیک خروجی شبکه بهعنوان یک مجوز رفتار کنید، نه یک پیشفرض. ایجنتی که در طول اجرای سندباکس‌شده می‌تواند بسته‌های دلخواه را از اینترنت عمومی نصب کند، همچنان یک ریسک زنجیرهٔ تأمین است. تا جای ممکن، دسترسی شبکهٔ خروجی را به یک فهرست مجاز صریح محدود کنید و آن را بهطور پیشفرض باز نگذارید.
هیچکدام از این‌ها زیرساخت عجیبوغریبی نیست — ورکتری‌ها و کانتینر‌ها سال‌ها پیش از موج فعلی ابزار‌های کدنویسی هوش مصنوعی وجود داشتهاند. آنچه جدید است، فوریت آن است: ایجنت‌هایی که برای ساعت‌های متوالی فعالیت میکنند، با سایر ایجنت‌ها هماهنگ میشوند و بدون نظارت انسان بر هر مرحله کد اجرا میکنند، مرز جدا‌سازی را به یک الزام تبدیل کردهاند، نه یک تمرین مقاوم‌سازی که بعداً به آن میپردازید.