पिंजरा वहीं तक रोकता है जहाँ एजेंट चलता है। न कि वह, जो वह उठा सकता है।

छह महीने पहले, Vercel पर शिप होने वाली कुल सामग्री के 3% से भी कम हिस्से को कोडिंग एजेंट ट्रिगर करते थे। इस सप्ताह कंपनी के CEO ने यह आँकड़ा आधे से अधिक बताया, जो प्रतिदिन छह लाख डिप्लॉयमेंट्स में से है, और उसी अवधि में उनके गेटवे से एक ट्रिलियन से अधिक AI टोकन गुज़रे। एजेंट प्रोडक्शन में धीरे-धीरे नहीं घुसे। उन्होंने उसे दो तिमाहियों में ही अपने कब्ज़े में ले लिया।

तो Vercel ने इसके लिए रनटाइम बनाया। उनका नया Sandbox हर एजेंट के शेल कमांड और फ़ाइल संचालन को एक अलग-थलग VM में डाल देता है, उस हार्नेस से अलग सुरक्षा संदर्भ में जो उसे चला रहा होता है। हर रन लॉग होता है, हर टूल कॉल ट्रेस होती है, एक ऐसे सिद्धांत पर जिसे वे साफ़-साफ़ कहते हैं: कोई निशान नहीं, तो कोई भरोसा नहीं। यह सहज बुद्धि सही है, और इसका ऑडिट वाला हिस्सा बिल्कुल सही है। अगर कोई एजेंट कुछ करे और आप देख न पाएँ कि उसने क्या किया, तो आपके पास कुछ नहीं है।

अब वह आधा हिस्सा, जिसे सैंडबॉक्स छूता तक नहीं। अलग-थलग करना यह तय करता है कि एजेंट कहाँ चलता है। यह इस बारे में कुछ नहीं कहता कि एजेंट क्या तक पहुँच सकता है। आपने इसे तैनात करने का पूरा कारण यही था कि यह असली काम करे, यानी आपने इसे असली क्रेडेंशियल दिए: एक AWS कुंजी, एक डेटाबेस पासवर्ड, एक API टोकन, एक डिप्लॉय सीक्रेट। ये उसके साथ पिंजरे के भीतर ही रहते हैं, क्योंकि उसे इनकी ज़रूरत है। तो सैंडबॉक्स एजेंट के शेल को होस्ट तक निकलने से रोक देता है, और उस स्थिति में वह कुछ भी नहीं करता जब कोई प्रॉम्प्ट-इंजेक्ट किया गया या हाइजैक किया गया एजेंट वही क्रेडेंशियल उठा ले जो उसे वैध रूप से दिया गया था, और उसे ठीक उसी काम पर ख़र्च करे जिसकी वह क्रेडेंशियल अनुमति देता है। पिंजरा विस्फ़ोट को सीमित कर देता है। क्रेडेंशियल ही पेलोड है। आपने कर्ता को अलग-थलग कर दिया और उसे कुंजियाँ पकड़ाकर छोड़ दिया।

और एजेंट हाइजैक हो जाते हैं। हमने इसी महीने यह देखा: एक एजेंट को एक खेल के ज़रिये इस तरह तैयार किया गया कि वह अपने परिवेश में रखी SSH कुंजियाँ और टोकन सौंप दे। कोई एक्सप्लॉइट नहीं, कोई बाहर निकलना नहीं। एजेंट ने बस वही किया जिसके लिए उसे बातों में फँसाया गया था, उसी चीज़ से जो पहले से उसके पास थी। एक सैंडबॉक्स उसके हर एक पल का लॉग रखता और उसमें से कुछ भी नहीं बदलता।

समाधान मज़बूत पिंजरा नहीं है। समाधान यह है कि कुंजियाँ पिंजरे में रखी ही न जाएँ। किसी एजेंट को आपके क्रेडेंशियल रखने की ज़रूरत नहीं है। उसे एक क्रेडेंशियल का उपयोग चाहिए, एक कार्य के लिए, ठीक उस क्षण में जब वह कार्य करे। तब उसे ब्रोकर करें: उस एक संसाधन तक सीमित जिसकी कार्य को ज़रूरत है, उसी मशीन से बँधा हुआ जिसे यह जारी किया गया था, मिनटों में नापी गई घड़ी पर समाप्त होता हुआ, और उसके बाद गायब। सैंडबॉक्स में ऐसा कुछ नहीं पड़ा रहता जिसे कोई हाइजैक किया गया एजेंट उठा सके, क्योंकि वह सीक्रेट वहाँ कभी संग्रहीत ही नहीं किया गया था। जब एजेंट आपके ही विरुद्ध मुड़ जाए — और अब आपके प्रोडक्शन का आधा हिस्सा एजेंट है, इसलिए यह मानकर चलें कि वह मुड़ेगा — तो वह जिस तक पहुँच सकता है, वह एक काम के लिए एक समाप्त होती हुई कुंजी है, आपकी पूरी कुंजी-माला नहीं।

इनमें से कुछ भी हाइजैक किए गए एजेंट को हानिरहित नहीं बनाता। जब तक उसके पास कोई सक्रिय क्रेडेंशियल है, वह उस क्रेडेंशियल का उसी सीमा तक दुरुपयोग कर सकता है जिसकी वह अनुमति देता है, और कोई डिज़ाइन इस तथ्य को दोबारा नहीं लिख सकता। जो बदलता है, वह है नुकसान का आकार। Vercel का सैंडबॉक्स उस जगह को छोटा करता है जहाँ कोई ख़राब एजेंट चल सकता है। सीमित, ब्रोकर किए गए और क्षणभंगुर क्रेडेंशियल उस चीज़ को छोटा करते हैं जो वह उठा सकता है। आपको दोनों चाहिए, और ये दोनों अलग-अलग आधे हिस्सों का समाधान करते हैं। उद्योग रनटाइम बनाने की होड़ में है। दूसरा आधा हिस्सा यह तय करना है कि एजेंट कभी भी कुंजी-माला न पकड़े, और अभी वह आधा हिस्सा अब भी स्थायी सीक्रेट को सीधे बॉक्स के भेजे जा रहा है।

Vercel का तर्क है कि जीतने वाली परत यह नहीं है कि किसके पास सबसे अच्छा मॉडल है। वह है एजेंट रनटाइम। वे आधे सही हैं। दूसरा आधा हिस्सा उसके भीतर की क्रेडेंशियल परत है।

हम उन चीज़ों की एक छोटी सूची रखते हैं जो किसी क्रेडेंशियल प्रणाली को कभी नहीं करनी चाहिए। सूची में ऊपर की ओर: कोई सीक्रेट कभी भी उस जगह नहीं रहना चाहिए जहाँ उसका उपयोग करने वाला कोड चलता है। सूची यहाँ है।

Clavitor (@clavitorai) AI एजेंटों के लिए बनाया गया और उनके विरुद्ध बनाया गया क्रेडेंशियल वॉल्ट है। clavitor.ai

स्रोत

Vercel (@vercel), CEO Guillermo Rauch (@rauchg) के माध्यम से: eve एजेंट फ़्रेमवर्क और Vercel Sandbox लॉन्च, साथ में बताया गया पैमाना — एजेंट अब Vercel के डिप्लॉयमेंट्स और कमिट्स के आधे से अधिक हिस्से को चलाते हैं, जो छह महीने पहले 3% से कम था; प्रतिदिन 6M डिप्लॉयमेंट्स; AI Gateway से प्रतिदिन 1T+ टोकन। [1]

TechCrunch (@TechCrunch): "Vercel CEO Guillermo Rauch on the fight to split off models from agents," मॉडल बनाम एजेंट वियोजन की थीसिस और एंटरप्राइज़-जोखिम की रूपरेखा। [2]