Kandang menahan di mana agen berjalan. Bukan apa yang bisa ia ambil.

Enam bulan lalu, agen coding memicu kurang dari 3% dari semua yang dirilis di Vercel. Minggu ini CEO perusahaan menyebut angkanya lebih dari separuh, dari enam juta deployment per hari, dengan lebih dari satu triliun token AI melewati gateway mereka pada rentang waktu yang sama. Agen tidak perlahan-lahan masuk ke produksi. Agen mengambil alih produksi, dalam dua kuartal.

Maka Vercel membangun runtime untuk itu. Sandbox baru mereka menjatuhkan perintah shell dan operasi berkas setiap agen ke dalam VM terisolasi, dalam konteks keamanan terpisah dari harness yang mengendalikannya. Setiap run dicatat, setiap pemanggilan alat ditelusuri, berdasarkan prinsip yang mereka nyatakan dengan jelas: tanpa jejak, tanpa kepercayaan. Insting itu benar, dan separuh auditnya memang tepat. Jika agen bertindak dan Anda tidak bisa melihat apa yang dilakukannya, Anda tidak punya apa-apa.

Sekarang bagian yang tidak disentuh separuh sandbox. Isolasi mengontrol di mana agen berjalan. Ini tidak mengatakan apa-apa tentang apa yang bisa dijangkau agen. Seluruh alasan Anda menerapkan benda ini adalah untuk melakukan pekerjaan nyata, yang berarti Anda menyerahkan kredensial nyata kepadanya: kunci AWS, kata sandi database, token API, rahasia deploy. Semua itu berada di dalam kandang bersamanya, karena agen membutuhkannya. Jadi sandbox mencegah shell agen keluar ke host, dan tidak melakukan apa-apa sama sekali ketika agen yang disuntik prompt atau dibajak mengambil kredensial yang sah diberikan kepadanya dan membelanjakannya persis untuk apa yang diizinkan kredensial itu. Kandang menahan ledakannya. Kredensial itu adalah muatannya. Anda mengisolasi aktornya dan membiarkannya memegang kunci-kuncinya.

Dan agen bisa dibajak. Kami menyaksikannya bulan ini: seorang agen yang dikondisikan melalui sebuah permainan untuk menyerahkan kunci SSH dan token yang berada di lingkungannya. Tanpa eksploitasi, tanpa pelarian. Agen itu hanya melakukan apa yang dibujuk kepadanya, dengan apa yang sudah dipegangnya. Sandbox akan mencatat setiap detik kejadian itu dan tidak mengubah apa pun.

Perbaikannya bukan kandang yang lebih kuat. Perbaikannya adalah tidak meletakkan kunci di dalam kandang sama sekali. Sebuah agen tidak perlu memegang kredensial Anda. Ia membutuhkan penggunaan satu kredensial, untuk satu tindakan, pada saat ia bertindak. Jembatani saat itu: terbatas pada satu sumber daya tunggal yang dibutuhkan tugas, terikat pada mesin tempat kredensial diterbitkan, kedaluwarsa dalam hitungan menit, hilang setelahnya. Tidak ada yang berada dalam keadaan diam di dalam sandbox untuk diambil oleh agen yang dibajak, karena rahasia itu tidak pernah disimpan di sana. Ketika agen berbalik melawan Anda, dan separuh produksi Anda kini adalah agen, jadi asumsikan itu akan terjadi, yang bisa dijangkaunya adalah satu kunci yang kedaluwarsa untuk satu pekerjaan, bukan ring kunci Anda.

Tidak ada dari itu yang membuat agen yang dibajak tidak berbahaya. Selama jendela waktu ia memegang kredensial aktif, ia bisa menyalahgunakan kredensial itu untuk apa pun yang diizinkannya, dan tidak ada desain yang menulis ulang hal itu. Yang berubah adalah besarnya kerugian. Sandbox Vercel memperkecil tempat agen jahat bisa berjalan. Kredensial yang terbatas, dijembatani, dan ephemeral memperkecil apa yang bisa diambilnya. Anda menginginkan keduanya, dan keduanya menyelesaikan separuh yang berbeda. Industri sedang berlomba membangun runtime. Separuh lainnya adalah memutuskan bahwa agen tidak pernah memegang ring kunci, dan saat ini separuh itu masih mengirimkan rahasia yang berdiri langsung ke dalam kotak.

Lapisan yang menang, menurut Vercel, bukan soal siapa yang memiliki model terbaik. Melainkan runtime agen. Mereka benar separuh. Separuh lainnya adalah lapisan kredensial di dalamnya.

Kami menyimpan daftar singkat hal yang tidak boleh pernah dilakukan oleh sistem kredensial. Mendekati puncaknya: sebuah rahasia tidak boleh pernah berada di tempat kode yang menggunakannya berjalan. Daftarnya ada di sini.

Clavitor (@clavitorai) adalah brankas kredensial yang dibangun untuk agen AI, dan terhadap mereka. clavitor.ai

Sumber

Vercel (@vercel), melalui CEO Guillermo Rauch (@rauchg): peluncuran kerangka kerja agen eve dan Vercel Sandbox, dengan skala yang diungkapkan, kini agen mendorong lebih dari separuh deployment dan commit Vercel, naik dari kurang dari 3% enam bulan lalu; 6 juta deployment per hari; 1T+ token per hari melalui AI Gateway. [1]

TechCrunch (@TechCrunch): "Vercel CEO Guillermo Rauch on the fight to split off models from agents," tesis pemisahan model versus agen serta kerangka risiko enterprise. [2]