Buren håller där agenten körs. Inte vad den kan ta.

För sex månader sedan utlöste kodningsagenter under 3 % av allt som släpptes på Vercel. Den här veckan la bolagets VD siffran på mer än hälften, av sex miljoner distributioner om dagen, med över en biljon AI-tokens som passerat deras gateway under samma period. Agenter smög sig inte in i produktion. De tog över den, på två kvartal.

Så Vercel byggde runtime för det. Deras nya Sandbox lägger varje agents shell-kommandon och filoperationer i ett isolerat VM, i en separat säkerhetskontext från styrprogrammet som driver den. Varje körning loggas, varje verktygsanrop spåras, enligt en princip de uttrycker rakt ut: inget spår, inget förtroende. Den instinkten är rätt, och audit-delen är precis rätt. Om en agent agerar och du inte kan se vad den gjorde, har du ingenting.

Så den halva som sandlådan inte rör. Isolering styr var agenten kör. Det säger ingenting om vad agenten kan nå. Hela anledningen till att du satte in den är att den ska göra verkligt arbete, vilket innebär att du lämnade den verkliga nycklar: en AWS-nyckel, ett databaslösenord, en API-token, en distributionshemlighet. De ligger i buren tillsammans med den, eftersom den behöver dem. Så sandlådan förhindrar att agentens shell bryter sig ut till värden, och den gör absolut ingenting när en promptinjicerad eller kapad agent plockar upp nyckeln den legitimt fått och använder den till precis det nyckeln tillåter. Buren innesluter skadan. Nyckeln är lasten. Du isolerade aktören och lämnade den med nycklarna i handen.

Och agenter blir kapade. Vi såg det den här månaden: en agent som genom ett spel tränades till att lämna över SSH-nycklarna och tokens som låg i dess miljö. Ingen exploit, inget utbrott. Agenten gjorde helt enkelt det den övertalades till, med det den redan höll. En sandlåda hade loggat varje sekund av det och inte ändrat något av det.

Lösningen är inte en starkare bur. Lösningen är att inte lägga nycklarna i buren över huvud taget. En agent behöver inte hålla dina nycklar. Den behöver användningen av en, för en åtgärd, i ögonblicket den agerar. Förmedla den då: avgränsad till den enskilda resurs uppgiften behöver, bunden till maskinen den utfärdades för, utgången på en klocka mätt i minuter, borta efteråt. Inget ligger i vila i sandlådan för en kapad agent att ta, eftersom hemligheten aldrig lagrades där. När agenten vänds mot dig – och hälften av din produktion är agenter nu, så utgå från att den blir det – är det den kan nå en utgående nyckel för ett jobb, inte ditt nyckelknippe.

Inget av det gör en kapad agent ofarlig. Under den tid den håller en levande nyckel kan den missbruka den nyckeln för vad den än tillåter, och ingen design skriver om det. Det som ändras är storleken på förlusten. Vercels sandlåda minskar var en dålig agent kan köra. Avgränsade, förmedlade, kortlivade nycklar minskar vad den kan ta. Du vill ha båda, och de löser olika halvor. Branschen tävlar om att bygga runtimen. Den andra halvan är att besluta att agenten aldrig håller nyckelknippet, och just nu skickar den halvan fortfarande fasta hemligheter rakt in i lådan.

Det vinnande lagret, argumenterar Vercel, är inte vem som har den bästa modellen. Det är agent-runtime. De har halvt rätt. Den andra halvan är nyckellagret inuti den.

Vi har en kort lista över saker ett nyckelsystem aldrig ska göra. Nära toppen: en hemlighet får aldrig ligga där koden som använder den körs. Listan finns här.

Clavitor (@clavitorai) är valvet för nycklar byggt för AI-agenter, och mot dem. clavitor.ai

Källor

Vercel (@vercel), via VD Guillermo Rauch (@rauchg): lanseringen av agentramverket eve och Vercel Sandbox, med den angivna skalan, agenter driver nu mer än hälften av Vercels distributioner och commits, upp från under 3 % för sex månader sedan; 6M distributioner om dagen; 1T+ tokens om dagen genom AI Gateway. [1]

TechCrunch (@TechCrunch): "Vercel CEO Guillermo Rauch on the fight to split off models from agents", tesen om avkoppling mellan modeller och agenter samt formuleringen kring företagsrisk. [2]