Kafes, ajanın nerede çalıştığını tutar. Neleri götürebileceğini değil.

Altı ay önce kodlama ajanları, Vercel üzerinde yayınlanan her şeyin %3'ünden azını tetikliyordu. Bu hafta şirketin CEO'su bu sayıyı, günde altı milyon dağıtımın yarısından fazlası olarak açıkladı; aynı pencerede ağ geçitlerinden bir trilyondan fazla AI token'ı geçti. Ajanlar üretime sessizce sızmadı. İki çeyrekte ele geçirdiler.

Vercel de bunun için çalışma zamanını (runtime) inşa etti. Yeni Sandbox, her ajanın kabuk komutlarını ve dosya işlemlerini izole bir sanal makineye, onu yöneten harness'tan ayrı bir güvenlik bağlamına yerleştiriyor. Her çalıştırma kaydediliyor, her araç çağrısı izleniyor; açıkça ifade ettikleri bir ilkeyle: iz yoksa güven yok. Bu içgüdü doğru ve bunun denetim yarısı tam olarak doğru. Bir ajan hareket ediyor ve siz ne yaptığını göremiyorsanız, elinizde hiçbir şey yoktur.

Şimdi de bir sandbox'ın dokunmadığı diğer yarıya gelince. İzolasyon, ajanın nerede çalıştığını kontrol eder. Nereye ulaşabileceğine dair hiçbir şey söylemez. Bu şeyi dağıtmanızın tüm nedeni gerçek iş yapmasıdır; bu da ona gerçek kimlik bilgileri verdiğiniz anlamına gelir: bir AWS anahtarı, bir veritabanı parolası, bir API token'ı, bir dağıtım sırrı. Bunlar onunla birlikte kafesin içinde durur, çünkü onlara ihtiyacı var. Dolayısıyla sandbox, ajanın kabuğunun host'a kaçmasını engeller; ancak prompt enjeksiyonuna uğramış ya da ele geçirilmiş bir ajan, kendisine meşru şekilde verilmiş kimlik bilgisini alıp tam da o kimlik bilgisinin izin verdiği şeyi harcadığında hiçbir şey yapmaz. Kafes hasarın yayılmasını durdurur. Yük olan kimlik bilgisidir. Aktörü izole ettiniz ve anahtarları onun elinde bıraktınız.

Ve ajanlar ele geçirilebiliyor. Buna bu ay tanık olduk: bir oyun aracılığıyla, ortamında duran SSH anahtarlarını ve token'ları vermeye koşullandırılmış bir ajan. İstismar yok, kaçış yok. Ajan sadece ikna edildiği şeyi, zaten elinde tuttuğuyla yaptı. Bir sandbox bunun her saniyesini kaydederdi ve hiçbirini değiştirmezdi.

Çözüm daha güçlü bir kafes değil. Anahtarları hiç kafesin içine koymamak. Bir ajanın kimlik bilgilerinizi tutmasına gerek yok. İhtiyacı olan, hareket ettiği anda, tek bir eylem için bir tanesini kullanmaktır. O anda aracılık edin: görevin gerektirdiği tek kaynakla sınırlı, verildiği makineye bağlı, dakikalarla ölçülen bir zamanlayıcıyla sona eren ve sonrasında yok olan bir kimlik bilgisi. Sandbox'ta ele geçirilmiş bir ajanın kapabileceği hiçbir şey durmaz, çünkü sır orada hiç saklanmamıştır. Ajan size karşı çevrildiğinde — ve üretiminizin yarısı artık ajan, yani öyle olacağını varsayın — ulaşabileceği şey, işiniz için süreli tek bir anahtardır; anahtar setiniz değil.

Bunların hiçbiri ele geçirilmiş bir ajanı zararsız yapmaz. Canlı bir kimlik bilgisini tuttuğu süre boyunca, o kimlik bilgisinin izin verdiği her şeyi kötüye kullanabilir; hiçbir tasarım bunu değiştirmez. Değişen, kaybın boyutudur. Vercel'in sandbox'ı kötü bir ajanın çalışabileceği alanı küçültür. Kapsamı sınırlandırılmış, aracılık edilmiş ve kısa ömürlü kimlik bilgileri götürebileceği şeyi küçültür. İkisine de ihtiyacınız var ve bunlar farklı yarıları çözüyor. Sektör çalışma zamanını inşa etmek için yarışıyor. Diğer yarı, ajanın anahtar setini asla tutmamasına karar vermektir; şu anda bu yarı hâlâ duran sırları doğrudan kutunun içine gönderiyor.

Vercel'in savunduğuna göre kazanan katman, en iyi modele sahip olan değil. Ajan çalışma zamanı. Yarı yarıya haklılar. Diğer yarı, onun içindeki kimlik bilgisi katmanı.

Bir kimlik bilgisi sisteminin asla yapmaması gereken şeylerin kısa bir listesini tutuyoruz. Listenin üst sıralarında: bir sır, onu kullanan kodun çalıştığı yerde asla durmamalı. Liste burada.

Clavitor (@clavitorai), AI ajanları için tasarlanmış ve onlara karşı geliştirilmiş kimlik bilgisi kasasıdır. clavitor.ai

Kaynaklar

Vercel (@vercel), CEO Guillermo Rauch (@rauchg) aracılığıyla: eve ajan framework'ü ve Vercel Sandbox lansmanı; açıklanan ölçek, ajanlar artık Vercel dağıtımlarının ve commit'lerinin yarısından fazlasını sürüyor, altı ay önceki %3'ün altından; günde 6M dağıtım; AI Gateway üzerinden günde 1T+ token. [1]

TechCrunch (@TechCrunch): "Vercel CEO'su Guillermo Rauch, modelleri ajanlardan ayırma mücadelesi üzerine," modeller-ajanlar ayrıştırma tezi ve kurumsal risk çerçevesi. [2]