Chiếc lồng giữ được nơi agent chạy. Không giữ được thứ nó có thể lấy đi.

Cách đây sáu tháng, coding agent gây ra dưới 3% tổng số thứ được đưa lên Vercel. Tuần này, CEO của công ty đưa ra con số hơn một nửa, trên sáu triệu lượt triển khai mỗi ngày, với hơn một nghìn tỷ AI token đi qua gateway của họ trong cùng khoảng thời gian. Agent không lén lút bước vào production. Chúng chiếm lấy nó, trong hai quý.

Vì vậy Vercel đã xây runtime cho chúng. Sandbox mới của họ đưa các lệnh shell và thao tác tệp của từng agent vào một VM cách ly, trong một ngữ cảnh bảo mật tách biệt với harness điều khiển nó. Mọi lần chạy đều được ghi log, mọi lời gọi công cụ đều được truy vết, theo một nguyên tắc họ nêu rõ: không dấu vết, không tin cậy. Bản năng đó đúng, và phần audit của nó thì hoàn toàn đúng. Nếu một agent hành động mà bạn không thấy nó làm gì, bạn chẳng có gì cả.

Giờ đến phần mà sandbox không chạm tới. Cách ly kiểm soát nơi agent chạy. Nó không nói gì về thứ agent có thể với tới. Toàn bộ lý do bạn triển khai thứ này là để làm việc thật, nghĩa là bạn đưa cho nó thông tin xác thực thật: một khóa AWS, một mật khẩu cơ sở dữ liệu, một API token, một deploy secret. Những thứ đó nằm trong lồng cùng nó, vì nó cần chúng. Vậy nên sandbox ngăn shell của agent thoát ra host, và nó hoàn toàn vô dụng khi một agent bị tiêm prompt hoặc bị chiếm quyền cầm lên thông tin xác thực mà nó được cấp hợp lệ và tiêu xài đúng thứ mà thông tin xác thực đó cho phép. Chiếc lồng giữ được vụ nổ. Thông tin xác thực là thứ gây nổ. Bạn cách ly kẻ hành động rồi để nó cầm chìa khóa.

Và agent bị chiếm quyền là có thật. Tháng này chúng ta vừa chứng kiến: một agent bị dẫn dắt qua một trò chơi để giao ra các khóa SSH và token nằm trong môi trường của nó. Không exploit, không thoát khỏi sandbox. Agent chỉ làm những gì nó bị dụ làm, với những gì nó đã cầm sẵn. Một sandbox sẽ ghi log từng giây của vụ đó và không thay đổi được gì.

Cách sửa không phải là một chiếc lồng chắc hơn. Mà là đừng để chìa khóa trong lồng từ đầu. Một agent không cần giữ thông tin xác thực của bạn. Nó cần được dùng một lần, cho một hành động, tại thời điểm nó hành động. Broker nó lúc đó: giới hạn ở đúng tài nguyên duy nhất mà tác vụ cần, gắn với máy nơi nó được cấp, hết hạn theo đồng hồ tính bằng phút, biến mất sau đó. Không có gì nằm yên trong sandbox để agent bị chiếm quyền chộp lấy, vì bí mật chưa bao giờ được lưu ở đó. Khi agent quay lại chống bạn — mà giờ một nửa production của bạn là agent, nên hãy giả định điều đó sẽ xảy ra — thứ nó với tới được là một khóa sắp hết hạn cho một việc, không phải chùm khóa của bạn.

Không điều nào trong số đó khiến một agent bị chiếm quyền trở nên vô hại. Trong khoảng thời gian nó giữ một thông tin xác thực còn hiệu lực, nó có thể lạm dụng thông tin xác thực đó cho bất cứ điều gì mà thông tin đó cho phép, và không thiết kế nào viết lại được điều đó. Điều thay đổi là quy mô của tổn thất. Sandbox của Vercel thu hẹp nơi một agent xấu có thể chạy. Thông tin xác thực được giới hạn phạm vi, được broker, tạm thời — thu hẹp thứ nó có thể lấy đi. Bạn cần cả hai, và chúng giải quyết hai nửa khác nhau. Ngành đang chạy đua để xây runtime. Nửa còn lại là quyết định rằng agent không bao giờ cầm chùm khóa, và hiện tại nửa đó vẫn đang gửi thẳng các secret tĩnh vào trong hộp.

Tầng chiến thắng, theo lập luận của Vercel, không phải là ai có model tốt nhất. Mà là agent runtime. Họ đúng một nửa. Nửa còn lại là tầng thông tin xác thực bên trong nó.

Chúng tôi giữ một danh sách ngắn những việc một hệ thống thông tin xác thực không bao giờ nên làm. Gần đầu danh sách: một bí mật không bao giờ nên nằm ở nơi đoạn code sử dụng nó chạy. Danh sách ở đây.

Clavitor (@clavitorai) là két lưu thông tin xác thực được xây cho AI agent, và để chống lại chính chúng. clavitor.ai

Nguồn

Vercel (@vercel), qua CEO Guillermo Rauch (@rauchg): ra mắt agent framework eve và Vercel Sandbox, với quy mô được công bố — agent giờ đây chiếm hơn một nửa số lần triển khai và commit của Vercel, tăng từ dưới 3% cách đây sáu tháng; 6 triệu lượt triển khai mỗi ngày; hơn 1 nghìn tỷ token mỗi ngày qua AI Gateway. [1]

TechCrunch (@TechCrunch): "Vercel CEO Guillermo Rauch về cuộc chiến tách model khỏi agent", luận điểm giải tách model và agent, cùng cách đặt vấn đề rủi ro ở cấp doanh nghiệp. [2]