AI Agent沙箱网络安全：从流量隔离到零信任智能治理

本文整理自 AICon 上海分享「AI Agent 沙箱的网络安全从流量隔离到智能治理」演讲者王炳燊、李博康通过AI音视频总结工具Ai好记转录整理以下为视频转文字后精炼整理的内容。Agent场景下的威胁模型变了在云上托管AI Agent安全威胁和传统场景完全不同。传统微服务中代码、依赖、访问关系都是静态和确定的——你知道服务A调服务B的哪个API、预期返回什么。但AI Agent完全不同代码由LLM动态生成运行的是不可信代码你无法提前知道它要调什么访问目标不确定Agent根据任务自主决定调哪个外部API或内网服务生命周期极短每个沙箱可能只存活几秒到几分钟简单说传统安全的假设是「运行我部署的代码」而AI Agent安全是「运行我也不知道会调什么的代码」。安全问题的严重性一个典型案例Agent在某个任务中被提示词注入自主调用了一个未授权的云平台API窃取了云平台的凭证然后通过凭证接管了整个云环境。传统软件中的一个小问题比如一个未鉴权的API在Agent场景下会因为Agent的自主执行能力被放大为「接管整个系统」的风险。传统方案为什么失效最常见的做法是用Kubernetes的NetworkPolicy来做网络隔离。但这在AI Agent场景下完全不够维度NetworkPolicyL3/L4Agent沙箱需求策略粒度IP/CIDR/端口需要域名、HTTP路径/方法策略类型静态白名单需要动态、短生命周期控制语义理解不理解应用层协议需要理解HTTP语义默认动作需要用户配置需要默认全部拦截Agent要访问某个外部API时你不能提前知道它的域名、路径、方法。静态白名单这种「列清单再放行」的模式根本跟不上Agent的动态行为。安全边界的四要素理想AI沙箱的网络安全边界应该满足四个条件要素含义为什么重要非协作式不依赖沙箱内代码主动配合不可信代码可能故意绕过透明拦截所有流量默认拦截无路可逃消除逃逸路径首包前生效策略在业务启动瞬间就位不给攻击窗口期默认受控存在不可覆盖的平台安全基线防止被意外覆盖分层策略设计基于以上分析阿里云设计了一套分层网络策略L4平台基线最高优先级这是底层安全基线不可被任何用户覆盖。主要封禁云元数据服务地址如169.254.169.254内部DNS服务器其他云基础设施的关键地址租户策略在基线上叠加租户可以在平台基线上叠加自己的白名单策略允许Agent访问特定的外部服务。集群级安全受控L7层在L4放行的基础上进行更细粒度的L7层控制能力说明HTTP ACL基于路径/方法的访问控制身份注入在请求中注入认证信息动态Token替换用真实Token替换占位符内容审计审计请求内容是否合规双CRD实现方案通过两个Kubernetes CRD落地TrafficPolicy命名空间级别负责L4流量管控。可以配置允许/拒绝的IP范围端口白名单FQDN完全限定域名白名单SecurityProfile工作负载级别负责L7高级功能mTLS双向认证HTTP路径/方法级的访问控制凭据替换规则内容审计配置中心化网关架构为了同时满足性能、安全和可运维性方案采用了混合架构组件部署方式职责Sidecar与Agent容器同PodL4拦截流量引导中心化Envoy网关独立部署L7细粒度处理Sidecar负责在L4层做第一道拦截把所有出站流量引导到中心化网关。中心化网关集中处理L7层的策略匹配、凭据替换、内容审计。凭据替换的设计这是一个很关键的安全设计。Agent代码中只使用占位符如${API_KEY}不持有任何真实的敏感凭证。当Agent的请求经过中心化网关时网关根据规则动态地从安全的凭据管理服务中获取真实Token替换请求中的占位符。好处很明显真实的敏感信息从未进入不可信的沙箱环境。即使沙箱被攻破攻击者也拿不到任何云凭证。生产级性能这套方案已经在大规模生产环境中验证指标数据最大沙箱数10万规则数50万网关P99延迟5ms开源状态已开源open-cruise-agent对企业的建议对于正在部署AI Agent的企业有几个安全底线默认拒绝所有出站流量只放行明确需要的服务永远不要在沙箱内放置真实凭证用占位符网关替换的模式流量审计必须开启否则出了问题连排查的依据都没有关注供应链安全Agent依赖的第三方组件需要经过安全检查FAQQ这套方案和传统的WAF有什么区别AWAF是入口防护防护的是外部到服务的流量。这套方案是出口防护防护的是Agent沙箱到外部的流量。两者互补。QSidecar会增加多少资源开销AL4拦截的Sidecar资源消耗非常小。L7处理的中心化网关是独立部署的不会占用Agent沙箱的资源。Q凭据替换会影响延迟吗A会引入网关一跳的延迟但实测P995ms对大多数Agent任务来说可忽略。以上内容由 Ai好记 转录整理。Ai好记 是一款音视频转图文笔记的 AI 学习助手支持解析B站、抖音、小红书、小宇宙等平台链接及本地/网盘的音视频文件转录后自动生成精华速览、思维导图和结构化笔记帮助你把几小时的视频内容变成可搜索、可复习的图文笔记。