Mengamankan penyebaran agen AI

​

Model ancaman

​

Fitur keamanan bawaan

• Sistem izin: Setiap alat dan perintah bash dapat dikonfigurasi untuk mengizinkan, memblokir, atau meminta persetujuan pengguna. Gunakan pola glob untuk membuat aturan seperti “izinkan semua perintah npm” atau “blokir perintah apa pun dengan sudo”. Organisasi dapat menetapkan kebijakan yang berlaku di semua pengguna. Lihat permissions.
• Parsing perintah untuk izin: Sebelum menjalankan perintah bash, Claude Code menguraikannya menjadi AST dan mencocokkan hasilnya dengan aturan izin Anda. Perintah yang tidak dapat diuraikan dengan bersih, atau yang tidak cocok dengan aturan izin, memerlukan persetujuan eksplisit. Serangkaian kecil konstruksi seperti eval selalu memerlukan persetujuan terlepas dari aturan izin. Ini adalah gerbang izin, bukan sandbox; ini tidak menyimpulkan apakah perintah berbahaya dari jalur target atau efeknya.
• Ringkasan pencarian web: Hasil pencarian diringkas daripada melewatkan konten mentah langsung ke dalam konteks, mengurangi risiko prompt injection dari konten web berbahaya.
• Mode sandbox: Perintah Bash dapat berjalan di lingkungan sandbox yang membatasi akses filesystem dan jaringan. Lihat dokumentasi sandboxing untuk detail.

​

Prinsip keamanan

​

Batas keamanan

​

Privilege minimal

​

Pertahanan berlapis

• Isolasi kontainer
• Pembatasan jaringan
• Kontrol filesystem
• Validasi permintaan di proxy

​

Teknologi isolasi

​

Sandbox runtime

• Filesystem: Menggunakan primitif OS (bubblewrap di Linux, sandbox-exec di macOS) untuk membatasi akses baca/tulis ke jalur yang dikonfigurasi
• Jaringan: Menghapus namespace jaringan (Linux) atau menggunakan profil Seatbelt (macOS) untuk merutekan lalu lintas jaringan melalui proxy bawaan
• Konfigurasi: Daftar izin berbasis JSON untuk domain dan jalur filesystem

npm install @anthropic-ai/sandbox-runtime

1. Kernel host yang sama: Tidak seperti VM, proses sandbox berbagi kernel host. Kerentanan kernel secara teoritis dapat memungkinkan escape. Untuk beberapa model ancaman ini dapat diterima, tetapi jika Anda memerlukan isolasi tingkat kernel, gunakan gVisor atau VM terpisah.
2. Tidak ada inspeksi TLS: Proxy daftar izin domain berdasarkan nama host yang disediakan klien dan tidak menghentikan atau memeriksa lalu lintas terenkripsi. Kode yang berjalan di dalam sandbox dapat berpotensi menggunakan domain fronting atau teknik serupa untuk menjangkau host di luar daftar izin. Jika model ancaman Anda memerlukan jaminan yang lebih kuat, konfigurasikan proxy yang menghentikan TLS. Lihat batasan keamanan sandboxing untuk detail lebih lanjut. Secara terpisah, jika agen memiliki kredensial permisif untuk domain yang diizinkan, pastikan itu tidak dapat menggunakan domain itu untuk memicu permintaan jaringan lain atau untuk mengeksfiltrasi data.

​

Kontainer

docker run \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --security-opt seccomp=/path/to/seccomp-profile.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /home/agent:rw,noexec,nosuid,size=500m \
  --network none \
  --memory 2g \
  --cpus 2 \
  --pids-limit 100 \
  --user 1000:1000 \
  -v /path/to/code:/workspace:ro \
  -v /var/run/proxy.sock:/var/run/proxy.sock:ro \
  agent-image

​

gVisor

// /etc/docker/daemon.json
{
  "runtimes": {
    "runsc": {
      "path": "/usr/local/bin/runsc"
    }
  }
}

docker run --runtime=runsc agent-image

​

Mesin virtual

​

Penyebaran cloud

1. Jalankan kontainer agen di subnet pribadi tanpa internet gateway
2. Konfigurasikan aturan firewall cloud (AWS Security Groups, GCP VPC firewall) untuk memblokir semua egress kecuali ke proxy Anda
3. Jalankan proxy (seperti Envoy dengan filter credential_injector nya) yang memvalidasi permintaan, memberlakukan daftar izin domain, menyuntikkan kredensial, dan meneruskan ke API eksternal
4. Tetapkan izin IAM minimal ke akun layanan agen, merutekan akses sensitif melalui proxy jika memungkinkan
5. Catat semua lalu lintas di proxy untuk tujuan audit

​

Manajemen kredensial

​

Pola proxy

1. Agen tidak pernah melihat kredensial aktual
2. Proxy dapat memberlakukan daftar izin endpoint yang diizinkan
3. Proxy dapat mencatat semua permintaan untuk audit
4. Kredensial disimpan di satu lokasi aman daripada didistribusikan ke setiap agen

​

Mengonfigurasi Claude Code untuk menggunakan proxy

export ANTHROPIC_BASE_URL="http://localhost:8080"

export HTTP_PROXY="http://localhost:8080"
export HTTPS_PROXY="http://localhost:8080"

​

Mengimplementasikan proxy

• Envoy Proxy: proxy tingkat produksi dengan filter credential_injector untuk menambahkan header auth
• mitmproxy: proxy yang menghentikan TLS untuk memeriksa dan memodifikasi lalu lintas HTTPS
• Squid: proxy caching dengan daftar kontrol akses
• LiteLLM: gateway LLM dengan injeksi kredensial dan pembatasan laju

​

Kredensial untuk layanan lain

​

Alat kustom

• Tidak ada intersepsi TLS: Layanan eksternal membuat permintaan terautentikasi secara langsung
• Kredensial tetap di luar: Agen hanya melihat antarmuka alat, bukan kredensial yang mendasarinya

​

Penerusan lalu lintas

1. Menjalankan proxy di luar kontainer agen
2. Memasang sertifikat CA proxy di toko kepercayaan agen (sehingga agen mempercayai sertifikat proxy)
3. Mengonfigurasi HTTP_PROXY/HTTPS_PROXY untuk merutekan lalu lintas melalui proxy

​

Konfigurasi filesystem

​

Pemasangan kode read-only

docker run -v /path/to/code:/workspace:ro agent-image

​

Lokasi yang dapat ditulis

docker run \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /workspace:rw,noexec,size=500m \
  agent-image

​

Bacaan lebih lanjut

• Dokumentasi keamanan Claude Code
• Hosting Agent SDK
• Menangani izin
• Sandbox runtime
• The Lethal Trifecta for AI Agents
• OWASP Top 10 for LLM Applications
• Docker Security Best Practices
• gVisor Documentation
• Firecracker Documentation