Implantação segura de agentes de IA

​

Modelo de ameaça

​

Recursos de segurança integrados

• Sistema de permissões: Cada ferramenta e comando bash pode ser configurado para permitir, bloquear ou solicitar aprovação do usuário. Use padrões glob para criar regras como “permitir todos os comandos npm” ou “bloquear qualquer comando com sudo”. As organizações podem definir políticas que se aplicam a todos os usuários. Consulte permissões.
• Análise de comando para permissões: Antes de executar comandos bash, Claude Code os analisa em uma AST e compara o resultado com suas regras de permissão. Comandos que não podem ser analisados corretamente ou que não correspondem a uma regra de permissão requerem aprovação explícita. Um pequeno conjunto de construções como eval sempre requer aprovação independentemente das regras de permissão. Esta é uma porta de permissão, não uma sandbox; ela não infere se um comando é perigoso a partir de seu caminho de destino ou efeitos.
• Resumo de pesquisa na web: Os resultados da pesquisa são resumidos em vez de passar o conteúdo bruto diretamente para o contexto, reduzindo o risco de injeção de prompt de conteúdo web malicioso.
• Modo sandbox: Comandos Bash podem ser executados em um ambiente sandboxed que restringe acesso ao sistema de arquivos e rede. Consulte a documentação de sandboxing para detalhes.

​

Princípios de segurança

​

Limites de segurança

​

Privilégio mínimo

​

Defesa em profundidade

• Isolamento de contêiner
• Restrições de rede
• Controles de sistema de arquivos
• Validação de solicitação em um proxy

​

Tecnologias de isolamento

​

Sandbox runtime

• Sistema de arquivos: Usa primitivos do SO (bubblewrap no Linux, sandbox-exec no macOS) para restringir acesso de leitura/escrita a caminhos configurados
• Rede: Remove namespace de rede (Linux) ou usa perfis Seatbelt (macOS) para rotear tráfego de rede através de um proxy integrado
• Configuração: Listas de permissão baseadas em JSON para domínios e caminhos do sistema de arquivos

npm install @anthropic-ai/sandbox-runtime

1. Kernel no mesmo host: Ao contrário das VMs, processos sandboxed compartilham o kernel do host. Uma vulnerabilidade do kernel poderia teoricamente permitir escape. Para alguns modelos de ameaça isso é aceitável, mas se você precisar de isolamento no nível do kernel, use gVisor ou uma VM separada.
2. Sem inspeção TLS: O proxy lista domínios permitidos com base no nome do host fornecido pelo cliente e não termina ou inspeciona tráfego criptografado. O código executado dentro da sandbox pode potencialmente usar domain fronting ou técnicas semelhantes para alcançar hosts fora da lista de permissões. Se seu modelo de ameaça requer garantias mais fortes, configure um proxy que termina TLS. Consulte as limitações de segurança de sandboxing para mais detalhes. Separadamente, se o agente tiver credenciais permissivas para um domínio permitido, certifique-se de que ele não possa usar esse domínio para disparar outras solicitações de rede ou para exfiltrar dados.

​

Contêineres

docker run \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --security-opt seccomp=/path/to/seccomp-profile.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /home/agent:rw,noexec,nosuid,size=500m \
  --network none \
  --memory 2g \
  --cpus 2 \
  --pids-limit 100 \
  --user 1000:1000 \
  -v /path/to/code:/workspace:ro \
  -v /var/run/proxy.sock:/var/run/proxy.sock:ro \
  agent-image

​

gVisor

// /etc/docker/daemon.json
{
  "runtimes": {
    "runsc": {
      "path": "/usr/local/bin/runsc"
    }
  }
}

docker run --runtime=runsc agent-image

​

Máquinas virtuais

​

Implantações em nuvem

1. Execute contêineres de agente em uma sub-rede privada sem gateway de internet
2. Configure regras de firewall em nuvem (AWS Security Groups, firewall VPC do GCP) para bloquear toda saída exceto para seu proxy
3. Execute um proxy (como Envoy com seu filtro credential_injector) que valida solicitações, impõe listas de permissão de domínio, injeta credenciais e encaminha para APIs externas
4. Atribua permissões IAM mínimas à conta de serviço do agente, roteando acesso sensível através do proxy quando possível
5. Registre todo o tráfego no proxy para fins de auditoria

​

Gerenciamento de credenciais

​

O padrão de proxy

1. O agente nunca vê as credenciais reais
2. O proxy pode impor uma lista de permissão de endpoints permitidos
3. O proxy pode registrar todas as solicitações para auditoria
4. Credenciais são armazenadas em um local seguro em vez de distribuídas para cada agente

​

Configurando Claude Code para usar um proxy

export ANTHROPIC_BASE_URL="http://localhost:8080"

export HTTP_PROXY="http://localhost:8080"
export HTTPS_PROXY="http://localhost:8080"

​

Implementando um proxy

• Envoy Proxy: proxy de nível de produção com filtro credential_injector para adicionar cabeçalhos de autenticação
• mitmproxy: proxy que termina TLS para inspecionar e modificar tráfego HTTPS
• Squid: proxy de cache com listas de controle de acesso
• LiteLLM: gateway LLM com injeção de credenciais e limitação de taxa

​

Credenciais para outros serviços

​

Ferramentas personalizadas

• Sem interceptação TLS: O serviço externo faz solicitações autenticadas diretamente
• Credenciais ficam fora: O agente apenas vê a interface da ferramenta, não as credenciais subjacentes

​

Encaminhamento de tráfego

1. Executar o proxy fora do contêiner do agente
2. Instalar o certificado CA do proxy no armazenamento de confiança do agente (para que o agente confie nos certificados do proxy)
3. Configurar HTTP_PROXY/HTTPS_PROXY para rotear tráfego através do proxy

​

Configuração do sistema de arquivos

​

Montagem de código somente leitura

docker run -v /path/to/code:/workspace:ro agent-image

​

Locais graváveis

docker run \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /workspace:rw,noexec,size=500m \
  agent-image

​

Leitura adicional

• Documentação de segurança do Claude Code
• Hospedando o Agent SDK
• Tratando permissões
• Sandbox runtime
• The Lethal Trifecta for AI Agents
• OWASP Top 10 for LLM Applications
• Docker Security Best Practices
• gVisor Documentation
• Firecracker Documentation