安全部署 AI 代理

​

威胁模型

​

内置安全功能

• 权限系统：每个工具和 bash 命令都可以配置为允许、阻止或提示用户批准。使用 glob 模式创建规则，如”允许所有 npm 命令”或”阻止任何带有 sudo 的命令”。组织可以设置适用于所有用户的策略。请参阅权限。
• 权限的命令解析：在执行 bash 命令之前，Claude Code 将其解析为 AST 并将结果与您的权限规则进行匹配。无法干净解析或不符合允许规则的命令需要明确批准。一小组构造（如 eval）无论允许规则如何都始终需要批准。这是一个权限门，而不是沙箱；它不会根据其目标路径或效果推断命令是否危险。
• Web 搜索摘要：搜索结果被摘要化，而不是将原始内容直接传递到上下文中，从而降低了来自恶意网络内容的提示注入风险。
• Sandbox 模式：Bash 命令可以在限制文件系统和网络访问的沙箱环境中运行。有关详情，请参阅沙箱文档。

​

安全原则

​

安全边界

​

最小权限

​

纵深防御

• 容器隔离
• 网络限制
• 文件系统控制
• 代理处的请求验证

​

隔离技术

​

Sandbox 运行时

• 文件系统：使用操作系统原语（Linux 上的 bubblewrap、macOS 上的 sandbox-exec）来限制对配置路径的读/写访问
• 网络：删除网络命名空间（Linux）或使用 Seatbelt 配置文件（macOS）通过内置代理路由网络流量
• 配置：域和文件系统路径的基于 JSON 的允许列表

npm install @anthropic-ai/sandbox-runtime

1. 同主机内核：与 VM 不同，沙箱进程共享主机内核。理论上，内核漏洞可能导致逃逸。对于某些威胁模型，这是可以接受的，但如果您需要内核级隔离，请使用 gVisor 或单独的 VM。
2. 无 TLS 检查：代理基于客户端提供的主机名将域列入允许列表，不会终止或检查加密流量。在沙箱内运行的代码可能会使用域前置或类似技术来访问允许列表外的主机。如果您的威胁模型需要更强的保证，请配置TLS 终止代理。有关更多详情，请参阅沙箱安全限制。另外，如果代理对允许的域具有宽松凭证，请确保它无法使用该域来触发其他网络请求或泄露数据。

​

容器

docker run \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --security-opt seccomp=/path/to/seccomp-profile.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /home/agent:rw,noexec,nosuid,size=500m \
  --network none \
  --memory 2g \
  --cpus 2 \
  --pids-limit 100 \
  --user 1000:1000 \
  -v /path/to/code:/workspace:ro \
  -v /var/run/proxy.sock:/var/run/proxy.sock:ro \
  agent-image

​

gVisor

// /etc/docker/daemon.json
{
  "runtimes": {
    "runsc": {
      "path": "/usr/local/bin/runsc"
    }
  }
}

docker run --runtime=runsc agent-image

​

虚拟机

​

云部署

1. 在没有互联网网关的私有子网中运行代理容器
2. 配置云防火墙规则（AWS 安全组、GCP VPC 防火墙）以阻止除代理外的所有出站流量
3. 运行代理（如带有 credential_injector 过滤器的 Envoy），验证请求、强制执行域允许列表、注入凭证并转发到外部 API
4. 为代理的服务账户分配最小 IAM 权限，尽可能通过代理路由敏感访问
5. 在代理处记录所有流量以供审计

​

凭证管理

​

代理模式

1. 代理永远看不到实际凭证
2. 代理可以强制执行允许的端点的允许列表
3. 代理可以记录所有请求以供审计
4. 凭证存储在一个安全位置，而不是分布到每个代理

​

配置 Claude Code 使用代理

export ANTHROPIC_BASE_URL="http://localhost:8080"

export HTTP_PROXY="http://localhost:8080"
export HTTPS_PROXY="http://localhost:8080"

​

实现代理

• Envoy Proxy：生产级代理，带有 credential_injector 过滤器用于添加身份验证标头
• mitmproxy：TLS 终止代理，用于检查和修改 HTTPS 流量
• Squid：具有访问控制列表的缓存代理
• LiteLLM：具有凭证注入和速率限制的 LLM 网关

​

其他服务的凭证

​

自定义工具

• 无 TLS 拦截：外部服务直接进行身份验证请求
• 凭证保持在外：代理只看到工具接口，而不是底层凭证

​

流量转发

1. 在代理的容器外运行代理
2. 在代理的信任存储中安装代理的 CA 证书（以便代理信任代理的证书）
3. 配置 HTTP_PROXY/HTTPS_PROXY 通过代理路由流量

​

文件系统配置

​

只读代码挂载

docker run -v /path/to/code:/workspace:ro agent-image

​

可写位置

docker run \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /workspace:rw,noexec,size=500m \
  agent-image

​

进一步阅读

• Claude Code 安全文档
• 托管 Agent SDK
• 处理权限
• Sandbox 运行时
• AI 代理的致命三角
• OWASP 大型语言模型应用程序前 10 名
• Docker 安全最佳实践
• gVisor 文档
• Firecracker 文档