安全部署 AI 代理

​

威脅模型

​

內建安全功能

• 權限系統：每個工具和 bash 命令都可以配置為允許、阻止或提示使用者批准。使用 glob 模式建立規則，例如「允許所有 npm 命令」或「阻止任何包含 sudo 的命令」。組織可以設定適用於所有使用者的政策。請參閱權限。
• 用於權限的命令解析：在執行 bash 命令之前，Claude Code 將其解析為 AST 並將結果與您的權限規則進行比對。無法乾淨解析或不符合允許規則的命令需要明確批准。一小組構造（例如 eval）無論允許規則如何都始終需要批准。這是一個權限閘道，而不是沙箱；它不會根據其目標路徑或效果推斷命令是否危險。
• Web 搜尋摘要：搜尋結果被摘要化，而不是將原始內容直接傳遞到上下文中，降低了來自惡意 Web 內容的提示注入風險。
• Sandbox 模式：Bash 命令可以在限制檔案系統和網路存取的沙箱環境中執行。有關詳情，請參閱沙箱文件。

​

安全原則

​

安全邊界

​

最小權限

​

深度防禦

• 容器隔離
• 網路限制
• 檔案系統控制
• 代理處的請求驗證

​

隔離技術

​

Sandbox runtime

• 檔案系統：使用 OS 原語（Linux 上的 bubblewrap、macOS 上的 sandbox-exec）限制對配置路徑的讀/寫存取
• 網路：移除網路命名空間 (Linux) 或使用 Seatbelt 設定檔 (macOS) 透過內建代理路由網路流量
• 配置：基於 JSON 的網域和檔案系統路徑允許清單

npm install @anthropic-ai/sandbox-runtime

1. 同主機核心：與 VM 不同，沙箱化程序共享主機核心。核心漏洞理論上可能導致逃逸。對於某些威脅模型，這是可以接受的，但如果您需要核心級隔離，請使用 gVisor 或單獨的 VM。
2. 無 TLS 檢查：代理根據用戶端提供的主機名稱允許清單網域，不會終止或檢查加密流量。在沙箱內執行的程式碼可能會使用網域前置或類似技術來到達允許清單外的主機。如果您的威脅模型需要更強的保證，請配置TLS 終止代理。有關更多詳情，請參閱沙箱安全限制。另外，如果代理對允許的網域具有寬鬆認證，請確保它無法使用該網域觸發其他網路請求或洩露資料。

​

容器

docker run \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --security-opt seccomp=/path/to/seccomp-profile.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /home/agent:rw,noexec,nosuid,size=500m \
  --network none \
  --memory 2g \
  --cpus 2 \
  --pids-limit 100 \
  --user 1000:1000 \
  -v /path/to/code:/workspace:ro \
  -v /var/run/proxy.sock:/var/run/proxy.sock:ro \
  agent-image

​

gVisor

// /etc/docker/daemon.json
{
  "runtimes": {
    "runsc": {
      "path": "/usr/local/bin/runsc"
    }
  }
}

docker run --runtime=runsc agent-image

​

虛擬機

​

雲部署

1. 在沒有網際網路閘道的私有子網中執行代理容器
2. 配置雲防火牆規則（AWS 安全群組、GCP VPC 防火牆）以阻止除代理外的所有出站流量
3. 執行代理（例如 Envoy，其 credential_injector 篩選器）來驗證請求、強制執行網域允許清單、注入認證並轉發到外部 API
4. 為代理的服務帳戶分配最小 IAM 權限，盡可能透過代理路由敏感存取
5. 在代理處記錄所有流量以進行審計

​

認證管理

​

代理模式

1. 代理永遠看不到實際認證
2. 代理可以強制執行允許的端點允許清單
3. 代理可以記錄所有請求以進行審計
4. 認證存儲在一個安全位置，而不是分散到每個代理

​

配置 Claude Code 以使用代理

export ANTHROPIC_BASE_URL="http://localhost:8080"

export HTTP_PROXY="http://localhost:8080"
export HTTPS_PROXY="http://localhost:8080"

​

實現代理

• Envoy Proxy：生產級代理，具有 credential_injector 篩選器用於添加身份驗證標頭
• mitmproxy：TLS 終止代理，用於檢查和修改 HTTPS 流量
• Squid：具有存取控制清單的快取代理
• LiteLLM：LLM 閘道，具有認證注入和速率限制

​

其他服務的認證

​

自訂工具

• 無 TLS 檢查：外部服務直接進行身份驗證請求
• 認證保持在外部：代理只看到工具介面，而不是基礎認證

​

流量轉發

1. 在代理的容器外執行代理
2. 在代理的信任存儲中安裝代理的 CA 憑證（以便代理信任代理的憑證）
3. 配置 HTTP_PROXY/HTTPS_PROXY 透過代理路由流量

​

檔案系統配置

​

唯讀程式碼掛載

docker run -v /path/to/code:/workspace:ro agent-image

​

可寫位置

docker run \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /workspace:rw,noexec,size=500m \
  agent-image

​

進一步閱讀

• Claude Code 安全文件
• 託管 Agent SDK
• 處理權限
• Sandbox runtime
• The Lethal Trifecta for AI Agents
• OWASP Top 10 for LLM Applications
• Docker Security Best Practices
• gVisor Documentation
• Firecracker Documentation