AI-агентам потрібен sandbox, а не bypass за замовчуванням

Контейнер має обмежувати шкоду, а не створювати ілюзію

Після інцидентів із видаленням розділів диска я б не сперечався про налаштування дозволів, доки агент узагалі бачить хост. Головний висновок простий: автономність допустима лише всередині середовища, де помилка не перетворюється на втрату розділу, секретів або системної конфігурації.

У зведенні дискусії, на якому базується ця нотатка, не названо організацію та вихідний документ. Станом на 6 вересня 2026 року не вказано й дати самих інцидентів, тому тему слід розглядати як архітектурний аналіз, а не як анонс свіжого релізу. Обговорюються два режими: онлайн-доступ після підтвердження людиною та увімкнені за замовчуванням bypass permissions.

Сам контейнер не розв'язує проблему. Повноцінна межа передбачає запуск без root, вилучення зайвих Linux capabilities, файлову систему лише для читання та єдиний робочий каталог із правом запису. Для посилення ізоляції у зведенні згадані gVisor, microVM, Landlock, AppArmor і механізми рівня SELinux.

Мережа потребує такої самої недовіри, як і диск. Вихідні з'єднання мають бути дозволені лише до схвалених сервісів, а облікові дані слід видавати на конкретне завдання з вузькою областю дії та відкликати після нього. Окремі ідентичності для моделі, контролера агента й інструментів зменшують радіус ураження, якщо один рівень скомпрометовано.

Я б окремо перевіряв сокет контейнерного рантайму, батьківські каталоги, змонтовані секрети та можливість розширити мережевий доступ через доступний інструмент. Саме через такі щілини контейнер швидко перестає бути пісочницею і стає декоративною коробкою.

Bypass корисний лише для заздалегідь обмежених дій

Правильний баланс не лежить між повною автономністю та постійними спливними запитами. Агент може автоматично читати файли, редагувати дані в робочому каталозі та виконувати зворотні команди, якщо ці операції фізично не здатні зачепити хост.

Видалення файлів, зміна розділів, доступ до секретів, системні налаштування та вихід за межі мережевого allowlist мають проходити через policy engine і підтвердження людиною. Дозвіл краще прив'язувати до конкретної дії, а не до всієї сесії: згода на одну команду не повинна ставати безстроковою перепусткою.

Ціна людського контролю очевидна: агент працює повільніше й частіше зупиняється. Але широкий bypass без жорсткої ізоляції просто обмінює зручність на більший радіус аварії. Автономність починається не з кнопки auto-allow, а з доказу того, що агенту майже нічого ламати.

Раніше ми розглядали Pydantic Monty — безпечний Python-інтерпретатор для запуску коду, згенерованого LLM, без контейнерів. Цей підхід допомагає порівняти ізоляцію середовища з ризиками обходу дозволів в AI-агентах.