智能体面试准备（六十二）：智能体工具沙箱与执行安全------命令/代码隔离、权限最小化与可审计
引言
前面（十六）安全、（三十二）安全对抗讲了威胁与红队；前面（六十）CodeAgent 讲了代码生成。本文落在"执行"这一环------agent 真正去跑命令 / 代码 / 调 API 时，怎么把破坏面关进笼子。这是把 demo 级 agent 变成生产级的关键一步，也是企业落地时安全团队必问的环节。
一、威胁模型
提示注入（恶意网页 / 邮件 / 工具返回）
|
v
agent 误把注入指令当任务
|
v
触发危险工具调用
|-- 命令执行：rm -rf / ；篡改文件
|-- 数据外泄：读密钥 -> 外发
|-- 资源耗尽：死循环 / 巨量 API 调用
`-- 横向移动：用凭证访问其他系统核心认知：agent 的工具面 = 攻击面。安全护栏（A60）挡"说错话"，沙箱挡"做错事"------两者是纵深防御的不同层。
二、沙箱隔离
- 容器 / Docker：每个工具调用跑在受限容器，默认 --network=none 断网，按需开白名单。
- gVisor / Kata：比普通容器更强的内核隔离，降低容器逃逸风险。
- 只读根文件系统 + 仅挂载工作目录可写。
- 资源配额：--memory、--cpus、--pids-limit。
bash
docker run --rm --network=none \
--memory=512m --cpus=1 --pids-limit=128 \
--read-only -v "$WORKDIR:/work:rw" \
sandbox-img python run_tool.py三、权限最小化（Least Privilege）
- 工具白名单：只允许预注册的工具，拒绝 ad-hoc 命令。
- 凭证隔离：每个外部系统独立凭证，agent 运行时注入，不落盘、不进上下文明文。
- 作用域：数据库账号只读、云账号仅限指定资源。
- 危险操作分级：写 / 删 / 外发需 HITL 审批（接（二十七））。
四、资源限额与防 DoS
- 单次调用超时（如 30s 强杀）。
- 频率限制：同工具 N 次 / 分钟。
- 成本预算：单任务调用费用上限，超限暂停并告警。
- 循环检测：同一动作重复 K 次自动熔断。
五、数据外泄防护
- 出站管控：默认禁止外联，仅放行审批过的域名。
- 输出过滤：工具 / 模型输出过 PII、密钥正则，命中则拦截或脱敏。
- 最小数据原则：传给工具前只带必要字段，不整表外发。
python
import re
PII = re.compile(r"(API_KEY|sk-[A-Za-z0-9]{20}|身份证|\d{17}[\dX])")
def guard(text):
if PII.search(text):
raise PermissionError("输出疑似含敏感信息，已阻断")
return text六、可审计
- 全量日志：每次工具调用的输入 / 输出 / 耗时 / 调用者，写入不可篡改日志。
- 回放：用日志可重建任意一次执行，用于事故复盘。
- 人工审批流：高危动作生成工单，审批后才执行（接（二十七）HITL）。
- 留痕合规：满足金融 / 医疗等行业的审计要求。
七、面试速答
Q：为什么光有"提示词护栏"不够？
A：护栏管"模型说什么"，但工具执行在模型之外------恶意工具返回能反向注入，沙箱 / 权限 / 审计是执行层的纵深防御。
Q：容器沙箱 vs 直接 os.exec 跑命令，差在哪？
A：直接执行无隔离，一条命令就能把主机搞崩或读走密钥；容器断网 + 限额 + 只读把破坏面锁死在单容器内。
八、高频追问清单
- 沙箱逃逸怎么防（gVisor vs 普通容器）？
- 如何在不牺牲能力的前提下做权限最小化？
- 提示注入导致的"合法但恶意"工具调用怎么识别？
- 凭证如何安全注入且不泄露给模型 / 日志？
- 断网沙箱里 agent 怎么查资料（需联网工具）？
- 资源限额怎么设才不误杀长任务？
- 审计日志如何防篡改、满足合规？
- HITL 审批的粒度怎么定（动作级 vs 任务级）？