Modal推出Sidecars，解决AI代理执行不可信代码的安全风险
本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。
本条选题由第三方线索发现；线索方提供的摘要未被采用，本页内容依据下方信源整理。线索来源：AIHOT
全文梳理
AI 摘要依据下方信源原文自动整理，非原文转载信任边界为何要重划
Modal 在官方工程博客中说明，其客户依赖 Sandboxes 来运行不受信任的代码，这些代码来自下游用户，而如今几乎全部来自智能体。运行不受信任的代码并非新问题，任何云服务商从第一天起就必须把平台与用户隔离、把用户彼此隔离。gVisor 与 Firecracker 这类技术在大约八年前就解决了隔离问题，但它们针对的是当时定义的信任单元。Modal 认为，这一单元如今已经过时：真正需要回答的是如何保护用户免受其“自己”代码的影响。Sidecars 就是针对这一问题的更完整答案。按照博客的描述，Sidecars 是隔离容器，与主 Sandbox 运行在同一台主机上，在可信代码与不可信代码之间提供真正的安全边界。相比使用彼此独立的 Sandboxes，Sidecars 让跨信任边界的通信速度提升到三倍，这对操作密集型的负载尤其有帮助。博客同时给出了一段示例代码，展示如何查找应用、构建镜像、创建 Sandbox，并在其上创建 Sidecar。
可信代码为何留在沙箱
博客指出，Sandboxes 里塞满了可信代码，这是一个反模式。作者用一个具体场景说明诉求：希望智能体去查看 Slack 消息，并替自己向同事道歉，解释审阅材料花了太久；但不希望这个智能体在遇到某个诱导页面、被要求记录密码时，真的掌握 Slack 密码。问题在于，如果 Sandboxes 主要是为不受信任代码提供的执行环境，那为什么里面会有这么多可信代码？博客把原因追溯到早期编码智能体的设计方式：像 Claude Code 这样的工具原本是为在用户笔记本上运行而设计的，而不是为远程 Sandbox 设计。其 harness 从未与工具调用分离，这种设计模式在迁移到云端后被保留下来。把 harness 和工具调用放在一起托管构成安全风险。博客引用了 Simon Willison 所说的“致命三要素”：智能体若能访问私有数据、接触不受信任的内容、又具备对外通信能力，就可能被诱导泄露数据。而 harness 运行在自身 Sandbox 内的编码智能体，默认同时具备这三项条件——harness 的凭据就放在生成代码旁边。
凭据与代码的分离
从博客的叙述看，Sidecars 要解决的核心矛盾是凭据与生成代码共处一地。当 harness 的凭据紧挨着智能体生成的代码，智能体在读取外部内容时就可能被引导去使用这些凭据。博客强调，智能体需要的是能力，而不是凭据本身：它应当能够完成查看消息、发送道歉这类操作，却不必知道密码是什么。Sidecars 作为与主 Sandbox 同主机运行的隔离容器，在两者之间划出安全边界，使可信部分与不可信部分不再混在同一个执行环境里。相比把可信与不可信逻辑拆成两个独立 Sandboxes 的做法，Sidecars 的跨边界通信快三倍，因此更适合操作频繁、需要反复调用的负载。博客给出的示例中，Sandbox 以 sleep 命令启动并设置超时，随后通过实验性接口创建 Sidecar 并运行 http.server，说明这一能力目前以实验性接口的形式提供。
为什么值得看
解决AI代理执行不可信代码时的凭证泄露风险，跨信任边界通信提速3倍，直接影响代理架构安全。
信源1 家
关键事实
相关 · 产品
本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。