Luisa Crawford
30 Jan 2026, 16:35
NVIDIA’s AI Red Team melancarkan panduan kawalan keselamatan wajib untuk agen pengaturcaraan berasaskan AI, yang bertujuan menangani serangan penyuntikan petunjuk serta kelemahan pelarian sandbox.
Pada 30 Januari, NVIDIA’s AI Red Team mengemukakan sebuah kerangka keselamatan yang komprehensif, dengan fokus kepada satu celah baharu yang semakin ketara dalam aliran kerja pembangun: agen pengaturcaraan berasaskan AI yang beroperasi dengan kebenaran penuh pengguna. Panduan ini dikeluarkan ketika pasaran sandbox keselamatan rangkaian berkembang pesat hingga mencecah USD368 bilion, sementara kelemahan terkini seperti CVE-2025-4609 sekali lagi mengingatkan kita bahawa pelarian sandbox masih merupakan ancaman sebenar.
Apakah punca masalah utama? Asisten pengaturcaraan berasaskan AI seperti Cursor, Claude, dan GitHub Copilot menjalankan arahan dengan akses yang sama seperti yang dimiliki oleh pembangun. Sekiranya seorang penyerang menyusup ke dalam repositori, menyelitkan arahan berbahaya dalam fail .cursorrules, atau mencuri maklumat daripada respons pelayan MCP, mereka boleh sepenuhnya mengambil alih tindakan agen tersebut.
Tiga Kawalan yang Tidak Boleh Dikompromi
Kerangka NVIDIA menetapkan tiga kawalan yang dianggap wajib oleh Pasukan Merah—bukan sekadar cadangan, tetapi keperluan yang perlu dipatuhi:
Penguncian keluaran rangkaian. Halang semua sambungan keluaran, kecuali kepada destinasi yang telah disahkan secara eksplisit. Langkah ini dapat menghalang pemindahan data secara tidak sah dan juga penggunaan shell terbalik. Pasukan ini mengesyorkan penggunaan proksi HTTP, resolusi DNS yang ditetapkan, serta senarai larangan tahap perusahaan yang tidak boleh diubah suai oleh pembangun individu.
Tulis fail hanya dalam ruang kerja. Agen tidak sepatutnya menyentuh apa-apa yang berada di luar direktori projek aktif. Menulis ke dalam ~/.zshrc atau ~/.gitconfig boleh membuka pintu bagi mekanisme keterusan dan pelarian sandbox. NVIDIA menyarankan agar langkah ini dilaksanakan pada tahap OS, bukan sekadar janji pada tahap aplikasi.
Pelindungan fail konfigurasi. Ini adalah perkara yang menarik—malah fail-fail dalam ruang kerja juga memerlukan perlindungan jika ia merupakan fail konfigurasi agen. Hook, definisi pelayan MCP, serta skrip kemahiran sering dieksekusi di luar konteks sandbox. Panduan ini jelas: tiada sebarang pengubahsuaian terhadap fail-fail ini oleh agen, langsung. Hanya edit manual oleh pengguna sahaja yang dibenarkan.
Mengapa Kawalan pada Tahap Aplikasi Gagal?
Pasukan Merah memberikan hujah yang kukuh mengapa pengukuhan pada tahap OS lebih berkesan berbanding sekatan pada tahap aplikasi. Setelah sebuah agen mencipta subproses, aplikasi induk akan hilang kawalan ke atasnya. Penyerang sering menggunakan alat-alat yang dibenarkan untuk mencapai alat-alat yang disekat—menggunakan pengepalaan yang lebih selamat untuk memanggil arahan yang terhad.
MacOS Seatbelt, Windows AppContainer, dan Linux Bubblewrap dapat menguatkuasakan sekatan di bawah lapisan aplikasi, sekali gus menangkap laluan eksekusi tidak langsung yang terlepas daripada senarai benar.
Cadangan yang Lebih Berat
Selain tiga kawalan wajib tersebut, NVIDIA turut menggariskan langkah-langkah tambahan untuk organisasi yang mempunyai tahap toleransi risiko yang lebih rendah:
Penuh virtualisasi—VM, kontena Kata, atau unikernel—memisahkan kernel sandbox daripada hos. Penyelesaian berkernel bersama seperti Docker masih meninggalkan kelemahan kernel yang boleh dieksploitasi. Walaupun kos tambahan agak tinggi, namun ia sering kali lebih kecil berbanding latensi inferens LLM yang sudah pun ada.
Injeksi rahsia, bukan pewarisan. Komputer pembangun biasanya dipenuhi dengan kunci API, kredensial SSH, dan token AWS. Memulakan sandbox dengan set kredensial yang kosong dan hanya menyuntikkan apa yang diperlukan untuk tugas semasa dapat mengurangkan radius kesan serangan.
Pengurusan hayat memastikan artefak tidak terkumpul. Sandbox yang beroperasi lama akan mengumpulkan pelbagai dependensi, kredensial yang disimpan, serta kod proprietari yang boleh digunakan semula oleh penyerang. Penggunaan persekitaran sementara atau pemusnahan yang dirancang dapat menangani isu ini.
Apa Maknanya bagi Pasukan Pembangunan?
Penetapan masa amat penting. Agen pengaturcaraan berasaskan AI telah berubah daripada sekadar inovasi menjadi keperluan bagi banyak pasukan, namun amalan keselamatan belum mengikut rentaknya. Pengekalan manual bagi setiap tindakan boleh menyebabkan rasa biasa—pembangun sering sekadar meluluskan permintaan tanpa membacanya.
Model berperingkat yang dikemukakan oleh NVIDIA menawarkan jalan pertengahan: senarai larangan perusahaan yang tidak boleh diubah suai, kebebasan membaca dan menulis dalam ruang kerja tanpa halangan, senarai benar khusus untuk akses luaran yang sah, serta dasar tolak (default-deny) dengan kelulusan setiap kali untuk segala perkara lain.
Kerangka ini secara jelas tidak membincangkan ketepatan output atau manipulasi adversarial terhadap cadangan AI—kedua-dua perkara itu masih menjadi tanggungjawab pembangun. Namun, bagi risiko eksekusi yang timbul apabila agen AI diberikan akses sebenar ke sistem? Inilah panduan awam yang paling terperinci yang pernah dikeluarkan oleh pasukan keselamatan dari vendor besar.
Sumber imej: Shutterstock
Sumber: https://blockchain.news/news/nvidia-ai-agent-security-framework-sandbox-controls
