Security
Sandboxing Agen AI dan Lethal Trifecta
Agustus 20269 menit baca
Sandboxing menjalankan agen di dalam lingkungan terkekang, biasanya sebuah container atau VM ringan, dengan filesystem dan jaringan yang dibatasi. Pengekangan itu ditegakkan oleh lingkungan alih-alih model, sehingga bahkan agen yang sepenuhnya terkompromi hanya bisa menjangkau berkas dan host yang Anda beri secara eksplisit.
Lethal trifecta butuh akses data privat, konten tak tepercaya, dan saluran keluar bersamaan. Sandbox bisa menghapus dua dari tiga sekaligus: filesystem yang dibatasi memutus data privat, dan jaringan yang ditolak memutus eksfiltrasi. Konten tak tepercaya lalu menjadi tak berbahaya karena agen tak punya apa pun untuk dicuri dan tak punya tujuan pengiriman.
Prompt bergantung pada manusia yang membaca tiap satunya dengan cermat, yang runtuh di hari sibuk, dan mode lewati-semua ada justru karena prompt itu membosankan. Lebih buruk lagi, prompt tak bisa membedakan aksi yang diinginkan dari aksi yang disuntikkan, karena keduanya tiba sebagai permintaan. Sandbox menegakkan batasan yang tak bisa dibantah agen.
Ya, itulah hasilnya. Begitu radius ledakan dibatasi oleh sandbox, Anda bisa dengan aman membiarkan agen menjalankan perintah tanpa menyetujui tiap satunya, karena batasnya, bukan perhatian Anda, yang mengekang kerusakan. Batas kuat mengubah pilihan kecepatan-lawan-keamanan yang terus-menerus menjadi biaya penyiapan sekali.
Mulai dengan sandbox bawaan agen jika ada, karena ia mengisolasi operasi berisiko secara default. Untuk isolasi lebih berat, jalankan agen di container dengan hanya proyek yang di-mount dan jaringan keluar ditolak secara default, menambahkan kembali hanya host yang benar-benar dibutuhkan tugas. Cocokkan keketatannya dengan seberapa tak tepercaya pekerjaannya.
Ringkasan Utama
Sandboxing menjalankan coding agent AI di dalam lingkungan terkekang, sebuah container atau VM dengan filesystem dan jaringan yang dibatasi, sehingga bahkan agen yang sepenuhnya terkompromi hanya bisa menjangkau apa yang Anda beri. Ini adalah jawaban pengekangan atas lethal trifecta, membuat Anda bisa melonggarkan permission prompt dengan aman karena batasnya, bukan penilaian model, yang menegakkan batasan.
Ada dua cara mencegah coding agent AI berbuat kerusakan. Anda bisa memintanya baik-baik, lewat permission prompt yang bisa dibujuk oleh instruksi yang dirancang rapi, atau Anda bisa membangun tembok yang tidak bisa ia lewati apa pun yang ia putuskan. Sandboxing adalah temboknya.
Tulisan ini menjelaskan apa itu sandbox dalam arti agentic coding, bagaimana ia menetralkan lethal trifecta, dan pertukaran antara agen yang dikunci rapat dan agen yang berguna. Contohnya merujuk sandbox Claude Code, tetapi modelnya berlaku untuk agen terminal mana pun.
Mekanisme keamanan default di sebagian besar agen adalah prompt konfirmasi: agen mengusulkan aksi, Anda menyetujui atau menolak. Itu bekerja sampai jadi merepotkan, lalu orang menyetujui secara refleks atau mematikan prompt sama sekali demi lebih cepat. Guardrail yang rutin Anda lambaikan bukanlah guardrail.
Prompt juga gagal menghadapi ancaman persis yang paling penting. Agen yang terkena prompt injection bisa disetir untuk meminta aksi yang tampak wajar bila berdiri sendiri, dan mekanisme persetujuan tak punya cara tahu bahwa permintaan itu berasal dari penyerang alih-alih dari Anda.
Sandbox mengekang proses agen alih-alih memercayai pilihannya. Dua tuas yang penting adalah filesystem dan jaringan. Batasi filesystem dan perintah nakal tidak bisa membaca kunci SSH Anda atau menulis di luar proyek; batasi jaringan dan ia tidak bisa menghubungi rumah bahkan jika ia mau.
Dalam praktik itu tampak seperti menjalankan agen di sebuah container atau VM ringan dengan allowlist eksplisit:
# Run the agent in a locked-down container
docker run --rm -it \
--network none \ # no outbound: nothing to exfiltrate to
--mount type=bind,src="$PWD",dst=/work \ # only the project, nothing else
--workdir /work \
agent-image claude
# Add specific hosts back only when a task genuinely needs them.Rancang allowlist jaringan sebagai tolak-secara-default. Mulai tanpa akses keluar, lalu tambahkan hanya host yang benar-benar dibutuhkan tugas, seperti package registry Anda. Agen yang tidak bisa menjangkau URL sembarang tidak bisa mengeksfiltrasi ke sana, yang memutus trifecta di kakinya yang paling berbahaya.
Lethal trifecta butuh tiga bahan bersamaan: akses ke data privat, paparan konten tak tepercaya, dan cara mengirim data keluar. Sandbox ampuh karena satu batas bisa menghapus dua di antaranya sekaligus:
Sandboxing bukan hanya pembatasan; ia adalah yang membuat otonomi nyata jadi aman. Begitu agen dikotakkan, Anda bisa memberinya kebebasan di dalam kotak, membiarkannya menjalankan perintah tanpa prompt untuk tiap satunya, karena radius ledakannya dibatasi oleh konstruksi alih-alih oleh perhatian Anda.
Inilah pertukaran yang digambarkan tim innoQ dan lainnya: batas kuat membuat Anda berhenti mengasuh prompt dan membiarkan agen bekerja, sementara batas lemah memaksa Anda memilih antara kecepatan dan keamanan pada tiap aksi. Sandbox mengubah dilema itu menjadi biaya penyiapan sekali.
Sandbox hanya seketat lubang-lubangnya. Bind mount yang murah hati yang membuka direktori home Anda, aturan jaringan yang mengizinkan semua lalu lintas keluar, atau kredensial yang dipanggang ke dalam image container diam-diam mempersenjatai ulang trifecta. Tinjau apa yang Anda mount dan apa yang Anda izinkan, bukan hanya bahwa sebuah sandbox ada.
Anda tidak butuh penyiapan produksi yang dikeraskan untuk mendapat manfaat; Anda butuh batas yang pas dengan tugasnya:
Sandboxing memindahkan keamanan dari penilaian model, yang bisa dibajak prompt injection, ke sebuah batas yang tidak bisa ia bantah. Putus lethal trifecta dengan mengekang filesystem dan jaringan, dan hasilnya adalah agen yang akhirnya bisa Anda biarkan berjalan. Tembok itu lebih banyak pekerjaan untuk dibangun daripada sebuah prompt, dan ia adalah satu-satunya bagian yang bertahan di bawah serangan.