Benchling 每日 600+ 次执行零事故:多租户 Agent 沙箱架构详解
AWS ML Blog · rss · 2026-09-22
AWS ML Blog 详解生命科学公司 Benchling 如何安全运行 AI agent 生成的代码，横跨数千租户、日均 600+ 代码执行会话、周覆盖 250+ 租户，零安全事故。
核心挑战
- 传统沙箱难以覆盖 DNS 等数据外泄通道；每租户一个 IAM 角色不可持续
纵深防御架构
- 独立「不可信代码账户」与生产账户分离，出事不波及客户数据
- 基于 Amazon Bedrock AgentCore Code Interpreter 的 VPC 模式：无互联网网关、无 NAT，安全组仅开 443
- Route 53 DNS Firewall 三级策略：P10 黑名单拦截已知恶意域名、P100 白名单仅放行必需 S3 端点、P200 全部拒绝
- 通过 AWS STS 按任务注入临时凭证，动态限定单任务数据访问
- 持续验证套件模拟数据外泄攻击，验证隔离有效性
对需要在多租户环境运行 LLM 生成代码的团队，这是一套可直接参考的隔离蓝图。
「编程与Agent」频道最新
- 用 agent 提示词写出比 SOTA 库快 2-20 倍的 Rust 代码 — minimaxir · 2026-09-22
- LangChain 推出 Jev 评测裁判:比 Claude 便宜 80 倍、快 5 倍 — LangChain · 2026-09-22
- LangSmith 上线 Jev-as-a-judge：给每条生产 trace 打分的新评测方式 — LangChain · 2026-09-22
- 前 Slack 工程师新播客：编码不再是工作，评审才是 — josh_wills · 2026-09-22
- Superset 推出 iPhone 版：口袋里审 PR、远程操控电脑上的编码 Agent — ycombinator · 2026-09-22
- Mini-AGI：8GB 显存即可训练的动态持续学习模型 — petrusenko_max · 2026-09-22