多 Agent 场景凭名字发凭证不可信,开发者提出五条运行时安全原则
karc16 · reddit · 2026-10-27
一位开发无人工监督的 Agent 运行时守卫的开发者分享了他踩过的坑:多 Agent 场景下,凭请求里的 Agent 名字或标签决定发哪个凭证是不可信的——因为 Agent 或它读到的内容可以伪造这些元数据。
他总结的五条原则:
- 命名不授权:线上标签只是元数据,绝不能决定本次运行拿到哪些凭证
- 所有者来自 OS 而非请求:以内核报告的启动用户 ID 为准,不信环境变量或 payload 字段
- 操作员编写运行模板:按哈希钉死可执行文件、只列凭证名不列值、设置能力上限,安全相关改动会改变模板指纹
- 每次运行用全新实例 ID:旧运行的 ID 永不复用为有效授权
- 凭证默认关闭:没有所有者批准的 profile 就不预置任何凭证
他坦承当前难点:运行时能说「是我启动的」,还不能端到端证明「启动的就是预期的那个二进制」,哈希钉死方案仍在完善中。
「编程与Agent」频道最新
- shadcn：语音转文字应用=T3 代码+一个 prompt，自带模型跑通全流程 — shadcn · 2026-10-27
- 写代码变便宜了，但被省掉的摩擦原本在做有用的认知工作 — charles_irl · 2026-10-27
- 一人+AI 挑战全套 Adobe:Rust 开源套件 Crafting Apps 浮出水面 — ankur_maker · 2026-10-27
- Anthropic 官方指南：企业 Agent 该把子代理折回主循环 — addyosmani · 2026-10-27
- Claude Code 空闲自动压缩惹恼用户，两条命令即可关闭 — JasonBotterill · 2026-10-27
- 博主用 Claude Code 自制新闻联播风片头，卡在配音环节 — xiaohu · 2026-10-27