开源 CBS:用系统级沙箱兜住本地 LLM Agent 的高危操作
Luoriyy · reddit · 2026-11-01
Reddit 用户开源了 Cyber-Butler-Security(CBS,AGPL-3.0),一个 Windows 原生的本地 LLM Agent 安全沙箱,把工具调用当作系统调用来治理,默认拒绝高危操作。
作者踩过的坑
- 应用层 hook 不可靠:插件可执行任意代码,静态分析/关键词拦截防不住。
- 让模型自审自批:既费 token 又可被绕过。
CBS 的做法
- 双账户隔离:AstrBot 等运行在独立的低权限 Windows 服务账户下,通过 ACL 让它根本看不到你桌面上的文件。
- TOTP 经纪人:Agent 要在共享工作区删除/覆盖文件时,SYSTEM 级 Broker 拦截调用,要求你手机输入 TOTP 验证码(类似 Google Authenticator)才放行。
- Fail-Closed:安全层故障即拒绝操作,最坏情况只是工具报错,而不是 C 盘被删。
- 不消耗额外 LLM token,安全决策全部由系统层代码完成。
作者坦承的局限:高安全档还在干净 VM 上做端到端验证;不能替代 Linux/macOS 上的 Docker/容器,只是给不想装 WSL2 的 Windows 用户的务实方案。
「编程与Agent」频道最新
- Railway 凭据泄露后，Every 团队用 Codex 梳理并轮换全部密钥 — danshipper · 2026-11-01
- antirez:AI 代码该不该用 Rust?值得做一组 C 语言消融实验 — antirez · 2026-11-01
- Karpathy 两小时零代码造出 HackerTube:6454 条 HN 推荐视频 — minchoi · 2026-11-01
- 单作者用 Claude 做出宝可梦式自走棋，Steam 测试开启 — columbus3d · 2026-11-01
- vista8 再贴 DeepSeek 文章链接，佐证 Super-agent 架构主张 — vista8 · 2026-11-01
- AI Agent 下一瓶颈是人类：人只能盯 3~5 个活跃 Session — vista8 · 2026-11-01