Endo Familiar: Sandbox de Capacidade de Objetos para Agentes de IA

O demo Endo Familiar, construído sobre HardenedJS e o modelo de segurança object-capability (ocap), aborda a falha fundamental de segurança nas estruturas atuais de agentes de IA: o "problema do saco de credenciais". A maioria dos agentes hoje recebe acesso total a sistemas de arquivos, chaves de API e credenciais, criando um ponto único de falha onde injeção de prompt ou desalinhamento pode causar danos catastróficos.

Como funciona

No demo, o engenheiro Kris Kowal cria um agente chamado lal com uma única capacidade: ler um manual de instruções. Sem acesso ao sistema de arquivos, sem rede, sem credenciais. O agente só pode agir sobre o que possui explicitamente uma referência. Quando operações de arquivo são necessárias, é criada uma montagem de um diretório específico — não uma porta de entrada geral para o sistema de arquivos. A montagem não pode navegar acima de sua raiz, não pode seguir links simbólicos para fora da árvore e não pode escapar de seus limites por construção. Essa montagem é passada ao agente como uma referência.

O agente então escreve um programa que produz uma visualização somente leitura de um diretório. O código gerado é executado em uma sandbox sem capacidades ambiente. A saída é uma capacidade mais restrita derivada da original, e essa capacidade reduzida é passada de volta ao agente. A cada passo, o escopo da autoridade diminui para exatamente o que é necessário.

Detalhes técnicos importantes

• Modelo object-capability: Uma referência é autoridade. Não existe um pool de permissões ambiente. Se o código não possui uma referência, ele não pode forjá-la.
• Sem escape de navegação: Montagens do sistema de arquivos não podem seguir links simbólicos ou escapar de seu diretório raiz.
• Geração de código em sandbox: O agente escreve programas em uma sandbox que não possui capacidades integradas; todas as entradas são referências explícitas.
• Retransmissão WebSocket: Um colega se conecta via retransmissão WebSocket para compartilhar um diretório remoto. O agente resume os arquivos remotos sem nunca saber que são remotos — ele apenas possui uma referência a uma visualização somente leitura.

Por que isso é importante agora

O artigo argumenta que a implantação de agentes de IA está acelerando perigosamente sem uma base de segurança adequada. O mesmo erro cometido por aplicativos de redes sociais há uma década — conceder privilégios totais de usuário a código de terceiros — está sendo repetido com agentes de IA. A abordagem Endo garante que, mesmo que um agente seja sequestrado via injeção de prompt, o dano é limitado às capacidades específicas que foram concedidas a ele.