Изоляция AI-агентов с помощью WebAssembly: нулевое доверие по умолчанию

Статья Cosmonic, набирающая популярность на HN, убедительно доказывает, что обычные механизмы изоляции Linux — seccomp, seatbelt, bubblewrap — принципиально непригодны для рабочих нагрузок агентного ИИ. Основная проблема: фоновые полномочия.
Проблема фоновых полномочий
Каждая современная среда выполнения дает процессу все разрешения, которые предоставляет его окружение: файловую систему, сеть, git-учетные данные пользователя, AWS API-ключ в ENV. Процесс не запрашивал их. Для детерминированных написанных человеком бинарников этот риск, возможно, можно контролировать с помощью аудита. Но LLM-агенты и недетерминированные рабочие процессы наследуют всю личность и возможности разработчика, создавая «нетерпимую поверхность атаки».
Автор называет это дилеммой картографа: вы пытаетесь нанести на карту постоянно меняющуюся береговую линию путей утечки, а LLM найдет каждую немаркированную бухту.
Модель возможностей WebAssembly
Cosmonic предлагает WebAssembly и WASI в качестве альтернативы. Компонент Wasm начинает с нулевыми полномочиями: без файловой системы, сети, системных вызовов и переменных окружения. Любая возможность должна быть типизированным импортом в интерфейсе компонента. Это объектно-возможностная модель Марка Миллера как среда выполнения: ссылка является разрешением.
Ключевые последствия:
- Виртуализированные разрешения: возможность файловой системы не передает
/etc. Она предоставляет интерфейс, поддерживаемый любым хранилищем (tmpfs, по сессионный blob, база данных). Компонент не может выйти за пределы абстракции. - Компонуемые возможности: вместо импорта «сети» компонент импортирует
wasi:httpс разрешенными типами трафика илиwasi:keyvalueс определенным бакетом. Каждая возможность именована, ограничена и проверяема.
Это меняет модель безопасности с «разрешить по умолчанию, ограничить по исключению» на «запретить по умолчанию, предоставлять явно». Автор утверждает, что это единственная надежная основа для безопасности ИИ-агентов.
📖 Read the full source: HN AI Agents
👀 Смотрите также

Google сообщает, что киберпреступники использовали ИИ для поиска уязвимости нулевого дня
Google раскрыл, что злоумышленники использовали ИИ-агента для обнаружения и эксплуатации ранее неизвестной уязвимости в программном обеспечении, что стало первым подтвержденным случаем обнаружения zero-day с помощью ИИ в реальных условиях.

Уязвимость удаленного выполнения кода в ядре FreeBSD через переполнение буфера стека в kgssapi.ko (CVE-2026-4747)
Переполнение буфера стека в модуле kgssapi.ko FreeBSD позволяет удалённое выполнение кода в ядре с получением root-доступа через NFS-сервер. Уязвимость затрагивает версии FreeBSD 13.5, 14.3, 14.4 и 15.0 до установки определённых патчей.

Пользователь OpenClaw делится стратегией балансировки автономии агентов и веб-безопасности.
Пользователь OpenClaw описывает свою текущую задачу: балансирование автономности агентов с безопасностью, особенно в отношении доступа в интернет и рисков инъекции промптов. Они предлагают решение с использованием сегментов агентов с 'низким доверием' и 'высоким доверием' с этапом одобрения человеком.

大规模NPM和PyPI供应链攻击影响TanStack、Mistral AI及170多个软件包
Скоординированная атака скомпрометировала более 170 npm-пакетов и 2 PyPI-пакета, затронув TanStack (42 пакета), SDK Mistral AI, UiPath, OpenSearch и Guardrails AI. Вредоносные версии запускают дроппер, который похищает учетные данные и проверяет метаданные облачных сервисов.