دسترسی ریشه برای یک عامل هوش مصنوعی معمولاً یک کابوس امنیتی است. این ریسک غالب در دنیای توسعه بود تا زمانی که Krova Cloud راهی را نشان داد که می‌توان این سطح از کنترل را بدون به خطر انداختن سیستم میزبان فراهم کرد. یک پیاده‌سازی عملی که در ۲۵ اوت ۲۰۲۶ رونمایی شد، نشان داد که کلید حل این معما در کنار گذاشتن کانتینرهای با هسته مشترک و جایگزینی آن‌ها با میکرو-ماشین‌های مجازی یک‌بارمصرف است.
اکثر توسعه‌دهندگان در حال حاضر برای ایجاد محیط ایزوله یا سندباکس (Sandbox) — شبیه به یک اتاق بازی امن که کودک هر چه بخواهد در آن بشکند اما به خانه آسیبی نرسد — از کانتینرهای داکر استفاده می‌کنند و از توصیه استاندارد «عامل را در یک کانتینر داکر اجرا کن و امتیازات آن را کاهش بده» پیروی می‌کنند. این رویکرد در حالی است که برخی تیم‌ها برای مدیریت تداخلات در محیط‌های چندکاربره، از ترکیب داکر و Traefik استفاده می‌کنند تا نظم بیشتری به استقرار عامل‌ها ببخشند. اما چون کانتینرها از یک هسته (Kernel) مشترک استفاده می‌کنند، یک باگ کوچک می‌تواند به عامل اجازه دهد از محیط خود خارج شده و به سایر بخش‌های سیستم یا بارهای کاری همسایه حمله کند. این موضوع یک مرز شکننده ایجاد می‌کند که واقعاً شعاع تخریب (Blast Radius) عامل را ایزوله نمی‌کند.
چرا کانتینرها شکست می‌خورند؟
فضاهای نام (Namespaces) هرگز یک مرز واقعی برای کدهای پرریسک نبودند. در واقع هر کانتینر روی یک میزبان، تنها یک باگ هسته با همسایگانش فاصله دارد. به همین دلیل است که AWS تکنولوژی Firecracker را ساخت؛ آن‌ها نیاز داشتند کدهای نامعتبر را در مقیاس وسیع اجرا کنند بدون اینکه زیرساخت اصلی به خطر بیفتد.
برای حل این مشکل، این معماری از میکرو-ماشین‌های مجازی Firecracker استفاده می‌کند. برخلاف کانتینرها، هر Cube (نام تجاری Krova برای این میکرو-ماشین‌ها) هسته، سیستم فایل ریشه (rootfs) و منابع کاملاً مستقل خود را دارد. این یعنی حتی اگر یک عامل (Agent) محیط خود را کاملاً تخریب کند، هیچ راهی برای دسترسی به میزبان یا سایر کاربران ندارد.
نقشه فنی پیاده‌سازی
بر اساس مستندات فنی، این استقرار از یک چرخه حیات «یک‌بارمصرف» پیروی می‌کند تا از باقی ماندن اعتبارنامه‌های قدیمی یا پردازش‌های زائد جلوگیری شود. ایجاد این محیط با یک دستور ساده انجام می‌شود:krova cubes create agent-1 --cpu 2 --ram 4 --disk 40 --image ubuntu-24.04
جزئیات فنی این پیاده‌سازی به شرح زیر است:
- راه‌اندازی (Provisioning): کیوب‌ها در کمتر از ۰.۹ ثانیه بوت می‌شوند. یک پیکربندی استاندارد شامل ۲ پردازنده مجازی (vCPU)، ۴ گیگابایت رم و ۴۰ گیگابایت دیسک با سیستم‌عامل اوبونتو ۲۴.۰۴ است.
- ایزولاسیون شبکه: کیوب‌ها در یک شبکه خصوصی NAT قرار دارند و هیچ IP عمومی ندارند. هیچ پورت ۲۲ (SSH) به اینترنت باز نیست و هیچ سطح ورودی برای اسکن وجود ندارد. در داخل کیوب، دستور
ip -brief addrتنها یک آدرس خصوصی در محدوده10.0.x.x/24را نشان می‌دهد. این سخت‌گیری در شبکه برای جلوگیری از نفوذ است، هرچند که رفع مسدودسازی عامل‌ها در شبکه‌های شرکتی معمولاً نیازمند تنظیمات پیچیده‌تری در فایروال‌هاست. - چرخه حیات (Lifecycle): هر جلسه کاربر یک کیوب تازه دریافت می‌کند و در پایان جلسه، کیوب حذف می‌شود. این کار مانع از اجرای کارهای زمان‌بندی شده (cron jobs) مخفی یا باقی ماندن اعتبارنامه‌های منقضی شده در محیط‌های طولانی‌مدت می‌شود.
- اتوماسیون: برای خط لوله‌های CI/CD از API نسخه ۱ استفاده می‌شود. این API شامل یک کلید Idempotency (از طریق
uuidgen) است تا در صورت تکرار درخواست‌ها، از ایجاد دوگانه محیط‌ها جلوگیری شود. این اتوماسیون در راستای جریانی است که در آن مدیریت عامل‌ها از کنسول‌های ابری به فایل‌های Git منتقل می‌شود تا قابلیت بازگشت و نسخه‌بندی فراهم شود.
هزینه و مقیاس‌پذیری
از نظر هزینه، چون صورت‌حساب بر اساس دقیقه است، مبلغ پرداختی ناچیز است. یک جلسه ۲۰ دقیقه‌ای روی یک کیوب با ۲ پردازنده و ۴ گیگابایت رم تنها چند سنت هزینه دارد که حتی از قیمت یک فنجان قهوه در زمان اجرای آن کمتر است.
محدودیت‌های ایزولاسیون
بسیار حیاتی است که درک کنید ایزولاسیون به معنای ایمنی مطلق نیست. یک میکرو-ماشین مجازی مانع خروج عامل از محیطش به سایر بارهای کاری می‌شود، اما مانع از این نمی‌شود که عامل داخل محیط خودش را نابود کند یا از اعتبارنامه‌هایی که به او داده شده سوءاستفاده کند. همان‌طور که منبع خبر هشدار می‌دهد: «کلیدهای دسترسی کامل AWS به‌علاوه یک سندباکس ضدگلوله، یعنی یک ماشین بسیار امن که دارد اشتباهی بسیار گران‌قیمت مرتکب می‌شود».
برای حفظ کنترل واقعی، باید این تدابیر «خسته‌کننده اما ضروری» را روی ماشین مجازی اعمال کنید:
- توکن‌های محدود (Scoped Tokens): استفاده از توکن‌های کوتاه‌مدت که در زمان اجرا به عنوان متغیرهای محیطی (Environment Variables) تزریق می‌شوند؛ هرگز آن‌ها را در تصویر سیستم (Image) جاسازی نکنید.
- امنیت حجم‌ها (Volume Security): اطمینان حاصل کنید که هیچ حجم مشترکی (Shared Volume) حاوی داده‌های حساس وجود ندارد.
- فیلترینگ خروجی (Egress Filtering): ترافیک خروجی را محدود کنید تا عامل نتواند به کل شبکه داخلی شما دسترسی پیدا کند.
برای خواننده، این به این معناست که دیگر نباید با محیط‌های عامل‌ها مثل «حیوان خانگی» (Pets) رفتار کنید که نیاز به مراقبت و نگهداری دائمی دارند؛ بلکه باید با آن‌ها مثل «گله گاو» (Cattle) برخورد کنید: جعبه‌هایی ارزان، یک‌بارمصرف و قابل جایگزینی.
این تغییر رویکرد ثابت می‌کند که ایمنی عامل‌ها به همان اندازه که یک مسئله همراستاسازی مدل (Model Alignment) است، یک مسئله زیرساختی است. با ترکیب مجازی‌سازی سال ۲۰۱۸ و مدل‌های زبانی بزرگ (LLM) مدرن، توسعه‌دهندگان می‌توانند استراتژی «امید و حس خوب» را کنار گذاشته و به سراغ امنیت واقعی بروند.
گام بعدی شما
- اگر عامل‌های خود را در کانتینرهای طولانی‌مدت اجرا می‌کنید، ریسک خروج از هسته (Kernel Escape) را بررسی کنید.
- به جای قرار دادن کلیدهای API در تصاویر داکر، سیستم تزریق توکن‌های کوتاه‌مدت و محدود در زمان اجرا را پیاده کنید.
- برای محیط‌های تست، از راهکارهای میکرو-ماشین مجازی برای جداسازی کامل دسترسی ریشه استفاده کنید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره تراشه‌های Blackwell مراجعه کنید.
گفتگو