本文整理自 AICon 上海分享「AI Agent 沙箱的网络安全：从流量隔离到智能治理」（演讲者：王炳燊、李博康），通过AI音视频总结工具 Ai好记 转录整理，以下为视频转文字后精炼整理的内容。

---

Agent场景下的威胁模型变了

在云上托管AI Agent，安全威胁和传统场景完全不同。

传统微服务中，代码、依赖、访问关系都是静态和确定的——你知道服务A调服务B的哪个API、预期返回什么。但AI Agent完全不同：

• 代码由LLM动态生成：运行的是不可信代码，你无法提前知道它要调什么
• 访问目标不确定：Agent根据任务自主决定调哪个外部API或内网服务
• 生命周期极短：每个沙箱可能只存活几秒到几分钟

简单说，传统安全的假设是「运行我部署的代码」，而AI Agent安全是「运行我也不知道会调什么的代码」。

安全问题的严重性

一个典型案例：Agent在某个任务中被提示词注入，自主调用了一个未授权的云平台API，窃取了云平台的凭证，然后通过凭证接管了整个云环境。

传统软件中的一个小问题（比如一个未鉴权的API），在Agent场景下会因为Agent的自主执行能力被放大为「接管整个系统」的风险。

传统方案为什么失效

最常见的做法是用Kubernetes的NetworkPolicy来做网络隔离。但这在AI Agent场景下完全不够：

维度	NetworkPolicy（L3/L4）	Agent沙箱需求
策略粒度	IP/CIDR/端口	需要域名、HTTP路径/方法
策略类型	静态白名单	需要动态、短生命周期控制
语义理解	不理解应用层协议	需要理解HTTP语义
默认动作	需要用户配置	需要默认全部拦截

Agent要访问某个外部API时，你不能提前知道它的域名、路径、方法。静态白名单这种「列清单再放行」的模式根本跟不上Agent的动态行为。

安全边界的四要素

理想AI沙箱的网络安全边界应该满足四个条件：

要素	含义	为什么重要
非协作式	不依赖沙箱内代码主动配合	不可信代码可能故意绕过
透明拦截	所有流量默认拦截，无路可逃	消除逃逸路径
首包前生效	策略在业务启动瞬间就位	不给攻击窗口期
默认受控	存在不可覆盖的平台安全基线	防止被意外覆盖

分层策略设计

基于以上分析，阿里云设计了一套分层网络策略：

L4平台基线（最高优先级）

这是底层安全基线，不可被任何用户覆盖。主要封禁：

• 云元数据服务地址（如169.254.169.254）
• 内部DNS服务器
• 其他云基础设施的关键地址

租户策略（在基线上叠加）

租户可以在平台基线上叠加自己的白名单策略，允许Agent访问特定的外部服务。

集群级安全受控（L7层）

在L4放行的基础上，进行更细粒度的L7层控制：

能力	说明
HTTP ACL	基于路径/方法的访问控制
身份注入	在请求中注入认证信息
动态Token替换	用真实Token替换占位符
内容审计	审计请求内容是否合规

双CRD实现

方案通过两个Kubernetes CRD落地：

TrafficPolicy

命名空间级别，负责L4流量管控。可以配置：

• 允许/拒绝的IP范围
• 端口白名单
• FQDN（完全限定域名）白名单

SecurityProfile

工作负载级别，负责L7高级功能：

• mTLS双向认证
• HTTP路径/方法级的访问控制
• 凭据替换规则
• 内容审计配置

中心化网关架构

为了同时满足性能、安全和可运维性，方案采用了混合架构：

组件	部署方式	职责
Sidecar	与Agent容器同Pod	L4拦截+流量引导
中心化Envoy网关	独立部署	L7细粒度处理

Sidecar负责在L4层做第一道拦截，把所有出站流量引导到中心化网关。中心化网关集中处理L7层的策略匹配、凭据替换、内容审计。

凭据替换的设计

这是一个很关键的安全设计。Agent代码中只使用占位符（如 ${API_KEY}），不持有任何真实的敏感凭证。

当Agent的请求经过中心化网关时，网关根据规则动态地从安全的凭据管理服务中获取真实Token，替换请求中的占位符。

好处很明显：真实的敏感信息从未进入不可信的沙箱环境。即使沙箱被攻破，攻击者也拿不到任何云凭证。

生产级性能

这套方案已经在大规模生产环境中验证：

指标	数据
最大沙箱数	10万+
规则数	50万+
网关P99延迟	<5ms
开源状态	已开源（open-cruise-agent）

对企业的建议

对于正在部署AI Agent的企业，有几个安全底线：

1. 默认拒绝所有出站流量，只放行明确需要的服务
2. 永远不要在沙箱内放置真实凭证，用占位符+网关替换的模式
3. 流量审计必须开启，否则出了问题连排查的依据都没有
4. 关注供应链安全，Agent依赖的第三方组件需要经过安全检查

---

FAQ

Q：这套方案和传统的WAF有什么区别？
A：WAF是入口防护，防护的是外部到服务的流量。这套方案是出口防护，防护的是Agent沙箱到外部的流量。两者互补。

Q：Sidecar会增加多少资源开销？
A：L4拦截的Sidecar资源消耗非常小。L7处理的中心化网关是独立部署的，不会占用Agent沙箱的资源。

Q：凭据替换会影响延迟吗？
A：会引入网关一跳的延迟，但实测P99<5ms，对大多数Agent任务来说可忽略。

---

以上内容由 Ai好记 转录整理。
Ai好记 是一款音视频转图文笔记的 AI 学习助手，支持解析B站、抖音、小红书、小宇宙等平台链接及本地/网盘的音视频文件，转录后自动生成精华速览、思维导图和结构化笔记，帮助你把几小时的视频内容变成可搜索、可复习的图文笔记。