AI 產生的程式碼要先關進沙箱

概要

• LLM 產生的程式碼是黑箱Harshil 說，把 LLM 產生的程式碼拿來執行，跟執行網路上隨便找來的程式碼片段沒有本質差別，只是包裝得比較好看。風險有三種：幻覺、過度熱心的 LLM、被汙染的 prompt。
• 程式碼繼承了應用程式的權限AI 產生的程式碼跑在你的 application 裡，檔案系統、環境變數、網路、資料庫、API key 都碰得到。Harshil 的結論是這等於把鑰匙全交出去。
• 用 capability 取代黑名單Harshil 主張只授權程式碼真正需要的能力，沒授權的東西對它來說就不存在，不必去列舉所有要擋的危險操作。
• 兩種沙箱各有適用場景isolate 快、輕、限制多，適合 tool calling 與小函式；需要檔案系統、行程或安裝套件時，就得用 container。Harshil 也說實務上兩種常會搭配用。
• 八條通用清單預設禁止網路、明確授權、一人一個沙箱、設資源上限、secret 留在沙箱外、用完銷毀、全部記錄、先驗證輸入。

原話

• “Your AI agent's code runs with your privileges.”

  AI agent 的程式碼用的是你的權限

  ▶ 06:11

• “Global outbound null. This single line blocks all outbound network requests.”

  outbound 設成 null，這一行就擋掉所有對外請求

  ▶ 16:47

• “The dangerous operations were never available.”

  危險的操作從來就沒有被提供

  ▶ 18:43

• “The cost of an extra sandbox is always less than the cost of a data leak.”

  多開一個沙箱的成本，永遠比資料外洩低

  ▶ 34:05

• “Keep the secrets outside of the sandbox.”

  secret 留在沙箱外

  ▶ 34:25

延伸

• Harshil 最後給了 Dynamic Workers 文件、Sandbox SDK 文件與 Code Mode 的連結，這場沒有再展開 Code Mode 的細節。
• Cloudflare containers 預設逾時是 10 分鐘，Harshil 說可依使用情境調整。