把身分放進網路層來管 agent

概要

• 沙箱的兩個基本元件Remy 把沙箱拆成邊界與權限兩件事。沒有權限或身分，沙箱就像沒有玩具的沙坑，沒什麼好玩。
• 現有做法的問題給 agent 權限通常是 API key 或 OAuth／OIDC，兩種都是在沙箱裡進行，agent 手上就握有取得權限的東西。Remy 還說模型很會拿金鑰做不該做的事，尤其在 loop 裡跑很久的時候。
• 把 AuthN 與 AuthZ 放到網路層Tailscale 建在 WireGuard 上，每條連線都帶著使用者、群組或標籤這類身分資訊，沒有權限的東西連話都說不上。
• Aperture 這個 AI gateway供應商的金鑰只放在 Aperture，沙箱端完全沒有金鑰；Aperture 是 tailnet 上的一個節點，看得到每個連進來的身分。
• 在 LLM 層看得到每個 tool callRemy 說所有請求都得經過 Aperture，所以每個 tool call 都看得到，要停掉也是在網路層直接切斷。
• 可以自己用 tsnet 做一套身分的基礎元件放在開源函式庫 tsnet，Remy 說理論上你自己也能蓋出 Aperture；Q&A 另外談了權限設定、base URL 與不走 tool call 時的情形。

原話

• “it's a sandbox without any toys”

  沒有權限就是沒有玩具的沙坑

  ▶ 01:35

• “it's just no key whatsoever in in that sandbox”

  那個沙箱裡完全沒有金鑰

  ▶ 07:09

• “I have sort of a guarantee that I've seen every tool call that this thing has ever, like this thing has ever made through the instance.”

  我算是有保證，這東西透過這個實例發出的每個 tool call 我都看過

  ▶ 10:35

• “if you can't see everything, then how valuable is it, right”

  如果看不到全部，那還有多少價值

  ▶ 23:43

延伸

• Remy 現場示範時說，在 Claude Code 裡就算只打一句 hello，第一次請求帶著整包 context 就花了 20 美分。
• Remy 說，談過的不少企業連員工在用哪些工具都不知道，想先看見，再談封鎖；之後也會加更多 guardrail，例如擋下 rm -rf / 這類 bash 指令。
• 團隊原本想在 MCP 層做，後來認為 LLM 層更有價值；Remy 也承認，把程式碼混淆後一步一步執行的做法還是繞得過去。