構建安全且可擴展的 AI Agent 沙盒基礎設施

背景

Browser Use 團隊分享了他們為數百萬個網頁代理（Web Agents）建構安全且具擴展性的沙盒基礎設施經驗。他們將架構從單純隔離工具轉向隔離整個代理程序，並採用 Unikraft 微虛擬機（micro-VM）技術，配合無狀態的控制平面來管理憑證與 LLM 調用，以確保代理在執行任意代碼時不會洩漏敏感資訊。

社群觀點

針對 Browser Use 採用的 Unikraft 技術，社群展開了技術細節與實用性的討論。部分開發者認為 Unikraft 這類獨核作業系統（Unikernels）可能是讓該技術走向主流的關鍵應用場景，其快速啟動與資源隔離的特性非常適合代理工作負載。然而，也有評論指出 Unikraft 的開發者體驗（DX）過去仍有待完善，雖然官方團隊已在留言中回應正透過新版 CLI 進行改進，但目前在生產環境中的磨合成本依然是開發者觀望的主因。

關於安全性設計，社群出現了較為兩極的評價。有觀點直言文中提到的「強化措施」，例如刪除 Python 源碼僅保留字節碼，或是從環境變數中刪除敏感標記，本質上只是「隱晦式安全」（Security through obscurity），對於有經驗的攻擊者來說並不難繞過。這類評論認為，真正的安全應該建立在更底層的隔離機制，而非僅僅是清理執行環境的表面痕跡。

更深層的爭論則聚焦於沙盒是否真的能解決 AI 代理的安全核心問題。多位評論者指出，當前的工程師過度關注沙盒工具的建構，卻忽略了 LLM 本身極易受到提示注入（Prompt Injection）攻擊的本質。即便沙盒能防止代理直接入侵基礎設施，但只要代理具備讀取網頁或文件的權限，攻擊者就能透過惡意內容操控代理的行為。這種觀點認為，在 LLM 能夠區分「指令」與「數據」，或具備預測自身行為後果的能力之前，單純的沙盒隔離並無法解決代理在獲得授權後可能產生的破壞性行為。這種「監督疲勞」導致的人為審核失效，才是代理安全領域中最難攻克的挑戰。

延伸閱讀

• Unikraft CLI：針對 Unikraft 微虛擬機開發的開源命令行工具，旨在改善開發者體驗。
• Sandboxes Won't Save You：由社群成員撰寫的文章，深入探討為何沙盒機制無法完全解決 AI 代理面臨的安全威脅。