自主编码智能体正在大批进入生产环境，但一个尴尬的现实是：它们往往直接拿到敏感的 API 令牌、云密钥和管理员访问凭证。Edera 给出的解法不是继续加固容器边界，而是把细粒度的对象能力控制直接下沉到虚拟机监控器层。

打开网易新闻 查看精彩图片

这项技术由 Edera 联合创始人、杰出工程师 Ariadne Conill 牵头。她因对底层开源安全技术的贡献而知名。Edera 推出的对象能力受限权限模型，目标是让自主 AI 工作负载和模型上下文协议（MCP）服务器与敏感凭证隔离开来。

问题出在凭证和执行环境绑在一起

随着越来越多组织把自主编码智能体和外部工具集成部署到生产环境，敏感的 API 令牌、云密钥和管理员访问凭证经常被直接暴露给执行环境。而这些环境仍可能受到提示注入和供应链操纵的影响。

传统容器安全很大程度上依赖边界隔离，以及注入环境变量或配置文件的静态密钥。如果由大语言模型驱动的智能体遭到入侵，攻击者通常可以提取这些令牌，并在内部系统间横向移动。

受限权限架构的核心，是把完成任务所需的操作权限，与执行任务所依赖的底层凭证分开。Edera 提议通过虚拟机监控器强制执行对象能力控制，将智能体限制在明确界定的操作范围内，同时不把密钥放进工作负载本身。

一个具体的例子是：AI 编码助手可以在不持有个人访问令牌的情况下，获得修改单个 GitHub 仓库的权限。这样即使被入侵，影响也被严格局限在这一范围内。

运行时组件各管一段

为实现这种细粒度隔离，其 Agent Runtime 框架集成了多个运行时组件：

  • capcurl 负责无凭证 API 访问，把获准的请求经由隔离的代理转发，同时不向智能体暴露底层认证材料。
  • capsudo 管理限定作用域的命令执行，让工作负载无需长期有效的管理员权限或 root 权限，就能运行特定的特权命令。
  • 通过集成 SPIFFE 和 SPIRE，工作负载身份可得到密码学验证，并在不依赖长期有效的静态密钥的情况下建立双向 TLS 连接和服务身份。

这些机制也直接延伸到 MCP 服务器。MCP 服务器连接大语言模型与企业工具和数据库，经常成为高价值攻击目标。通过在基础设施层定义明确的对象能力，安全团队可以把 MCP 服务器限制在特定的外部资源和命令范围内。即使宿主模型行为异常或遭遇提示注入漏洞，也能防止其不受控制地访问资源。

这种方法把潜在入侵的影响范围，从整个环境缩小到离散的、针对特定任务的操作，补充了由硬件强制执行的运行时隔离。

对评估自主智能体的工程团队来说，过去通常要投入大量开发工作，构建自定义的凭证处理中间件和临时拼凑的权限代理。受限权限模型承诺把这种控制机制下沉到虚拟机监控器和运行时层，统一企业系统向行为不确定的软件授予权限的方式。

目前，聚焦于限定作用域的命令执行和工作负载身份的初步功能已经发布。基于凭证代理的 API 访问和与编排器的深度集成，将作为更广泛的 Project Lunchbox 计划的一部分在后续推出。