Hacker News
We share our transition from isolating individual tools to isolating the entire agent loop using a control plane architecture and Unikraft micro-VMs to ensure security and scalability. This approach ensures agents have no secrets to leak and can be managed as stateless, disposable units across production and development environments.
AI 生成摘要
我們分享了從隔離單一工具轉向利用控制平面架構與 Unikraft 微虛擬機來隔離整個 Agent 迴圈的過程，以確保安全性和可擴展性。這種方法確保了 Agent 沒有可洩漏的機密資訊，並能作為無狀態、可丟棄的單元在生產與開發環境中進行管理。
Browser Use 團隊分享了他們為數百萬個網頁代理（Web Agents）建構安全且具擴展性的沙盒基礎設施經驗。他們將架構從單純隔離工具轉向隔離整個代理程序，並採用 Unikraft 微虛擬機（micro-VM）技術，配合無狀態的控制平面來管理憑證與 LLM 調用，以確保代理在執行任意代碼時不會洩漏敏感資訊。
針對 Browser Use 採用的 Unikraft 技術，社群展開了技術細節與實用性的討論。部分開發者認為 Unikraft 這類獨核作業系統（Unikernels）可能是讓該技術走向主流的關鍵應用場景，其快速啟動與資源隔離的特性非常適合代理工作負載。然而，也有評論指出 Unikraft 的開發者體驗（DX）過去仍有待完善，雖然官方團隊已在留言中回應正透過新版 CLI 進行改進，但目前在生產環境中的磨合成本依然是開發者觀望的主因。
關於安全性設計，社群出現了較為兩極的評價。有觀點直言文中提到的「強化措施」，例如刪除 Python 源碼僅保留字節碼，或是從環境變數中刪除敏感標記，本質上只是「隱晦式安全」（Security through obscurity），對於有經驗的攻擊者來說並不難繞過。這類評論認為，真正的安全應該建立在更底層的隔離機制，而非僅僅是清理執行環境的表面痕跡。
更深層的爭論則聚焦於沙盒是否真的能解決 AI 代理的安全核心問題。多位評論者指出，當前的工程師過度關注沙盒工具的建構，卻忽略了 LLM 本身極易受到提示注入（Prompt Injection）攻擊的本質。即便沙盒能防止代理直接入侵基礎設施，但只要代理具備讀取網頁或文件的權限，攻擊者就能透過惡意內容操控代理的行為。這種觀點認為，在 LLM 能夠區分「指令」與「數據」，或具備預測自身行為後果的能力之前，單純的沙盒隔離並無法解決代理在獲得授權後可能產生的破壞性行為。這種「監督疲勞」導致的人為審核失效，才是代理安全領域中最難攻克的挑戰。