unshare -n 之后还剩下什么：给 AI 侦察智能体补上真边界
来源：dev.to — 2026-11-09
📋 概述
作者的 AI 漏洞赏金流水线把侦察智能体关进沙箱：降到 uid 65534、no-new-privs、独立网络命名空间、capabilities 归零，18/18 授权检查、13/13 隔离检查全过，19/19 直连探测全部 ENETUNREACH。可它仍然能通过一个 Unix socket 跟狱外的未授权程序通信——测试只验证了「直连失败」，没验证「只能走代理」。文章记录了发现这条路径、封堵它、再重测替代方案的完整过程。
🔑 核心要点
- 边界要验的是「只有代理这一条路」，而不是「直连不通」；13 项全绿仍漏了这一条。
- 边界必须在智能体主动尝试越狱时仍成立，否则整个安全故事不成立。
- 一条来自目标页面上的植入指令就可能让它打越界系统，代价是猎人被封号。
💡 金句
“So the boundary has to hold when the agent is actively trying to escape, not just when it behaves.”
译：所以边界必须在智能体主动试图逃脱时依然成立，而不只是它守规矩的时候。
👍 0
👎 0
← 返回 dev.to 首页