AI 代理读过敏感文件后还能继续联网吗从 ContractWarden 看运行时信息流约束一、研究事实与时间边界论文摘要和正文均标明2026-09-29的 v1属于预印本。其核心是人确认 allow、deny、no_egress 三类资产决策在任务执行前绑定策略由 eBPF LSM 执行并沿支持的进程、文件与 IPC 路径传播出站限制。作者报告 19 类安全测试共 570 次运行满足预设标准这不是“所有攻击都能防住”的证明。论文明确限制在声明资产、已实现内核路径及受控对象生命周期内不覆盖任意设备、隐式流或被攻陷的内核。本文将其作为近期研究补充而非十月新事件。它不是某个已发布产品的 CVE 公告因此不存在需要填写的漏洞编号、受影响产品版本或最低修复版本。二、背景权限会随处理过程改变设想代理先建立一个合法连接再读取本地敏感报表。如果只检查“能否建立连接”后面的发送动作可能没有重新决策。另一个进程即使没有直接读过报表也可能通过临时文件接收到其内容。这些是通用工程场景不代表论文已覆盖所有实现。它们说明访问控制回答“此刻能否做这个动作”信息流控制还要回答“这个动作携带了什么来源的约束”。限制必须与数据传播一起延续不能仅附着于最初的工具调用。对于编程代理任务身份同样重要。新建子进程不应获得比父任务更宽的权限主任务结束后后台进程和持久化文件也不一定立即消失。清理逻辑若只盯父进程退出码就可能早于实际资源生命周期结束。三、三个设计决策1. 先安装策略再放行执行“进程启动后再登记”存在一个时间窗口。工程上应将准备态和执行态分开任务在准备态只能等待策略、身份和审计上下文完整后才进入执行态。失败时保持阻断而不是为了成功启动而取消约束。2. 限制传播应避免隐式降级如果一个对象同时接收公开数据与受限数据合并后的限制至少保留受限一侧。业务确需对外发送时应设计独立的审核或脱敏出口而不是让代理通过改名、复制或重新启动自行解除限制。3. 策略对象比路径字符串更复杂重命名、硬链接、文件替换和标识复用都会影响追踪。路径可以帮助人理解对象却不必然是稳定身份。本文不把任何一种字符串规则当作完整内核隔离实现。Linux BPF LSM 文档说明了在安全钩子执行 BPF 程序的机制但该机制本身并不自动提供正确的业务策略。四、无害模型限制沿数据关系传播下面的模型没有系统调用拦截只用布尔状态演示单调传播。它不能用作真实沙箱。fromdataclassesimportdataclassdataclassclassCarrier:no_egress:boolFalsedeftransfer(source,target):target.no_egresstarget.no_egressorsource.no_egressdefmay_send(process):returnnotprocess.no_egress agentCarrier()secretCarrier(True)temporaryCarrier()helperCarrier()assertmay_send(agent)transfer(secret,agent)assertnotmay_send(agent)transfer(agent,temporary)transfer(temporary,helper)assertnotmay_send(helper)transfer(Carrier(False),helper)assertnotmay_send(helper)print(4 checks passed)第四个检查很关键后来接收公开数据不能洗掉已有约束。真实系统还必须处理并发、对象销毁、跨任务共享和无法观测的传播路径不能把这个模型的成功当作原型验证。五、影响范围和部署前验收本主题适用于允许代理访问本地资料、执行代码或调用外网的工具平台只生成文本、没有这些权限的应用不需要照搬内核方案。采用更强执行层也会增加兼容性和运维成本。测试场景应观察的证据常见误判策略安装失败工作负载尚未开始进程退出即代表无副作用先连接后读取后续发送仍被检查建连成功即永久授权文件与 IPC 中转约束持续传播换进程即获得新身份任务结束后代与残留对象被处理父进程结束即全清理正常任务业务效果与性能均可接受安全拒绝越多越好工程评估应同时记录误阻断。粗粒度标记可能把未含敏感内容的对象也限制住影响正常流程。不能简单通过允许代理自行清除标记解决应考虑隔离处理阶段和显式审批出口。六、研发与安全团队行动清单P0画出能力范围。列出代理可读资产、可写位置、外联目标和后代进程。先收紧不需要的权限不必等待研究原型产品化。P1引入执行门禁。将授权内容绑定到任务及资产清单测试安装失败和任务取消。为未支持路径设置明确拒绝或隔离策略避免静默放行。P2评估信息流追踪。在专用环境比较允许率、误阻断率、延迟与对象生命周期行为。使用合成数据不把真实凭据投入试验。对内核版本、挂钩覆盖和特权控制面单独开展审查。总结AI 代理的安全边界需要落实到实际副作用而不止模型承诺。可迁移的原则是授权先于执行、约束随传播延续、解除约束需要独立决策并清楚承认实现没有覆盖的路径。