Як дозволити агенту виконувати команди оболонки: пісочниця або відмова

🐚 Чому оболонка — це інше

Більшість інструментів роблять одну річ. Інструмент оболонки робить усе, що може зробити обліковий запис: читає ключі, видаляє каталог, відкриває мережеве з'єднання, запускає фоновий процес. Агент, який може виконувати команди, безпечний рівно настільки, наскільки безпечна оболонка навколо цих команд, бо його інструкції походять із тексту, який може містити текст, якому довіряти не варто.

🧱 Що робить наша пісочниця

Наш інструмент оболонки для агента ніколи не виконує команду напряму. Він загортає її в програму ізоляції: спершу bwrap, а firejail як альтернатива. З bwrap обгортка робить таке.

• Починає з порожньої кореневої файлової системи в пам'яті, потім додає лише те, що потрібно команді, змонтоване тільки для читання: системні програми та бібліотеки.
• Робить записуваними лише дозволені робочі теки й створює робочий каталог усередині них.
• Ізолює список процесів, міжпроцесну взаємодію та ім'я хоста від решти машини.
• Відрізає мережу, якщо виклик явно її не дозволяє.
• Завершується разом із батьківським процесом, тож зависла команда не переживе агента.

Перелік дозволених робочих тек налаштовується, а шлях поза ним відхиляється ще до запуску обгортки.

🚫 Головне: немає пісочниці — немає запуску

Якщо жодної програми ізоляції не встановлено, інструмент не переходить до виконання команди без захисту. Він повертає помилку з назвою no_sandbox_available і нічого не робить. Саме це рішення зафіксоване в нашій проєктній нотатці від 23 травня 2026: безпечне замовчування, яке закривається при збої.

Аварійний вихід існує, бо на ноутбуці розробника може не бути програми ізоляції: змінна середовища, яка дозволяє команди без ізоляції. Її використання друкує попередження під час кожного запуску, а кожен виклик — дозволений чи відхилений — записується в аудит із зазначенням використаного ізолятора. Тримайте цей перемикач поза визначеннями служб. Сенс у самій формі: небезпечний режим потребує навмисної, видимої дії, а безпечний — жодної.

🛠️ Практика: загорніть власний інструмент оболонки

1. Визначте, у які теки команда може писати, і запишіть їх в одному налаштуванні.
2. Встановіть програму ізоляції на кожному хості, де працюють агенти. Перевірте скриптом, який друкує знайдену програму.
3. Напишіть обгортку так, щоб список команд передавався програмі ізоляції як аргументи, а не як рядок для другої оболонки.
4. Відрізайте мережу за замовчуванням. Додайте прапорець на рівні виклику для тих небагатьох команд, яким вона потрібна, і журналюйте кожне використання.
5. Зробіть так, щоб інструмент повертав зрозумілу помилку, коли програму ізоляції не знайдено. Не додавайте тихого запасного шляху.
6. Додайте один перемикач середовища для небезпечного режиму. Хай він друкує попередження щоразу, і тримайте його поза робочими юнітами.
7. Напишіть тести: запис поза дозволеними теками зазнає невдачі, мережевий виклик зазнає невдачі, відсутня програма ізоляції дає відмову.

✅ Перевірте себе

• Виконайте команду, яка пише у вашу домашню теку. Вона зазнає невдачі.
• Виконайте команду, яка відкриває мережеве з'єднання. Вона зазнає невдачі, якщо виклик не дозволив мережу.
• Приберіть програму ізоляції на тестовому хості. Інструмент відмовляє з названою помилкою.
• Пошукайте небезпечний перемикач у своїх визначеннях служб. Його там немає.

🚧 Коли це не працює

• Втечі через дозволені теки. Усе, що ви зробили доступним для запису, агент може змінити. Не додавайте до переліку корінь репозиторію, вашу домашню теку чи теку з ключами.
• Мережа ввімкнена. Якщо команді потрібна мережа, вона може надіслати все, що здатна прочитати. Дозволяйте її лише для названих команд.
• Помилки на рівні ядра. Пісочниця зменшує ризик і не є гарантією. Тримайте хост з оновленнями й не запускайте її від найпривілейованішого облікового запису.
• Повільні команди. Ізоляція додає час на запуск. Не пропускайте її, щоб зекономити мілісекунди.
• Контейнери приховують проблему. Якщо агент уже працює в одноразовому контейнері, другий шар може додати мало. Вирішіть це явно й запишіть.

📊 Докази

3 листопада 2026, 21:53 UTC інструмент оболонки перелічував у своєму коді дві програми ізоляції. На хості, який створив цю сторінку, bwrap було встановлено, а firejail не було встановлено. Файл тестів пісочниці оболонки містив 14 тестів, а загальний файл тестів інструментів — 11.

➡️ Далі

Прочитайте, чого агент може торкатися, у Дозволи та потік даних, а також рішення в Доступ агента до оболонки: розвилки рішень.

Джерела

• Доступ агента до оболонки: розвилки рішень: варіанти доступу до оболонки.
• Дозволи та потік даних: чого агент може торкатися.
• Контрольний список безпеки сервера MCP: перевірки перед підключенням даних.
• Відновлення після невдалого, завислого чи непевного запуску: коли команда йде не так.