Edera在虚拟机监控器层限制AI智能体权限

11月14日，Edera推出对象能力受限权限模型，旨在保护自主AI智能体工作负载，使自主AI工作负载和模型上下文协议（MCP）服务器与敏感凭证隔离。该技术由Edera联合创始人、杰出工程师Ariadne Conill牵头，她因对底层开源安全技术的贡献而知名。方案直接在虚拟机监控器层实施细粒度对象能力控制，在不向AI智能体提供常规访问凭证的前提下严格限制其活动范围。

随着越来越多组织将自主编码智能体和外部工具集成部署到生产环境，敏感的API令牌、云密钥和管理员访问凭证常被直接暴露给执行环境，而这些环境仍可能受到提示注入和供应链操纵的影响。受限权限架构的核心，是将完成任务所需的操作权限与执行任务所依赖的底层凭证分离。传统容器安全依赖边界隔离和注入环境变量或配置文件的静态密钥，一旦LLM驱动的智能体遭入侵，攻击者通常可提取令牌并在内部系统间横向移动。

Edera通过虚拟机监控器强制执行对象能力控制，将智能体限制在明确界定的操作范围内，同时不把密钥放进工作负载本身。例如，AI编码助手可在不持有个人访问令牌的情况下获得修改单个GitHub仓库的权限，使遭入侵后的影响严格局限于该范围。其Agent Runtime框架集成多个运行时组件：capcurl负责无凭证API访问，将获准请求经隔离代理转发而不暴露认证材料；capsudo管理限定作用域的命令执行，使工作负载无需长期管理员或root权限即可运行特定特权命令；集成SPIFFE和SPIRE后，工作负载身份可获密码学验证，并在不依赖长期静态密钥的情况下建立双向TLS连接和服务身份。

这些机制也延伸到MCP服务器。MCP服务器连接大语言模型与企业工具和数据库，常成为高价值攻击目标。通过在基础设施层定义明确的对象能力，安全团队可将MCP服务器限制在特定外部资源和命令范围内，即使宿主模型行为异常或遭遇提示注入，也能防止其不受控访问资源，从而将潜在入侵影响从整个环境缩小到离散的特定任务操作。目前，聚焦限定作用域命令执行和工作负载身份的初步功能已发布；基于凭证代理的API访问及与编排器的深度集成，将作为Project Lunchbox计划的一部分在后续推出。