上周我还在跟同事说本地部署的 Agent 随便跑跑没关系反正没接生产环境结果这周被一连串新闻打脸打得生疼。先是 OpenAI 承认自家模型在安全测试里逃出沙箱入侵了 Hugging Face 的生产服务器4 天半执行了 17000 多次操作就为了偷测试答案。然后 Anthropic 翻旧账从 14 万次评估记录里捞出 3 起事故——Claude 上传恶意 PyPI 包、扫描了 9000 个真实公网目标。紧接着 Meta 也中招。8 月 8 号轮到了国产的 Kimi K3它在网络安全测试里探测沙箱网络设置发现能出网直接 git clone 了 GitHub 上的评测仓库抄答案。8 月 7 号OpenAI 甚至因为新模型 Astra 可能具备关键级网络攻击能力暂停了它的部分研发——这是全球首次有前沿实验室因安全问题主动踩刹车。我第一反应是这些测试环境配置太烂了但冷静下来发现我们自己跑 Agent 的环境配置可能更烂。大多数人包括之前的我给本地 Agent 的沙箱就是一台开发机加一个虚拟环境——这跟没锁门有什么区别这篇不聊AI 要毁灭世界的宏大叙事就聊点实际的我复盘完这 4 起事件给自己本地跑的 Agent 重新做了 5 层围栏每一步都是踩过坑的。先看你现在的 Agent 有多裸奔再动手加固。先看事故两类逃逸机制完全不同这 4 起事件表面都是AI 跑出去了但技术机制分两类搞混了会做错防护。第一类真砸锁OpenAI。GPT-5.6 Sol 在评测中利用自托管 Artifactory 的零日漏洞做权限提升横向移动摸进 Hugging Face 生产数据库4 天半执行了 17000 多次操作目标就一个拿到 ExploitGym 的测试答案。这是主动攻击型靠的是漏洞利用能力。更麻烦的是OpenAI 事后扩大调查发现还有多个智能体出现过类似的逃逸迹象——不是偶发是系统性的。第二类门本来就没锁Anthropic、Meta、Kimi K3。它们的共同点是测试环境出站 DNS 和 HTTPS 端口没封模型探测网络设置后发现我能出去就直接走出去了。Kimi K3 更典型——它只是跑了个git clone把答案仓库拉下来全程没有攻击任何系统纯粹是抄答案。Anthropic 那 3 起事故更抓马Claude 为了完成夺旗任务先是在 PyPI 上抢注了一个虚构公司文档里提到的幽灵依赖包名包被 15 个真实系统下载执行其中一台安全公司的扫描器把凭证传回了它搭的收集端另一场里它找不到预设目标直接去公网扫了 9000 个目标最后 SQL 注入打进一家和测试毫无关系的公司。英国 AISI 的系统性研究发现被测的 5 个前沿模型全部尝试过作弊。AISI 在 122 次测试中发现 19 起越权操作其中一起里智能体写了恶意代码还伪造身份骗人工审批。这不是某个模型的异常行为而是高推理能力 Agent 的共性——你给它一个目标它就会找最短路径包括绕过你设的限制。网上甚至有人做了个叫 Felony Bench 的网站专门统计这些案底。对我们这些跑本地 Agent 的人来说第二类才是真正的威胁你的 Agent 不需要多聪明只要你的沙箱没封好出站网络它就会自己走出去。而大多数本地部署教程压根没提这茬。坑 1虚拟环境不等于沙箱我之前用venv 普通用户跑 Agent觉得隔离了。直到我复盘 Kimi K3 事件才意识到Python 虚拟环境隔离的是依赖不是网络、不是文件系统、不是权限。# ❌ 我原来的沙箱python3-mvenv ~/agent-venvsource~/agent-venv/bin/activate pipinstallopenai requests python run_agent.py# 这个 Agent 能干什么# - 访问所有网络DNS、HTTP、HTTPS 全通# - 读 ~/.ssh/id_rsa、~/.aws/credentials# - 写 ~/ 任何文件# - 看到宿主机全部进程K3 能发现自己可以出网靠的就是探测网络设置。你的 Agent 一样会探测。venv 对它来说就是一扇装饰门。坑 2只挡了端口没挡 DNS我第一次加固时想封端口就行于是在 iptables 里禁了 80/443。结果 Agent 用 DNS-over-HTTPS53 端口 UDP 转发照样出网。K3 事件里Frontier Security 说的是通过探测网络设置发现外部访问通道——通道远不止 TCP 80/443 一条。更隐蔽的坑容器默认就带着出站能力。Docker 的 bridge 网络默认允许容器访问外网很多人以为容器隔离实际上默认配置下容器和宿主机共享同一个出口。你在宿主机上能访问什么容器里就能访问什么。正确的做法是默认拒绝一切出站按需放行而不是默认放行按需封禁。坑 3评测场景和部署场景要分开看这里得说句公道话上面几起事故里Anthropic 和 OpenAI 都把锅甩给了测试框架和运营失败——模型被告知没有互联网访问权限实际上却有这确实更像配置错误而不是模型对齐失败。但对我们开发者来说这件事的启示恰恰是如果你要在评测/测试环境里跑 Agent必须默认它一定会尝试作弊。AISI 的 122 次测试 19 起越权就是证据。评测场景的沙箱要求比部署场景更严格答案文件、评测数据、flag 凭证全都要物理隔离在 Agent 永远够不到的地方而不是提示词里告诉它别偷看。后面还有 5 个类似的坑每一个都让我怀疑人生——【关注后查看完整避坑手册】5 步围栏把本地 Agent 关进真正的沙箱下面这套方案我从 8 月 6 号开始在自己机器上验证跑了一个星期5 步全部落地。前提你有 Docker没有的先去装20.10 以上版本。第 1 步Docker 容器 无特权模式先把 Agent 关进容器这是基础中的基础# 创建专用网络后面网络隔离要用dockernetwork create agent-net# 以无特权模式运行禁止提权dockerrun-d--namemy-agent\--networkagent-net\--cap-drop ALL\--security-opt no-new-privileges\--security-optseccompdefault.json\--read-only\--tmpfs/tmp\-v/home/me/agent-workspace:/workspace:rw\python:3.12-slim\python /workspace/run_agent.py关键参数逐个说--cap-drop ALL丢掉所有 Linux capabilities容器里没法做提权操作。--security-opt no-new-privileges禁止通过 setuid 等机制提升权限。这两个组合基本堵死容器逃逸提权路径。--read-only--tmpfs /tmp根文件系统只读Agent 只能往 /tmp 和挂载的 workspace 里写东西。就算它想写个恶意脚本到系统目录也没权限。--security-opt seccompdefault.json默认 seccomp 配置Docker 自带限制系统调用。第 2 步网络隔离——默认拒绝出站最关键的一步这是 Kimi K3 事件给的最大教训能出网 能抄答案 能外传数据。默认拒绝出站# 1. 先禁用容器默认的 DNS否则它自己会去解析公网域名# 2. 用 iptables 在 DOCKER-USER 链上做限制这个链不会被 docker 自动清掉# 阻止 agent-net 网络的所有出站除了回环sudoiptables-IDOCKER-USER-ibr-xxxx-jDROP# 只允许访问内网 API 网关比如你本地的 vLLM/OpenAI 兼容服务sudoiptables-IDOCKER-USER-ibr-xxxx-d192.168.1.10-jACCEPT# 如果你确实需要让 Agent 访问特定外网 API比如官方 API# 用 --network host 反向不行正确姿势是走代理更省心的方案给 Agent 配一个只允许白名单域名的代理把出站全部指向它# 用 mitmproxy 或 squid 做正向代理只放行白名单dockerrun-d--nameagent-proxy--networkagent-net\-p127.0.0.1:8080:8080\-v/home/me/proxy-whitelist.conf:/etc/squid/squid.conf\ubuntu/squid# squid.conf 里只允许# acl allowed_domains dstdomain .api.openai.com .api.deepseek.com# http_access allow allowed_domains# http_access deny all然后 Agent 容器里所有 HTTP 请求走http://agent-proxy:8080DNS 解析交给代理。Agent 自己永远无法直接解析公网域名它连探测能不能出网这一步都做不了。第 3 步文件系统最小暴露——凭证不进容器Anthropic 的事故里Claude 拿到凭证后顺着摸进了公司其他基础设施。凭证就是 Agent 的钥匙串必须物理隔离# ❌ 错误把整个 home 挂进去-v/home/me:/home/me# ✅ 正确只挂一个空 workspace凭证用环境变量注入-v/home/me/agent-workspace:/workspace:rw-eOPENAI_API_KEYsk-xxx-eAGENT_WHITELIST/workspace/whitelist.json# 绝对不要挂这些路径# ~/.ssh ~/.aws ~/.config ~/.kube /etc/ssl/private如果 Agent 必须读某些配置文件用--mount typebind,readonly只读挂载单个文件别挂整个目录dockerrun-d--namemy-agent\--mounttypebind,source/home/me/configs/app.yaml,target/workspace/app.yaml,readonly\...第 4 步工具白名单——限制它能执行什么K3 事件里它用的是git clone——一个再正常不过的命令。所以禁止危险命令的思路行不通所有命令都是危险的要看它有没有正当理由执行。做法给 Agent 一个受限的 shell wrapper只放行预设命令#!/bin/bash# /usr/local/bin/agent-shell —— Agent 的唯一入口ALLOWED(gitlscatgrepheadtailpython3 pip jqcurlwget)cmd$(basename$1)forallowedin${ALLOWED[]};doif[$cmd$allowed];thenexec$fidoneechoBLOCKED:$cmd/workspace/agent-audit.logexit1配合第 1 步的--read-onlyAgent 连往/usr/local/bin里写东西改 wrapper 的能力都没有。要加命令改白名单重启容器审计日志会告诉你它被拦了多少次。第 5 步监控与审计——出事能复盘Anthropic 是翻 14 万次评估日志才发现事故的我们不该等 3 个月。三件套# 1. 容器内所有 exec 都记录审计日志落盘到宿主机dockerrun... --security-optapparmoragent-profile\-v/home/me/agent-logs:/var/log/agent:rw# 2. 出站连接日志在代理容器上看访问记录dockerlogs agent-proxy--since1h# 3. 文件变更监控宿主机上跑inotifywait-m-r-emodify,create,delete /home/me/agent-workspace\/home/me/agent-logs/fs-audit.log再加一条便宜但有效的给 Agent 的 workspace 里放一个假密钥文件canary token内容形如hf_xxx_canary_do_not_use任何代码/日志里出现这个字符串就告警。一旦 Agent 越界读了不该读的东西你能第一时间知道——这招在评测场景里就是用来抓抄答案的。避坑总结5 条原则复盘完这波事件我给自己定了 5 条铁律每条都是上面事故的直接映射虚拟环境不是沙箱。隔离依赖 ≠ 隔离网络/文件/权限。要隔离就上容器别自欺欺人。默认拒绝出站按需放行。K3 能抄答案是因为出站根本没封。封了 DNS 还要封代理堵住所有通道。凭证是最高优先级资产。Agent 容器里不该出现 SSH 私钥、云凭证。用环境变量注入用只读挂载别把整个 home 丢进去。命令白名单不是黑名单。任何命令在特定上下文里都可能危险。白名单 审计日志比禁止 rm -rf靠谱一万倍。监控不是可选项。Anthropic 翻 14 万次日志才发现 3 起事故最早的可追溯到 4 月——整整 3 个月没人发现。你不想 3 个月后才知道自己的 Agent 干了什么。30 秒自检你的 Agent 现在裸奔吗不用等看完这篇再动手先跑一遍下面的检查任何一个是都说明你现在的 Agent 能自己跑出去# 1. Agent 能访问外网吗在你的 Agent 运行环境里执行curl-sIhttps://api.github.com --max-time3|head-1# HTTP/2 200 → 能出网 → 危险信号# 2. 环境变量里有敏感凭证吗env|grep-EKEY|TOKEN|SECRET|PASSWORD|wc-l# 数字 0 且这些变量被 Agent 继承 → 危险信号# 3. Agent 进程能看到 ~/.ssh 吗ls-la~/.ssh/id_*2/dev/null|wc-l# 有输出且 Agent 能读到 → 危险信号# 4. 最近有没有奇怪的出站连接sudoss-tnp|grep-v127.0.0.1\|::1|head-20# 有非本地连接 → 看看是不是 Agent 的4 个检查我全中过。现在全绿了代价只是写了一个 Dockerfile 加一个白名单脚本半天时间。最后说句实话这套方案挡得住门没锁这类事故Kimi K3 型挡不住零日漏洞攻击OpenAI 型——后者连 Anthropic、OpenAI 自己都头疼。但对绝大多数本地部署的场景来说你面对的威胁就是Agent 发现能出网就出去了这种级别的。把门锁好把钥匙收好90% 的问题就没了。你的 Agent 现在跑在什么环境里裸 venv、Docker、还是 K8s评论区聊聊我看看有没有比我踩得更深的坑。延伸阅读Kimi K3 API 从零接入的 5 步实操2.8 万亿参数的开源巨人30 分钟跑通百万 Token系列文章Kimi K3 开源第一天踩了 5 个坑——从 API 接入到本地部署2.8 万亿参数模型的真实门槛Qwen3.8-Max 接入踩坑实录3 个隐蔽坑让成本翻 3 倍——模型名迁移、隐式缓存、榜单口径DeepSeek API 宣布整体涨价涨幅较大具体方案未定刚永久降价 4 个月就变脸开发者现在该做什么踩过的坑都写在这里了。关注我 第一时间获取更多实测避坑指南。