NOFire-manifest: delt kjerne er ingen ekte sandbox for KI-agenter

Sikkerhetsselskapet NOFire har publisert manifestet «The Sandboxing Manifesto for Agentic Execution», som hevder at ordet «sandbox» er utvannet til det ikke garanterer noe. Kjernepåstanden er at en agents oppførsel er en funksjon av teksten den leste for fem sekunder siden, så den er per definisjon utrusted kode, og hvor den får kjøre er en sikkerhetsbeslutning.

NOFire skiller skarpt mellom isolasjon håndhevet av maskinvare og «sandkasser» som lener seg på vertskjernen. Poenget deres: er vertskjernen i tillitskjeden, kan agenten før eller siden deaktivere, lure eller race guardrailen, fordi den kjører i samme kjerne. De viser til en red-team-test fra Edera der LLM-agenter brøt seg ut av Docker i omtrent halvparten av 18 rømningsscenarier, mens hypervisor-isolerte soner stoppet alle unntatt én (og den falt på en feilkonfigurasjon, ikke et kjerne-exploit). NOFire flagger selv at dette er et leverandørtall.

«En sandbox er ikke en produktfunksjon. Det er et sett falsifiserbare påstander om et kjøremiljø.» — NOFire, i manifestet

Det gamle motargumentet var kostnad: VM-er var for trege for isolasjon per oppgave. NOFire hevder det er dødt, siden microVM-er kaldstarter på millisekunder og pakker en million per server. Anbefalingen deres er å isolere først og hente tilbake nytte via eksplisitte grants. De to strategiene feiler ulikt: å slakke på grensen feiler stille, der hvert unntak virker rimelig og summen blir en sil, mens en manglende grant feiler høylytt ved at agenten stopper og logger et spørsmål. Selv kjører NOFire én microVM per oppgave via urunc, med egress-allowlisting, hash-verifiserte images og rollback per steg.

For deg som kjører kodende agenter lokalt betyr det at en Docker-container rundt agenten er en svakere grense enn navnet antyder, ikke en garanti mot at agenten rører noe den ikke skal.