Zed sandboxer agentens terminal på OS-nivå fra versjon 1.14

Hvorfor stopper ikke en regel som forbyr agenten å kjøre git-kommandoer, den fra å skrive i .git? Zed har hatt finmaskede regler for terminalverktøyet en stund, og et mønster som blokkerer git .* fanger den bokstavelige kommandoen. Det fanger ikke bash -c 'git ...', ikke en miljøvariabel som utvides til kommandoen inne i et skall, og ikke et lite skript agenten skriver, gjør kjørbart og starter. Zed skriver at slike regler duger som rettesnor for en velfungerende agent, men faller sammen i møte med noen som faktisk prøver å komme rundt dem.

Standardreglene i sandkassen nekter agenten å skrive utenfor prosjektkatalogene, å skrive til .git og å gjøre nettverkskall. Trenger den mer, kan den be om midlertidig utvidelse, og du får se hvilke rettigheter den ber om og hvorfor. Skrivetilgang til .git er unntaket den ikke får spørre om i det hele tatt, fordi hooks der kjører utenfor sandkassen.

«Disse begrensningene håndheves av operativsystemet og er ikke avhengige av at en agent følger instruksjoner.» — Zed

Implementasjonen bruker plattformens egne API-er: Seatbelt på macOS, navnerom via Bubblewrap på Linux, WSL på Windows. Skall på Windows utenfor WSL får ingen sandkasse. På Linux må du ha en fungerende bwrap-binærfil i $PATH uten setuid-biten satt, ellers virker det ikke.

Scenarioet Zed selv trekker frem, er PR-gjennomgang: du ber agenten se på et bidrag, og bidraget inneholder en endret AGENTS.md som ber agenten laste opp API-nøkkelen din. Zed oppgir at dette allerede har skjedd. Utgivelsen som bærer sandkassen til stabil kanal, v1.14.2, er merket 5. august i prosjektets GitHub-repo.

Hva bør du gjøre?

1. Sjekk at bwrap ligger i $PATH uten setuid-bit hvis du kjører Zed på Linux. Uten den kjører agenten som før.
2. Legg merke til hva agenten ber om utvidet tilgang til, ikke bare at den ber. Begrunnelsen kommer fra modellen og er ikke en garanti.
3. Bruk nettverksforbudet aktivt når du gjennomgår ukjent kode. Det er den enkleste bremsen mot at en instruks skjult i et bidrag sender noe ut.