تشغيل كود وكيل غير موثوق دون صندوق حماية

تشغيل كود وكيل غير موثوق بدون بيئة معزولة (Sandbox)

يمثل تشغيل كود وكيل غير موثوق - كود من وكلاء ذكاء اصطناعي خارجيين أو مقدمين من المستخدم - تحدياً متزايداً في نشر أنظمة الذكاء الاصطناعي الحديثة. توفر أساليب العزل التقليدية (مثل حاويات Docker أو gVisor أو Firecracker) عزلاً قوياً ولكنها تقدم عبئاً إضافياً كبيراً وزمن استجابة وتعقيداً. تستكشف هذه المقالة تقنيات عملية لتنفيذ كود وكيل غير موثوق بدون بيئة معزولة كاملة، مستفيدة من العزل خفيف الوزن والتحليل الثابت والمراقبة أثناء التشغيل. نستند إلى رؤى من مناقشات صناعية حديثة، بما في ذلك فحص مدونة LangChain لسلامة الوكلاء وعمل OpenAI المستمر على بيئات التنفيذ الآمنة. الهدف هو توفير نهج عملي وقابل للنشر للمطورين الذين يحتاجون إلى السرعة والبساطة دون المساس بالأمان.

المتطلبات

قبل البدء، تأكد من أن نظامك يلبي المتطلبات التالية:

• **نظام قائم على Linux** (Ubuntu 22.04+ أو ما يشابهه) - معظم أدوات العزل خفيفة الوزن أصلية في Linux.
• **Python 3.10+** - لتشغيل كود الوكيل والنصوص البرمجية المثال.
• **دعم `seccomp`** - تصفية استدعاءات النظام على مستوى النواة (مفعل افتراضياً في Linux الحديث).
• **`nsjail`** - بيئة عزل خفيفة الوزن تركز على الأمان لتشغيل الكود غير الموثوق. قم بالتثبيت عبر مدير الحزم.
• **`cgroups` v2** - للحدود على الموارد (CPU، الذاكرة). تحقق باستخدام `mount | grep cgroup`.
• **`apparmor` أو `selinux`** - اختياري لكن موصى به لتطبيق إضافي للتحكم الإلزامي في الوصول (MAC).

التثبيت خطوة بخطوة

سنقوم بتثبيت وتكوين `nsjail` كأداتنا الرئيسية. يستخدم `nsjail` مساحات أسماء Linux و seccomp-bpf و cgroups لتقييد الكود غير الموثوق بأقل عبء إضافي.

1. تثبيت nsjail

أولاً، قم بتحديث قائمة الحزم وتثبيت `nsjail`:

sudo apt-get update
sudo apt-get install -y nsjail

تحقق من التثبيت:

nsjail --version

إذا كنت بحاجة إلى أحدث إصدار، قم بالتجميع من المصدر (التعليمات متاحة في مستودع GitHub لـ `nsjail`). لمعظم حالات الاستخدام، يكفي إصدار الحزمة.

2. تثبيت Python والاعتماديات

تأكد من تثبيت Python 3.10+:

python3 --version

قم بتثبيت مكتبات Python المطلوبة للمثال:

pip install requests pyyaml

3. تكوين ملفات تعريف seccomp

أنشئ ملف تعريف seccomp مخصص لتقييد استدعاءات النظام. احفظ التالي كـ `agent_seccomp.policy`:

# سياسة seccomp أساسية لكود وكيل غير موثوق
# السماح فقط باستدعاءات النظام الآمنة
[whitelist]
read
write
open
close
mmap
munmap
brk
exit_group
clone
execve
stat
fstat
lseek
getdents64

هذه السياسة تمنع استدعاءات النظام الخطيرة مثل `ptrace` و `socket` (الشبكة) و `mount` و `process_vm_writev`. يمكنك توسيعها بناءً على احتياجات وكيلك.

4. إعداد cgroups لحدود الموارد

أنشئ مجموعة cgroups لعزل الموارد:

sudo mkdir -p /sys/fs/cgroup/agent_limits
echo "100000" | sudo tee /sys/fs/cgroup/agent_limits/memory.max  # حد ذاكرة 100 ميجابايت
echo "50000" | sudo tee /sys/fs/cgroup/agent_limits/cpu.max      # حد CPU 50%

هذه الحدود تمنع الوكلاء الجامحين من استنزاف موارد النظام.

أمثلة الاستخدام

سنقوم الآن بتشغيل كود وكيل غير موثوق باستخدام `nsjail` مع سياسة seccomp وحدود cgroups.

مثال 1: تشغيل نص Python بسيط

أنشئ نص اختبار `agent_code.py` يحاكي سلوك وكيل غير موثوق:

# agent_code.py - كود وكيل غير موثوق نموذجي
import os

def run_agent():
    print("الوكيل: مرحباً، أنا وكيل غير موثوق!")
    # محاولة عملية خطيرة (سيتم منعها)
    try:
        os.system("rm -rf /")  # ستفشل بسبب seccomp
    except Exception as e:
        print(f"تم منع العملية الخطيرة: {e}")
    return "تم إكمال الوكيل بأمان"

if __name__ == "__main__":
    result = run_agent()
    print(f"النتيجة: {result}")

قم بتشغيله داخل `nsjail`:

nsjail --config /dev/stdin <<EOF
{
  "chroot": "/",
  "cwd": "/tmp",
  "seccomp_policy_file": "/path/to/agent_seccomp.policy",
  "cgroup_memory_max": 104857600,  # 100 ميجابايت
  "cgroup_cpu_max": 50000,          # 50%
  "exec_bin": "/usr/bin/python3",
  "exec_args": ["/tmp/agent_code.py"]
}
EOF

شرح كل معلمة:

• `chroot`: يقيد الوصول إلى نظام الملفات بدليل محدد.
• `cwd`: دليل العمل داخل البيئة المعزولة.
• `seccomp_policy_file`: مسار السياسة المخصصة.
• `cgroup_memory_max` و `cgroup_cpu_max`: حدود الموارد.
• `exec_bin` و `exec_args`: الأمر المراد تنفيذه.

سيتم تشغيل النص، لكن أي محاولة لتنفيذ أوامر شل (مثل `os.system`) سيتم منعها بواسطة seccomp، وسيفشل الوكيل بشكل آمن.

مثال 2: تشغيل كود وكيل مع قيود الشبكة

غالباً ما يكون الوصول إلى الشبكة غير ضروري للوكلاء غير الموثوقين. يمكننا تعطيل الشبكة بالكامل باستخدام عزل مساحة اسم الشبكة في `nsjail`.

أنشئ نصاً يحاول جلب بيانات:

# network_agent.py
import requests

def fetch_data():
    try:
        response = requests.get("https://api.example.com/data")
        return response.text
    except Exception as e:
        return f"تم منع الشبكة: {e}"

if __name__ == "__main__":
    print(fetch_data())

قم بتشغيله مع تعطيل الشبكة:

nsjail --config /dev/stdin <<EOF
{
  "chroot": "/",
  "cwd": "/tmp",
  "seccomp_policy_file": "/path/to/agent_seccomp.policy",
  "cgroup_memory_max": 104857600,
  "cgroup_cpu_max": 50000,
  "disable_network": true,  # تعطيل جميع الشبكات
  "exec_bin": "/usr/bin/python3",
  "exec_args": ["/tmp/network_agent.py"]
}
EOF

معامل `disable_network` ينشئ مساحة اسم شبكة بدون واجهات. سيفشل الوكيل في الاتصال، مما يمنع تسرب البيانات أو الاستدعاءات الخارجية.

مثال 3: تحديد وقت التنفيذ

يمكن للوكلاء أن يدوروا في حلقات لا نهائية. استخدم حد الوقت في `nsjail`:

nsjail --config /dev/stdin <<EOF
{
  "chroot": "/",
  "cwd": "/tmp",
  "seccomp_policy_file": "/path/to/agent_seccomp.policy",
  "cgroup_memory_max": 104857600,
  "cgroup_cpu_max": 50000,
  "time_limit": 5,  # 5 ثوانٍ كحد أقصى للتنفيذ
  "exec_bin": "/usr/bin/python3",
  "exec_args": ["/tmp/agent_code.py"]
}
EOF

إذا تجاوز الوكيل 5 ثوانٍ، يقوم `nsjail` بقتله ويعيد خطأ انتهاء الوقت.

مثال 4: مراقبة سلوك الوكيل

للاستخدام الإنتاجي، قم بتسجيل جميع إجراءات الوكيل. عدّل سياسة seccomp لتسجيل استدعاءات النظام المحظورة:

# agent_seccomp_log.policy
[whitelist]
read
write
open
close
mmap
munmap
brk
exit_group
clone
execve
stat
fstat
lseek
getdents64

[audit]
ptrace
socket
connect

ثم قم بالتشغيل مع التسجيل:

nsjail --config /dev/stdin <<EOF
{
  "chroot": "/",
  "cwd": "/tmp",
  "seccomp_policy_file": "/path/to/agent_seccomp_log.policy",
  "seccomp_log": true,  # تسجيل استدعاءات النظام المحظورة
  "cgroup_memory_max": 104857600,
  "cgroup_cpu_max": 50000,
  "exec_bin": "/usr/bin/python3",
  "exec_args": ["/tmp/agent_code.py"]
}
EOF

تحقق من السجلات باستخدام `dmesg | tail -20` أو `journalctl -xe`. هذا يساعد في تحديد سلوك الوكيل الخبيث أو المعيب.

أفضل الممارسات والتحذيرات

تشغيل كود غير موثوق بدون بيئة معزولة كاملة هو مقايضة بين الأداء والأمان. إليك اعتبارات رئيسية:

• **استخدم نهجاً متعدد الطبقات**: ادمج `nsjail` مع ملفات تعريف AppArmor وأنظمة ملفات للقراءة فقط للدفاع المتعمق. تؤكد مدونة Microsoft للذكاء الاصطناعي على أهمية طبقات العزل المتعددة.
• **تجنب منح الامتيازات غير الضرورية**: أزل `CAP_NET_ADMIN` و `CAP_SYS_ADMIN` والامتيازات الأخرى. يقوم `nsjail` بذلك افتراضياً.
• **قم بتحديث سياسات seccomp بانتظام**: مع تطور كود الوكيل، قد تكون هناك حاجة لاستدعاءات نظام جديدة. راجع السجلات واضبط القائمة البيضاء.
• **ضع في اعتبارك المهلات الزمنية**: حدد دائماً وقت تنفيذ أقصى لمنع رفض الخدمة.
• **اختبر مع أعباء عمل وكيل حقيقية**: يشير بحث Anthropic حول سلامة الذكاء الاصطناعي إلى أن الاختبار بمدخلات خصومية يساعد في كشف فجوات العزل.
• **راقب استخدام الموارد**: استخدم cgroups لتتبع الذاكرة و CPU و I/O. قد تشير الارتفاعات المفاجئة إلى نشاط خبيث.

القيود

هذا النهج غير مناسب لجميع السيناريوهات:

• **استغلالات النواة**: إذا استغل كود الوكيل ثغرة في النواة، قد لا تحمي مساحات الأسماء و seccomp المضيف. توفر البيئات المعزولة الكاملة (مثل gVisor) عزلاً أقوى.
• **هجمات القنوات الجانبية**: يمكن لأنماط استخدام الموارد أن تسرب المعلومات. للتطبيقات عالية الأمان، ضع في اعتبارك العزل المدعوم بالأجهزة.
• **اعتماديات الوكيل المعقدة**: تتطلب بعض الوكلاء مكتبات مشتركة أو قواعد بيانات أو وصول GPU. قد تحتاج هذه إلى سياسات مخصصة أو عزل جزئي.

الخلاصة

تشغيل كود وكيل غير موثوق بدون بيئة معزولة كاملة ممكن باستخدام أدوات Linux خفيفة الوزن مثل `nsjail` و seccomp و cgroups. يقدم هذا النهج عبئاً إضافياً منخفضاً (عادةً أقل من 5% تأثير على الأداء) مع منع استدعاءات النظام الخطيرة والوصول إلى الشبكة واستنزاف الموارد. باتباع خطوات التثبيت والأمثلة أعلاه، يمكنك تنفيذ كود وكيل ذكاء اصطناعي بأمان في بيئات الإنتاج، مستفيداً من رؤى صناعية من LangChain و OpenAI و Microsoft و Anthropic. ابدأ بسياسة تقييدية، وراقب السجلات، وقم بتوسيع الأذونات تدريجياً حسب الحاجة. المفتاح هو المنع الافتراضي: امنح الوكلاء فقط الحد الأدنى من القدرات المطلوبة لمهمتهم. هذه الاستراتيجية العملية توازن بين الأمان والسرعة والبساطة لنشر أنظمة الذكاء الاصطناعي الحديثة.