Replit 详解 Agent Habitat 背后的安全架构
Replit 公布 Agent Habitat 的安全架构，用组织级策略边界把沙箱、连接器、智能体和应用统一纳入管控。连接器凭证保存在智能体上下文之外，由凭证代理逐次授权请求后再从保险库取出注入；智能体运行在各自独立内核的 MicroVMs 隔离环境中，上周披露的内核漏洞未影响其现有隔离防护。
Replit：博客·2026-10-29 00:00· 42 分钟前AI 评分43
Replit 安全智能体工作背后的架构
AI 导读
Replit 介绍其 Agent Habitat 的安全架构，用组织级策略边界把沙箱、连接器、智能体和应用统一纳入管控。连接器凭证保存在智能体上下文之外，由凭证代理逐次授权请求后再从保险库取出注入。智能体运行在各自独立内核的 MicroVMs 隔离环境中，上周披露的内核漏洞未影响其现有隔离防护。
正文 · 原文
上周的安全披露让我们一窥未来的挑战。关键漏洞出现在互联网大量依赖的软件中。AI 智能体让漏洞的发现变得更快、更容易，而从发现到利用的时间却在不断缩短。
企业越来越需要智能体既能防御威胁，又能改变工作方式。随着智能体承担更多责任，安全必须与自主性同步扩展。
Palo Alto Networks 首席执行官 Nikesh Arora 最近向每一家采用 AI 的公司提出了一个问题：“数十亿美元正投入编码，你的编码工具链安全吗？”对于安全负责人，他的建议很明确：为智能体部署建立护栏，并安排第二双眼睛来监控其漂移、合规性和可验证性。
在 Replit，我们多年来一直将安全构建到智能体工作的基础设施中。上周这些漏洞浮出水面时，正是这一基础让我们能够快速、有效且大规模地响应。我们现有的隔离防护阻止了所披露内核漏洞的利用。我们更进一步，修补了受影响的工具并集中部署了防火墙防护，减少了开发者原本需要自行完成的修复工作。
我们认为下一步是进一步自动化安全响应本身，由人员定义治理流程的策略、审批和干预点。
作为我们自驱动公司蓝图的一部分，我们正通过 Replit 的 Agent Habitat 将这一基础设施和这些能力带给其他公司。Agent Habitat 让智能体在公司控制的边界内访问公司知识和系统，帮助它们将更多工作委托给智能体，同时不放弃对工作完成方式的控制。
自驱动公司的安全与治理
要实现自驱动，就需要有保障措施，让公司能够委托工作的同时保持控制。以下四项原则指导我们在 Replit 的 Agent Habitat 中构建这些控制：
- 只授予智能体所需的权限。控制智能体可以访问什么、哪些操作需要审批，以及权限如何在委托中传递。
- 遏制故障并响应漏洞。隔离执行、保护凭证，并在工作发生的环境中响应漏洞。
- 扩大访问范围，同时让生产变更可问责。让人员能够贡献，同时让生产决策接受工程审查。
- 让委托工作可问责、数据可治理。让智能体活动可见、支持调查，并为数据和工作负载建立清晰的边界。
下面，我们将进一步了解这些原则以及 Replit 如何将其付诸实践。
“我们的客户信任 Teamworks 处理敏感的运动健康与表现数据，因此安全与治理不容妥协。我们选择 Replit，是为了帮助业务中更多人改进我们的软件，同时保持我们所需的安全控制和工程监督。”
~ Reed Shaffner，Teamworks 首席技术官
1. 只授予代理所需的权限
将代理连接到业务系统即赋予其权限。如果任务只需要读取，但连接也允许写入，那么一次错误或提示注入可能造成超出任务本身的后果。将访问权限限制在工作所需范围内有助于降低这一风险。
Replit 的企业级 连接器管理 让管理员可以控制哪些群组可以使用每个连接，并为自定义 OAuth 连接器定义作用域。SAML SSO、SCIM 预配和基于角色的权限让公司能够集中管理谁可以构建、协作和发布，并与他们的身份提供商同步。
凭证需要单独且更严格的边界。代理应能够发出授权请求，而无需访问其背后可复用的外部凭证。Replit 将连接器凭证保持在代理的上下文之外。凭证代理会授权每一个请求，并且只有在请求获得授权后，才从保险库中检索凭证并将其添加到传出请求中。这降低了机密通过生成的代码、日志或对话暴露的风险，并提供了超越 OAuth 作用域的更细粒度访问控制。
这些控制措施针对不同的风险。权限决定代理被授权做什么，而凭证保护有助于防止可复用机密被暴露。企业还需要治理代理如何使用它们访问的数据，包括它们可以对其采取哪些操作。这些控制措施共同让企业能够将代理连接到其工作所需的系统，而不会授予它们对公司账户或可复用凭证的 unrestricted 访问权限。
2. 遏制故障并响应漏洞
试验代码的代理不应自动获得对员工笔记本电脑、生产数据库或无关工作负载的访问权限。如果代理或其运行的代码被攻破，隔离有助于限制该故障可能影响的范围。
Replit 在技术栈的每一层提供隔离和遏制，使代理能够在不承担风险的情况下发挥最佳工作。基于我们的 共享责任模型，我们负责保护运行框架、运行时和操作系统。代理在隔离的云环境中运行。MicroVM 为每个执行环境提供自己的最小内核，加强工作负载之间的隔离。对于使用 Replit 托管数据库的应用，开发和生产数据库保持分离。连接器权限为外部系统提供了另一道边界。
这一架构在本周的 Linux 内核漏洞披露 期间发挥了作用。Replit 现有的微虚拟机架构配合加固的内核配置，阻止了这些 Linux 内核漏洞被利用。客户无需针对这些漏洞采取任何行动。这层保护来自漏洞披露之前就已做出的架构决策。
仅靠隔离无法防范所有漏洞，软件发布后保护也必须持续。即使应用程序自身的代码没有变化，依赖项和运行时中新披露的缺陷也可能带来紧急的修复工作。
当 Node.js、Python 和 PHP 工具 中发现漏洞时，Replit 修补了平台上使用的版本，并向用户提供已修补的版本。我们还部署了 Web 应用防火墙规则，以拦截适用的漏洞利用。对于需要重新发布应用才能获取补丁的情况，我们已通知用户。
客户还需要知道哪些部分仍然存在漏洞。Auto-Protect 会根据新披露的漏洞检查项目依赖项，并在启用时自动为匹配的问题准备和测试补丁。Security Center 帮助管理员识别受影响的项目，并根据严重程度和暴露情况确定修复优先级。
这些保护措施共同降低了故障的影响以及响应所需的工作量。隔离限制了受损工作负载可能影响的范围。平台级修复和漏洞工具帮助团队识别并处理仍然存在的风险。
我们还会持续对 Replit 自身进行测试。
自今年年初以来，我们全天候运行 AI 红队测试，数百个智能体结合前沿模型和开源模型，协作识别、验证并尝试利用漏洞。这与外部渗透测试、我们的内部渗透测试职能、与 Trail of Bits 和 HackerOne 的合作以及我们的漏洞赏金计划相辅相成。将自动化测试与独立评估和人类专业知识相结合，有助于我们在平台演进过程中发现弱点。这些保护措施是 Replit 更广泛的纵深防御方法的一部分，我们在 Defense in Depth 中对此进行了描述。
3. 扩大访问权限，同时让生产变更保持可问责
智能体可以帮助最接近问题的人改进他们使用的软件，即使他们不是工程师。但提出变更和批准变更进入生产必须保持分离。
Replit 允许领域专家使用智能体对公司代码库进行有针对性的更改并提交拉取请求。智能体在现有仓库的单独分支中准备更改。工程师可以审查代码，在运行的沙箱中检查代码，并在有帮助时使用截图或视频。随后，智能体可以在现有的审查工作流中处理反馈和失败的检查。
对于在 Replit 中构建的应用，安全审查将自动化扫描与 AI 分析相结合。我们关于保护 AI 生成代码的研究发现，功能等价的代码可能会因语法或提示词措辞的不同，而得到不同的纯 AI 安全评估结果。依赖层面的漏洞还需要传统的扫描基础设施。对企业而言，这种不一致性使得纯 AI 安全检查难以作为一致的基线来依赖。
对于这些应用，我们的安全代理结合了静态分析、依赖扫描和 AI 推理。针对已知漏洞的可重复检查，补充了对代码上下文和业务逻辑的模型分析。团队还可以对正在运行的应用副本运行黑盒渗透测试，从外部攻击者的视角进行测试，而无需访问其源代码。
私有部署在平台层面强制执行应用访问控制，而不是仅依赖代理生成的代码来实现访问限制。在我们的共享责任模型下，应用所有者仍需负责审查和批准进入生产环境的内容。
将贡献与生产批准分离，使更广泛的参与变得可行。更多人可以在工程审查和安全检查仍然到位的情况下提出并迭代变更。
我们在内部也应用了同样的原则。在 Replit 的自驱动公司中，我们建立了访问策略、令牌代理、审计日志和零信任网络。从 1 月初到 6 月底，固定一组工程师的代码产出增长了 2.9 倍，而审查延迟、PR 回退率和事故率保持平稳。
这些结果反映了我们的内部经验，并非对客户成果的承诺。它们说明了目标：在不放弃工程审查或可靠性的前提下，支持更多贡献。
4. 让委派的工作可问责，让数据可治理
可问责性要求对发生的事情有清晰的记录。随着代理采用范围的扩大，管理员需要了解团队如何使用 Replit、识别与安全相关的活动，并在调查期间重建事件经过。Replit 的企业治理工具提供组织使用情况的可视化，而审计日志则捕获代理活动、连接器、密钥、部署和访问变更中与安全相关的事件。
管理员可以搜索、筛选和导出记录，或将其流式传输到 Datadog 或 Splunk 等安全信息和事件管理（SIEM）工具，用于监控和调查。这种可见性帮助安全团队调查异常行为、了解涉及哪些系统，并将代理活动纳入现有的监控和事件响应流程。
治理委派的工作还意味着要了解其数据如何受到保护，以及其工作负载在哪里运行。Replit 使用 TLS 1.2+ 对传输中的托管数据进行加密，使用 AES-256 对静态数据进行加密，包括数据库、对象存储和存储的密钥，并为单租户企业客户提供使用客户管理加密密钥（CMEK）的选项。
为了实现最大程度的控制，自带云（BYOC）将智能体运行框架、沙箱和凭据代理部署到企业自己的云租户中，置于其现有的云和网络治理之下。对于不需要 BYOC 的团队，项目地理区域仍然让他们可以控制已发布的计算资源、数据库和对象存储的托管位置。
这两种方案都不能决定每个外部服务或模型提供商如何处理数据。端到端评估工作流的企业也需要理解这些独立的边界。
可审计性和清晰的数据边界共同帮助企业评估由智能体驱动的工作流是否满足其安全、运营和治理要求。
随自主性扩展的安全
如今，Replit 的 Agent Habitat 在组织、连接和执行环境层面提供控制。随着智能体承担更重要的任务，这些保护措施也需要演进：为每项任务提供更细粒度的权限、在更多代码工作流中进行安全审查，以及在智能体运行时提供更强的检测和响应能力。
- 我们正在开发一个可扩展的智能体操作策略系统，具备组织范围的限制，并可为单个任务收窄。专用智能体应只获得其工作所需的权限，且委派不应扩大这些权限。在后台和计划任务期间也必须保持强制执行。
- 我们正在将安全智能体扩展到公司代码库贡献，帮助团队在变更进入生产环境之前发现并解决漏洞。
- 我们正在规划基于现有 eBPF 沙箱监控的新控制措施，以检测和响应可疑的智能体活动，例如意外的文件访问或网络连接。
智能体系统的安全仍在演进中。我们的沙箱架构白皮书是我们的北极星，它提出了可验证的安全要求和衡量进展的框架。随着这些实践的发展，我们将继续分享所学并参与更广泛的行业交流。
上周的披露显示，发现与利用之间的窗口正在迅速缩小。无论治理是否就绪，智能体都将承担更重要的任务，因此设定这些边界的时间是在任务被委派之前，而不是之后。安全必须随自主性扩展，这样团队才能在不放弃控制的情况下委派更多工作。我们致力于加强 Replit 的 Agent Habitat，使企业能够实现自驱动，在赋予智能体更大自主性的同时保留对工作完成方式的控制。
如需了解更多，请查看 Replit 信任中心中的安全控制和合规文档
来源：Replit：Blog · replit.com
来源：RadarAI · aihot.news