arXiv cs.AI· Bravish Ghosh (Cygnux Labs)·· 13 小时前AI 评分58
Tracekit Box：在微虚拟机中运行 AI 智能体，每个出口都经决策与签名
Tracekit Box: Running AI Agents in Micro-VMs Where Every Way Out Is Decided and Signed
AI 导读
Cygnux Labs 的 Bravish Ghosh 发布开源系统 Tracekit Box（MIT，v0），每个任务运行在无网卡的 Firecracker micro-VM 中，命令、外连、密钥、模型调用和工作区补丁只能经 vsock 上的宿主出口，由智能体无法触及的签名器逐项决定并签名。
正文 · AI 翻译
摘要：AI 智能体现在会安装软件包、使用其操作者的密钥调用模型 API，并修改会部署到生产环境的代码仓库。它们所需的网络、凭据和写入权限，也正是它们可能泄露数据、窃取密钥或更改未经批准的系统的方式。沙箱能限制智能体，但几乎无法留下其跨越边界的证据；追踪能记录发生了什么，却无法限制任何行为。我们提出 Tracekit Box，一个同时实现两者的开源系统（MIT，v0）。每个任务都在其自己的、没有网卡的 Firecracker 微虚拟机中运行。唯一的出口是主机上的门，通过 vsock 提供服务：命令、出站连接、密钥、模型调用和工作区补丁。在每一道门处，智能体无法触及的 Tracekit 签名器决定什么可以通过，并将其签名记录到每个盒子的一次运行中。名称在主机上解析；私有地址和云元数据地址一律拒绝；密钥从不进入虚拟机，虚拟机看到的是占位符，主机代理仅在绑定主机的单个请求头中将其替换为真实值；更改以补丁形式返回，在签名器逐文件决定后逐文件应用。Box 采用失败关闭策略，每个任务最终生成一个 .tkb 包，任何人都可以离线验证。全部 13 项端到端检查在真实 KVM 运行器上通过（运行这些检查的测试耗时 28.5 秒，包括镜像拉取和启动）；信任边界上的 15 个模糊测试目标产生了九个发现，均已修复；演示运行的 102 条签名记录验证通过。Box 尚未运行 Firecracker 的 jailer，需要同址部署的签名器，并且仅记录虚拟机内进程跨越门时的活动。
| 评论： | 20 页，13 幅图，19 张表。代码：此 https URL |
| 主题： | 计算工程、金融与科学（cs.CE）；人工智能（cs.AI）；密码学与安全（cs.CR）；操作系统（cs.OS） |
| 引用为： | arXiv:2610.38458 [cs.CE] |
| （或 arXiv:2610.38458v1 [cs.CE] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.38458 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Bravish Ghosh [查看电子邮件]
[v1]
2026 年 10 月 28 日星期三 08:36:22 UTC（2,146 KB）
来源：arXiv cs.AI · arxiv.org