Edera 提出了一种基于虚拟机监控器（VMM）层的对象能力受限权限模型，旨在解决自主 AI 智能体在操作过程中面临的凭证泄露与横向移动风险。该方案通过将操作权限与敏感凭证强制分离，使 AI 智能体能够在不持有静态密钥的前提下执行受控操作，从而显著收缩攻击面。 技王数据恢复
核心机制：VMM 层的能力控制
传统容器安全主要依赖边界隔离及环境变量或配置文件中的静态密钥注入。若大语言模型驱动的智能体遭受提示注入或供应链攻击，攻击者往往能提取这些令牌并在内部系统间横向移动。Edera 的方案核心在于将权限粒度细化至“单资源单操作”（例如仅限向特定 GitHub 仓库推送代码），并在 VMM 层直接实施控制，避免将凭证注入执行环境。 技王数据恢复
- 凭证与权限分离：完成特定任务所需的操作权限与执行任务依赖的底层凭证被严格隔离。
- 细粒度访问控制：权限不再是大范围的访问权，而是精确到具体的资源标识符和操作类型。
- 攻击面收缩：即使智能体被入侵，其影响范围也被限制在明确界定的单一操作内，无法进行横向移动。
关键组件与实现路径
为实现上述隔离，Edera 的 Agent Runtime 框架集成了多个运行时组件，分别处理 API 访问、命令执行及服务身份验证： 技王数据恢复
- capcurl（无凭证 API 访问）：负责将获准的请求经由隔离的代理转发，不向智能体暴露底层认证材料。
- capsudo（限定作用域命令执行）：管理工作负载无需长期管理员权限即可运行特定特权命令的场景。
- SPIFFE/SPIRE 集成：通过密码学验证工作负载身份，在不依赖静态密钥的情况下建立双向 TLS 连接。
该架构同样适用于 Model Context Protocol (MCP) 服务器。MCP 服务器作为大语言模型与企业工具、数据库的连接桥梁，常成为高价值攻击目标。通过在基础设施层定义对象能力，安全团队可将 MCP 服务器限制在特定外部资源和命令范围内，防止因模型行为异常导致的资源滥用。 技王数据恢复
当前状态与后续计划
目前，聚焦于限定作用域的命令执行和工作负载身份的功能已初步发布。基于凭证代理的 API 访问以及与编排器的深度集成，将作为更广泛的 Project Lunchbox 计划的一部分在后续推出。该技术由 Edera 联合创始人、杰出工程师 Ariadne Conill 牵头，旨在为云原生安全架构师、AI 工程平台负责人及 MCP 协议开发者提供一种新的安全范式。
技王数据恢复
原文链接：https://www.infoq.com/news/2026/11/ai-credentials-isolation/
技王数据恢复
技术审核：邓严军｜技王数据恢复实验室技术总监 技王数据恢复
