Hvernig SPACE beinir beiðnum til réttrar keyrslu sandkassa

Þegar einhver biður gervigreindarfulltrúa að greina töflureikni eða prófa hugbúnað treystir viðkomandi því að fulltrúinn fari á öruggan hátt með skrár hans og gögn. Gervigreindarfulltrúar þurfa einangrað umhverfi þar sem þeir geta sinnt þeirri vinnu án þess að afhjúpa gögn annarra notenda eða trufla vinnuálag þeirra.

Eftir því sem gervigreindarfulltrúar taka að sér flóknari verkefni með meira sjálfræði hjálpa þessi umhverfi til við að halda mistökum í skefjum og takmarka tjónið sem óöruggur eða skaðlegur kóði getur valdið. Sandkassar veita þessa einangrun þótt þeir deili þjónustu stjórnlagsins, vinnsluhnútum og beiningarinnviðum.

Þessir sameiginlegu innviðir verða að koma hverri aðgerð til þeirrar keyrslu sem hefur heimild til að meðhöndla hana. Úrelt leið getur sent gilda beiðni í annan sandkassa, eða í eldri keyrslu rétta sandkassans. SPACE, öruggur sandkassavettvangur Perplexity, bindur hverja aðgerð við valda keyrslu og athugar áfangastaðinn áður en hún er áframsend.

Mánuðum saman hefur SPACE annast milljónir keyrslna á dag, sem hver um sig er varin með einstöku dulritunarauðkenni, með villuhlutfalli undir 0,0002% og án þess að nokkur tenging hafi rofnað.

Beiningarvandinn

Öryggi sandkassa veltur einnig á því að hver beiðni komist á réttan áfangastað. Jafnvel einfaldur skráarlestur fer um sameiginlega innviði sem verða að fylgjast með hvar sandkassinn keyrir þegar gert er hlé á honum, hann heldur áfram eða færist á milli véla.

Skráarlestur fer í gegnum nokkrar einingar. Stjórnlag SPACE finnur keyrslu og vinnsluhnút fyrir sandkassann. Beiðnin kemur inn um node-api, fer til sandkassastjórans, sbx-manager, og þaðan um Unix-sökkul til hýsilbrúarinnar, spaced-host. Brúin áframsendir hana um VSOCK, sökkulflutning milli hýsils og gests, til spaced-guest inni í Firecracker-örsýndarvélinni.

Hver ákvörðun byggir á stöðu sem getur dregist aftur úr breytingum á innviðum. Gagnagrunnur kann að geyma gamla staðsetningu, vistfang í skyndiminni kann að vísa annað eða nýr hlustari kann að taka yfir slóð sökkuls. Tenging sem tekst getur samt endað á röngum áfangastað. Lestur gæti afhjúpað gögn annars notanda; skrif gætu breytt röngu skráakerfi.

Skyndimyndir valda öðru vandamáli. Þegar sandkassi heldur áfram á öðrum vinnsluhnúti helst rökrænt auðkenni hans en ný keyrsla hefst. Síðbúin beiðni eða tenging sem enn er opin getur borist til fyrirrennarans og skilað gamalli stöðu undir réttu sandkassaheiti.

Stækka

Auðkenni sandkassa og auðkenni keyrslu

SPACE aðgreinir umhverfi notandans frá keyrsluumhverfinu sem þjónar því:

• Auðkenni sandkassa: Stöðugt auðkenni rökræna umhverfisins. Heimild kallanda veitir aðgang að þessum sandkassa.
• Leiðar-/keyrsluauðkenni: Valið keyrslutilvik og staðsetning þess, þar á meðal vinnsluhnútur, undirlag og virkjun.

Keyrslukynslóð greinir á milli keyrslutilvika. Á Kubernetes inniheldur leiðin einnig UID podsins. Vistföng segja til um hvar endapunktar eru; keyrsluauðkenni ræður því hvort þeir endapunktar mega sinna aðgerðinni.

Segjum að sandkassi S keyri sem keyrsla 7 á vinnsluhnúti A og haldi síðan áfram sem keyrsla 8 á vinnsluhnúti B. Beiðni sem var valin fyrir keyrslu 8 verður að mistakast ef hún berst til keyrslu 7. Ef aðeins væri athugað auðkenni sandkassans færi ósamræmið fram hjá kerfinu.

Stækka

Undirritað val á keyrslu

Hver beiðni ber með sér undirritaða sönnun um hvaða keyrsla sandkassa má meðhöndla hana og hvaða aðgangur er leyfður. Einingin sem tekur við ber þá sönnun saman við eigið keyrsluauðkenni áður en hún hleypir beiðninni áfram.

Eftir að kallandi hefur fengið heimild gefur SPACE út skammlífa, undirritaða heimild sem tilgreinir sandkassann, keyrsluna, staðsetninguna og leyfðan aðgang. Heimildir fyrir opinber þjónustutengi tilgreina einnig leyfilegt tengi og samskiptareglu.

Sandkassastjórinn sem tekur við staðfestir undirskriftina og ber allt auðkennið saman við keyrslufærsluna sem hann geymir staðbundið. Undirskriftin staðfestir hver heimilaði valið. Samanburðurinn staðfestir hvort valið samsvarar móttakandanum.

ServicePort-umferð fer í gegnum aðra athugun í netgátt hvers sandkassa, netgtw, áður en tenging við gestinn er opnuð. Gáttin ber auðkennið saman við trausta virkjunarstöðu og athugar tengið og samskiptaregluna. Stjórnaðgerðir halda áfram í staðfestingu endapunkta brúarinnar.

SPACE notar Ed25519-undirskriftir. Undirritunarlyklar stjórnlagsins gefa út heimildir; opinberir staðfestingarlyklar á vinnsluhnútum og gáttum geta ekki gefið þær út.

Heimildir gilda í 120 sekúndur og leyfð er allt að 15 sekúndna klukkuskekkja við mat á gildislokum. Gild undirskrift og tóki sem er ekki útrunninn duga samt ekki þegar valið auðkenni og uppsett auðkenni stemma ekki.

Stækka

Höfnun á röngum áfangastað

Vinnsluhnúturinn sem tekur við getur greint villu í beiningu jafnvel þegar beiðnin sjálf er heimil. Hann athugar hvort hann keyrir þá keyrslu sem var valin fyrir beiðnina og hafnar henni ef svo er ekki.

Ef beiðni sem valin var fyrir keyrslu 8 berst til vinnsluhnúts A, sem þjónar enn keyrslu 7, hafnar vinnsluhnútur A henni áður en hún er áframsend. Þegar móttakandi hefur sett upp auðkenni keyrslu 8 hafnar hann einnig heimildum fyrir keyrslu 7, jafnvel áður en þær renna út.

Þessi trygging hefur mikilvæg takmörk. Heimild fyrir keyrslu 7 getur enn passað við vinnsluhnút sem þjónar keyrslu 7 þar til sá hnútur fær vitneskju um að keyrslan hafi verið tekin úr notkun eða heimildin rennur út. Staðbundin framfylgd og takmarkaður líftími heimilda vinna saman á meðan uppfærslur dreifast.

Stækka

Staðfesting endapunkta brúarinnar

Samsvarandi keyrslufærsla staðfestir hvaða keyrsla er ætluð. Stjórnbrúin verður einnig að ná til þeirra ferla og þess flutningslags sem tilheyra þeirri virkjun, en ekki arftaka sem erfði sama vistfang.

Sandkassa- og hnútastjórar staðfesta skilríki jafningja hýsilbrúarinnar og auðkenni bæði brúar- og Firecracker-ferla, þar á meðal ræsingartíma, og greina þannig endurnýtt auðkenni eða breyttar keyranlegar skrár

Athuganir á flutningslagi tengja VSOCK-hlustarann við væntanlegt Firecracker-ferli með eignarhaldi sökkuls, auðkenni gests og sönnunargögnum um sökkla úr kjarnanum. Brúin áframsendir aðgerðir aðeins eftir staðfestingu og hafnar gagnsæjum endurtengingum. Hver ný tenging verður að standast athuganirnar á ný.

Þessi staðfesting nær til Firecracker-stjórnbrúarinnar á Kubernetes og á beint stýrðum hýsilvélum. ServicePort-umferð fer í gegnum athuganir á keyrslu og tengi í gátt sinni; hún vottar ekki auðkenni hvaða forrits sem er inni í gestinum.

Stækka

Líftími strauma og endurheimt leiða

Sumar tengingar haldast opnar á meðan keyrsla sandkassa breytist og því verða athuganir á auðkenni að ná lengra en til upphaflegu beiðninnar. SPACE lokar tengingum sem bundnar eru gömlu keyrslunni og leyfir gjaldgengum aðgerðum að tengjast núverandi keyrslu á ný með sömu öryggisathugunum.

Útstöðvar og skráavaktanir geta lifað lengur en beiðnirnar sem opnuðu þær. SPACE tengir strauma bakenda við auðkennistímabil svo straumur geti ekki verið áfram tengdur fyrirrennaranum eftir að móttakandinn hefur sett upp nýja keyrslu í hans stað.

SPACE athugar varanlegt auðkenni aftur áður en straumur er opnaður. Ef skipt er um leið hans eða keyrslu fellur straumleigan úr gildi og inntak og úttak stöðvast.

Breytingar á eignarhaldi eru aðgreindar frá því þegar ný keyrsla kemur í stað annarrar. Þegar umsjón með lífsferilsaðgerð færist á milli á óbreyttri Kubernetes-einingu haldast leiðarauðkenni hennar, óútrunnar heimildir og straumar. Gáttin heldur einnig straumum sem þegar hafa verið opnaðir þegar eingöngu virkjunartilraunin breytist innan sömu leiðar og keyrslukynslóðar. Nýjar opnanir krefjast uppfærða auðkennisins.

Endurheimt heldur þessum athugunum óskertum. Auðkennissamanburðurinn getur skilað RefreshRoute þegar tilvik stemmir ekki innan sama sandkassa, eða Deny fyrir annan sandkassa. Aðeins viðurkennt endurnýjunarmerki setur af stað viðgerð á leið eftir að auðkenni hefur verið hafnað. Um flutningsvillur gilda aðskildar endurheimtarreglur sem fara eftir aðgerð. Ógildum undirskriftum, tilgangi eða gáttasniðum er áfram hafnað.

Gjaldgeng aðgerð getur fundið núverandi keyrslu og gert eina nýja tilraun með endurbyggðri beiðni. Færslu í skyndiminni er aðeins skipt út ef hún vísar enn á leiðina sem var hafnað, sem kemur í veg fyrir að síðbúin höfnun ryðji nýrri færslu út. Endurnýjun innbyggðrar lotu heldur upprunalegum gildistíma skyndiminnisins og aðgreinir þannig lagfæringu leiða frá endurnýjun á heimild kallanda.

Reglur um endurspilun eru áfram bundnar við hverja aðgerð. Nýr bakendi sem kemur í stað þess eldri verður að standast aðgangsstýringu á ný, jafnvel þótt WebSocket-tengingin við biðlarann haldist opin.

Stækka

Málamiðlanir og traustmörk

Keyrsluauðkenni verður að stöðu sem skiptir sköpum fyrir öryggi. Uppfærslur stjórnlagsins og búnt staðfestingarlykla verða að berast til þeirra eininga sem þjóna beiðnum og keyrsla telst tekin úr notkun þegar hver móttakandi setur uppfærsluna upp. Stuttur líftími heimilda takmarkar endurnotkun á meðan uppfærslur dreifast.

Hönnunin gerir ráð fyrir að framfylgd auðkenna sé virk og treystir undirritara stjórnlagsins, kjarna vinnsluhnútsins og staðbundinni stjórnunarþjónustu hnútsins. Yfirtaka á rótaraðgangi vinnsluhnúts eða á klasastjóra með aukin réttindi fellur utan ógnarlíkansins. Staðfesting brúarinnar er staðbundin staðfesting ferla og flutningslags, ekki vélbúnaðarstudd fjarvottun.

Staðfesting undirskrifta, samanburður við keyrsluumhverfi og staðfesting brúa bæta vinnu við leið beiðninnar. Þessar athuganir nota staðbundna stöðu í stað þess að fletta upp heimildum í fjarkerfi við hvert einkaskref.

Samanburður við önnur kerfi

Það sem skiptir máli í samanburðinum er hvernig kerfi bregðast við þegar heimil beiðni berst í ranga keyrslu rétta sandkassans. Þessar niðurstöður eiga við um þær útfærslur sem voru skoðaðar, ekki heildaröryggi kerfanna. SPACE, OpenShell og E2B voru skoðuð 8. október 2026:

• OpenShell: Býður upp á sambærilegt val á keyrslu fyrir ný köll og bindingu umsjónarferlis við keyrsluumhverfi með athugunum á kynslóð og heimildum í gáttinni, staðfestingu á auðkenni bakenda og staðfestum virkum tengingum umsjónarferlis (aðgangsstýring gáttar, auðkenning og binding keyrsluumhverfis). SPACE flytur undirritað val eftir allri þjónustuleið sinni og bætir við staðbundinni staðfestingu ferla og flutningslags á vinnsluhnútnum; OpenShell dreifir samsvarandi athugunum á gáttina, ræsiauðkenni og auðkennda samskiptareglu keyrsluumhverfisins (hönnun keyrsluumhverfis).
• E2B: Heldur utan um keyrsluauðkenni og einangrar milliþjónasöfn eftir lífsferli Firecracker, en innleiðarmilliþjónn þess velur rökræna sandkassann og tengið án væntanlegs keyrsluauðkennis sem móttakandi getur borið saman við (birting leiða, aðgangsstýring milliþjóns). Með þessum athugunum er ekki hægt að greina eldri keyrslu, sem er enn skráð virk á úreltum móttakanda með samsvarandi skilríki, frá nýrri keyrslunni sem var valin, þótt hefðbundið niðurrif fjarlægi leiðir og loki tengingum sem eru bundnar lífsferlinum (skilríki, niðurrif).
• CubeSandbox: Lagfærir beiningu þegar keyrsla heldur áfram og ógildir skyndiminni, en einkainnleiðin notar skilríki bundin við sandkassann og áframsendir án þess að tilgreina væntanlegt keyrslutilvik (beining við framhald keyrslu, beining innleiðar). Lagfæring leiða styttir þann tíma sem úreltar leiðir geta verið í notkun; keyrslubundin heimild SPACE veitir móttakandanum auk þess sjálfstæðan grundvöll til að hafna röngu keyrslutilviki.

Auðkenni sem einangrunarmörk

Örugg útvistun verkefna veltur á því að vinna hvers gervigreindarfulltrúa haldist innan þeirra marka sem henni eru ætluð. Örsýndarvél veitir einangrun, en kerfið í kring verður að tryggja að hver beiðni og hver opin tenging berist til þeirrar keyrslu sem hefur heimild til að meðhöndla hana.

SPACE gerir keyrsluauðkenni að hluta af þeirri vernd. Með því að athuga áfangastaði, staðfesta endapunkta brúa og tengja tengingar við keyrsluna sem heimilaði þær viðheldur SPACE þessum mörkum þegar gert er hlé á sandkössum, þeir halda áfram og færast til.

Við höldum vinnunni áfram eftir því sem innviðirnir þróast. Fyrir SPACE og aðra sandkassavettvanga krefst öryggi þess að þessar leiðir séu prófaðar gagnvart bæði hefðbundnum beiningarvillum og fjandsamlegu vinnuálagi og að mörkin séu síðan styrkt hvar sem prófanirnar leiða í ljós veikleika.