Rischi per la sicurezza e limiti della sandbox
Perché le impostazioni di un agente sono importanti per la sicurezza e cosa la sandbox di Managed Agents può e non può fare.
Questa pagina spiega perché le impostazioni in Proteggi il tuo deployment di Managed Agents sono importanti e cosa la sandbox può e non può fare.
Perché è importante
Istruzioni nascoste nei contenuti che un agente legge possono guidare l'agente. Questo fenomeno è chiamato "prompt injection" (iniezione di prompt). Claude è intrinsecamente resiliente a questo fenomeno, ma il comportamento del modello non è un controllo di sicurezza. Le impostazioni in Proteggi il tuo deployment di Managed Agents limitano l'effetto se un tentativo ha successo.
Claude può anche compiere un passaggio che non ti aspettavi mentre continua a lavorare per completare il compito che gli hai assegnato. Ad esempio, potrebbe usare uno strumento o una credenziale a cui ha accesso per superare un ostacolo. Le stesse impostazioni limitano ciò che un tale passaggio può raggiungere, e un revisore offline può segnalarlo in seguito.
| Cosa può andare storto | Esempio | Controlli |
|---|---|---|
| Un input non attendibile guida l'agente | Un ticket dice all'agente di annullare tutti gli ordini aperti | Set di strumenti minimo, input non attendibile tenuto lontano dagli strumenti potenti, approvazioni per le azioni rischiose |
| Il codice nella sandbox può usare una credenziale | Uno script che l'agente è stato indotto a eseguire invia la chiave dell'agente a un host esterno, oppure la usa per leggere gli ordini di tutti i clienti | Credenziali nei vault, rete limitata, approvazioni per le azioni rischiose |
| Una rete aperta lascia uscire i dati | Un comando bash invia un file a un host esterno | Rete limitata, l'elenco dei domini di web_fetch |
| Claude compie un passaggio che non ti aspettavi | Per superare un ostacolo, usa uno strumento o una credenziale a cui ha accesso | Le impostazioni in Proteggi il tuo deployment di Managed Agents. Un revisore offline può segnalare il passaggio in seguito |
Queste impostazioni riducono il rischio ma non lo eliminano, quindi non inserire nella sandbox dati che non devono mai uscirne. Un agente può comunque inserire i dati che è autorizzato a leggere nella propria risposta o nell'output di uno strumento. Limita i permessi di una chiave presso il servizio che l'ha emessa, perché queste impostazioni non li limitano. Le impostazioni non proteggono i tuoi strumenti personalizzati, i tuoi server MCP o la tua infrastruttura self-hosted.
Cosa la sandbox può e non può fare
Managed Agents mantiene per progettazione il ciclo dell'agente, la cronologia della sessione e i segreti del vault al di fuori della sandbox. Per il contesto di progettazione, consulta Scaling Managed Agents.
| Componente | Dove viene eseguito | Cosa lo limita |
|---|---|---|
| Ciclo dell'agente | Server di Anthropic | Il set di strumenti, le policy di autorizzazione e il budget che imposti |
bash e strumenti per i file | La sandbox. In un ambiente cloud, ogni sessione ottiene il proprio container Linux isolato | La rete dell'ambiente, il set di strumenti e le policy di autorizzazione |
web_search e web_fetch | Server di Anthropic | L'elenco dei domini dello strumento stesso e, in un ambiente cloud limited, gli host consentiti dell'ambiente. web_fetch apre inoltre solo URL che sono già comparsi nella sessione |
| Segreto del vault | Al di fuori della sandbox. Le credenziali MCP non vi entrano mai. Per una credenziale di tipo variabile d'ambiente, il codice vede un segnaposto | Per una credenziale MCP, l'URL del server MCP a cui è destinata. Per una credenziale di tipo variabile d'ambiente, gli host consentiti dalla credenziale, la sua posizione di iniezione e gli host consentiti dell'ambiente |
| Cronologia della sessione | Server di Anthropic, finché non elimini la sessione | Le chiavi API del workspace, i ruoli Developer e Admin nella Claude Console e l'eliminazione della sessione |
| Strumenti personalizzati | La tua applicazione | Il tuo codice |
In un ambiente cloud, le sessioni non condividono lo stato del filesystem. Un memory store collegato a più di una sessione è condiviso tra di esse.
Questi limiti non si sostituiscono a vicenda. Ad esempio, limitare gli host dell'ambiente non impedisce all'agente di usare una credenziale su un host che hai consentito.
Was this page helpful?