Bromure Agentic Coding：VM 边界上的 coding-agent 沙箱

wiki/ai/sources/bromure-agentic-coding-sandbox.md

分类：ai / sources · 更新：2026-09-02 09:06

Bromure Agentic Coding：VM 边界上的 coding-agent 沙箱

核心判断

Bromure Agentic Coding 把 coding agent 放入一次性 Linux VM，并把真实凭据留在 host-side MITM proxy 中：agent 在 VM 内只看到假凭据，proxy 在出站边界把假凭据替换成真实凭据，并叠加 per-destination consent、TTL、供应链扫描、prompt-injection detection、session trace 等控制。它值得入库，因为它把 Harness-Engineering 的“工具/凭据/网络边界”落到了 单一 effect boundary：隔离、凭据、供应链、prompt injection 和审计都尽量在 VM↔外部网络边界执行。^[raw/articles/bromure-agentic-coding-sandbox-2026-09-02.md]

深度判断

relevance 5/5：直接命中 sandbox / security evaluation 与 agent harness / runtime。
novelty 4/5：VM 隔离常见，但“fake credential in VM + wire-time credential swap + consent/TTL + supply-chain/prompt-injection scanning”组合具有工程启发。
durability 4/5：即便具体产品变化，凭据不进 agent 环境、边界注入和一次性 VM 是长期模式。
actionability 4/5：可迁移为 Hermes 高风险工具执行策略：未知代码不拿真实凭据，网络边界执行审批和审计。
source-quality 3/5：README/官网式材料包含产品比较表，仍需独立安全审计验证。

- depth-potential 5/5：可与 [[aisi-sandboxescape-bench-container-breakout

AISI SandboxEscapeBench]]、AgentFlow、GATRA、AIPermission 共同形成安全 harness 谱系。

为什么这对用户重要

Hermes / llm-wiki 的无人 cron 默认应避免运行未知 repo，但工程任务中迟早会遇到“需要 agent 执行第三方代码、安装包、访问 API”的场景。Bromure 的关键启发是：不要把真实 API key、SSH key、Git credentials 直接放进 agent 可读环境；更安全的方式是让 agent 在隔离 VM 中使用 stub credential，由外部边界根据目的地、方法、路径、TTL 和用户同意决定是否注入真实凭据。

这比“在 prompt 里告诉 agent 不要泄漏密钥”更稳，因为恶意依赖、prompt injection 或被污染的 README 即使能控制 agent，也只能看到假凭据；真正的授权发生在 proxy / gateway policy 层。

机制 / 一阶原理

隔离边界：一次性 Linux VM 提供独立 kernel 与文件系统，任务结束即销毁，降低 host 污染和持久化攻击风险。
凭据边界：真实凭据不进入 VM；agent 只拿 stub，host proxy 在出站请求上按策略替换。
使用边界：凭据不是“能读到就能随便用”，而是按目的地同意、TTL、只读/范围等策略授予。
供应链边界：包安装、依赖拉取和 socket/OSV/Delpi 等扫描在执行前或边界处形成 risk verdict。
审计边界：完整 session trace、HTTP bodies / package inventory / token 使用等成为后续复盘和评测证据。

与既有 wiki 概念的关系

Harness-Engineering：Bromure 是 effect-boundary harness；安全不只靠 workflow gate，也靠 VM、proxy、scan、trace。
Agent-Benchmarks：真实评测应记录 sandbox policy，否则同一个 coding-agent 分数的安全含义不可比较。
MCP-Gateway-Runtime：MCP/tool gateway 也应采用类似 credential boundary；agent-facing tool 不应直接持有长期凭据。

- [[aisi-sandboxescape-bench-container-breakout

AISI SandboxEscapeBench]]：AISI 测试 sandbox 是否会被突破，Bromure 提供一种更强隔离和凭据边界的工程形态。

对 Hermes / llm-wiki 的可执行启发

对未知 repo / package 的自动执行维持 HOLD，除非有 sandbox policy、网络 egress policy 和凭据边界。
高风险工具接入时，优先设计 “stub credential + boundary injection” 而不是把真实 token 写入 agent 环境变量。
日报候选评分新增 credential_visibility、egress_boundary、sandbox_disposability、supply_chain_preflight 字段。
若未来做 coding-agent benchmark，安全分数应与功能分数分开：成功完成任务但越界使用凭据不能算纯成功。

失败模式、边界条件与未解问题

MITM proxy 是强控制点，也是高价值攻击面；其证书、日志、密钥存储和 policy engine 需要独立审计。
VM 隔离不等于绝对安全；仍需关注 hypervisor/Virtualization.framework、共享剪贴板、挂载目录、网络桥接和 remote access 暴露。
供应链扫描会有 false positive/false negative；不能把“扫描通过”当成执行安全证明。
产品比较表来自项目方，应作为 medium-confidence claim，不应直接当作独立 benchmark 结论。

写入记录

2026-09-02 09:00 CST：根据 Bromure README 深度入库，提炼 disposable VM、host-side credential swap、供应链/prompt-injection scanning 与 Hermes 高风险工具执行边界启发。