Запускайте ИИ-агента в отдельной среде с копией проекта, без доступа к рабочему сайту и его ключам API. Такая песочница ограничивает последствия ошибок: агент меняет тестовые файлы, а публикацию на сайте вы контролируете отдельно. Для этого нужно ограничить доступ к папкам, терминалу и сети, затем проверить запреты на безопасных примерах. Ниже разберём, что положить в песочницу, какие действия оставить за человеком и как проверить изоляцию перед первой задачей по доработке сайта.
Что именно нужно изолировать от ИИ-агента?
Начните с папки проекта и учётной записи, от имени которой работает агент. Если запустить его в обычном терминале на рабочем компьютере, он получит доступ в пределах прав этой учётной записи. Среди возможных последствий — удаление чужой папки или отправка ключа API во внешний сервис. На эту связь между правами пользователя и возможностями агента обращает внимание журнал «Код» Яндекс Практикума.
Отдельная папка сама по себе не создаёт песочницу. Если терминал позволяет выйти из неё и открыть соседние каталоги, граница существует только в инструкции для модели. Нужна среда, где ограничения задают настройки запуска и права доступа. Для первого проекта можно рассмотреть отдельную виртуальную машину: рабочие папки компьютера в неё не подключают.
Harness, или обвязка агента, управляет вызовами инструментов, контекстом и разрешениями. Само наличие обвязки ещё не подтверждает изоляцию. Проверьте, где она запускает команды: внутри тестовой среды или в терминале вашего компьютера. В описании Agent Harness у RouterAI управление правами входит в состав обвязки наряду с инструментами и сохранением сессий.
Для сайта небольшой компании границу удобно сформулировать так: агент редактирует копию каталога и проверяет форму на тестовой странице, но не имеет доступа к публикации на рабочем сайте. Доступ к панели хостинга остаётся у человека.
Как подготовить песочницу перед первой задачей?
Сначала создайте среду, которую можно удалить без потери рабочих файлов. Затем передайте в неё только то, что нужно для конкретной задачи. Если требуется изменить оформление страницы, агенту не нужны архивы сайта и настройки рабочего сервера.
- Создайте отдельную виртуальную машину без общих папок с рабочим компьютером. Не подключайте к ней домашний каталог и сохранённые учётные данные.
- Перенесите копию исходного кода после проверки на секреты. Посмотрите конфигурационные файлы и историю изменений: старый ключ тоже нельзя передавать агенту.
- Замените рабочие подключения тестовыми. Для задачи по вёрстке используйте вымышленные товары и заглушку отправки формы, чтобы нажатие кнопки не запускало реальное действие.
- Ограничьте исходящую сеть средствами среды запуска. Разрешите только нужные адреса, включая сервис модели, если агент обращается к нему напрямую.
- Сохраните исходное состояние песочницы. Перед новой задачей возвращайтесь к нему, если предыдущая работа изменила зависимости или настройки.
Не копируйте файл с рабочими ключами «на случай, если понадобится». Если без внешнего API задачу не проверить, создайте отдельный тестовый ключ с ограниченными правами, когда сервис это поддерживает. Если такого режима нет, оставьте вызов внешнего сервиса за пределами задачи агента.
Сетевые ограничения задавайте отдельно от текста задания. Просьба «не отправляй файлы наружу» описывает желаемое поведение, но не блокирует соединение. При закрытом доступе агент должен сообщить, какой ресурс ему нужен; решение об открытии доступа остаётся за вами.
Какие команды агент может выполнять без подтверждения?
Начните с чтения файлов внутри копии проекта и запуска заранее подготовленных проверок. Изменение настроек среды, установка зависимостей и любые действия за пределами проекта должны требовать отдельного решения. Список разрешений составляйте под задачу: для правки текста страницы доступ к терминалу может вообще не понадобиться.
Перед подтверждением смотрите на действие целиком: какую команду агент запустит, в какой папке и с какими параметрами. Разрешение «работать с файлами» слишком широкое. Понятнее правило «менять файлы только в каталоге тестового проекта, без доступа к остальным каталогам».
Учитывайте вложенные действия. Например, команда установки зависимости может запустить дополнительные сценарии, а тестовый сценарий — обратиться к сети. Поэтому разрешение на знакомое название команды ещё не означает, что всё её поведение проверено. В разборе на Хабре защита инструментов описана как отдельная инженерная задача, которая требует испытаний и пересмотра после изменений моделей и инструментов.
Для публикации оставьте отдельный ручной этап. Сначала просмотрите изменения, затем перенесите одобренную версию на рабочий сайт через привычный процесс. Возможность отката тоже проверьте заранее: как безопасно откатить отдельные изменения ИИ-агента в Git. При этом откат кода не отменяет уже выполненные внешние действия, например отправку запроса в сторонний сервис.
Как проверить, что песочница действительно ограничивает агента?
Проверяйте ограничения на искусственных файлах и тестовых адресах. Настоящий ключ API для испытания не нужен. Создайте за пределами доступной агенту папки файл с вымышленным содержимым и убедитесь, что инструмент чтения не открывает его.
- Попросите прочитать тестовый файл вне проекта. Ожидаемый результат — отказ инструмента в доступе, даже если агент решил выполнить запрос.
- Попробуйте записать безобидный файл за пределами разрешённого каталога. Среда должна заблокировать запись.
- Проверьте обращение к адресу, которого нет в списке разрешённых. Соединение должно завершиться отказом сетевого ограничения.
- Предложите действие, для которого настроено подтверждение, без удаления файлов. До решения человека оно не должно запускаться.
- Перезапустите агента и повторите проверки. Ограничения должны сохраняться после новой сессии.
Отказ модели выполнять просьбу ещё не доказывает, что доступ закрыт. Нужен результат проверки самого инструмента или среды: запрет чтения, записи либо соединения. Сохраните эти результаты вместе с настройками песочницы, чтобы после обновления обвязки повторить тот же тест.
Затем дайте агенту небольшую рабочую задачу, например изменить подпись кнопки и запустить проверку проекта. Если разрешённое действие проходит, а выход за границы блокируется, базовый сценарий работает. Дальше отдельно оценивайте результат работы: как измерять качество ИИ-агента на задачах малого бизнеса. Успешный запуск программы ещё не подтверждает, что агент правильно выполнил задачу.
Типичные ошибки при настройке песочницы
- Считать отдельную папку изоляцией. Проверьте права процесса: сможет ли он открыть соседний каталог через терминал.
- Подключать к песочнице весь рабочий диск ради удобства. Передавайте только копию нужного проекта, без доступа к исходным файлам на компьютере.
- Оставлять рабочие ключи в конфигурации или истории изменений. Проверяйте оба места до переноса проекта.
- Автоматически подтверждать все запросы агента. Разделите обычные действия внутри проекта и операции, которые меняют среду или затрагивают внешние сервисы.
- Проверять ограничения только при первом запуске. Повторяйте испытания после смены обвязки, инструментов или настроек доступа.
Если подготовку среды поручаете разработчику, зафиксируйте результат задачи: отдельный запуск проекта, список доступных папок, правила сетевых соединений и проверка запретов. Это конкретный объём настройки, который можно принять по результатам испытаний. Формулировка «сделать безопасно» таких критериев не даёт.
Сейчас потратьте минуту: запишите в задаче для разработчика одно обязательное условие — «ИИ-агент работает только с тестовой копией проекта, без доступа к рабочему сайту и его ключам API».
