Pi의 파일 시스템과 네트워크를 샌드박싱하는 방법은?

unshare-net을 사용하고, 호스트에서 추론 서버 포트에 대한 socat을 생성한 뒤 그걸 샌드박스 안으로 바인딩하세요.

난 샌드박스로 bubblewrap을 써. 내 설정에선 네트워크가 제한 없는데, 그 부분 추가하는 건 꽤 쉬울 거야. 내 간단한 솔루션은 여기서 확인해: https://github.com/dimaginar/pi-safe

pi-agenticoding에는 파일 시스템 접근을 차단하는 읽기 전용 모드가 있지만, 아직 네트워크 접근 차단 기능은 지원하지 않습니다(PR 보내주시면 정말 좋을 것 같아요 :)

특정 코드베이스에서 돌아가는 에이전트라면 가상 파일 시스템(https://www.agentfs.ai/ 같은 거)을 썼어.

폴더가 없으면 폴더 밖으로 나갈 수도 없잖아, 안 그래? 기본적으로 특정 파일들만 다루게 하고 그 파일들만 건드릴 수 있는 도구들을 노출하는 방식이지.

네트워크는 좀 더 복잡한데, 아이디어는 비슷할 것 같아. 광범위한 명령어를 지원하는 도구를 노출하는 대신, 특정 주소나 파일하고만 통신할 수 있는 도구를 만드는 거지.

그냥 특정 디렉토리를 읽기 전용 권한으로 마운트하고 도커 컨테이너 네트워크를 전부 차단했어. 그리고 socat으로 fs 소켓을 통해 :3000 포트를 프록시했음. 고마워 🙏🏻

도커의 마이크로 VM 샌드박스 솔루션인 sbx를 써봐. 이건 전통적인 도커 풀 가상 머신이 아니라 에이전트 샌드박싱을 위한 전용 솔루션이야.

TUI(터미널 UI)를 제공해서 제한 수준을 세 가지 프리셋(none: 완전 개방, partial: 화이트리스트 방식, fully locked down: 완전 차단)으로 설정할 수 있어서 아주 쉬워.

너는 네트워크 완전 차단에 파일 시스템도 특정 경로만 읽고 쓸 수 있게 설정하는 게 딱일 것 같네...

우린 도커에서 sysbox를 써

https://nono.sh/ 여기 진짜 괜찮은 경량 샌드박스임. 나온 지 얼마 안 됐고 계속 개발 중이라 설정하고 쓰기가 좀 까다롭긴 한데.

예를 들어, Pi를 nono로 설정하면(아주 간단한 프로필로):

• 에이전트 시작할 때 지문 인식으로 LLM 제공자 자격 증명에 접근할 수 있게 승인함.

• LLM 제공자 액세스 토큰이 Pi에 직접 전달되지 않음. Pi 요청은 nono의 프록시를 거치면서 가짜 자격 증명으로 바뀌고, nono가 실제 자격 증명을 주입하는 식임...