Edera在虚拟机监控器层隔离AI智能体权限与凭证

Edera推出了一套面向自主AI智能体的对象能力受限权限模型，由联合创始人兼杰出工程师Ariadne Conill牵头设计。该方案不再仅依赖容器边界，而是把细粒度的权限控制下沉至虚拟机监控器层，使智能体和模型上下文协议（MCP）服务器能够在不接触敏感凭证的情况下执行获准操作。

随着自主编码智能体和外部工具进入生产环境，企业往往会把API令牌、云密钥或管理员凭证注入执行环境。但这些环境可能遭遇提示注入、供应链操纵等攻击，导致攻击者窃取令牌并在内部系统之间横向移动。Edera的思路是将任务所需的操作权限与完成任务时依赖的底层凭证分开，并由虚拟机监控器强制执行边界。例如，AI编码助手可以只获得修改某一个GitHub仓库的权限，而无需持有个人访问令牌，入侵后的影响也被限制在该资源范围内。

其Agent Runtime框架包含多个运行时组件。capcurl能够在不暴露认证材料的前提下，通过隔离代理转发获准的API请求；capsudo则负责限定范围的命令执行，让工作负载无需长期管理员权限或root权限即可运行指定特权命令。框架还集成SPIFFE与SPIRE，用密码学方式验证工作负载身份，并在不依赖长期静态密钥的情况下建立双向TLS连接。

这套机制同样适用于MCP服务器。由于MCP连接大语言模型、企业工具和数据库，通常属于高价值攻击目标，安全团队可以在基础设施层预先定义其可访问的外部资源和可执行命令。即使宿主模型行为异常或受到提示注入影响，也难以突破限定范围，从而把潜在入侵的影响从整个环境收缩到面向特定任务的离散操作。

目前，限定作用域的命令执行和工作负载身份功能已经发布。Edera计划在Project Lunchbox后续阶段加入基于凭证代理的API访问能力，并加强与编排器的集成。该模型也试图减少企业为自主智能体单独开发凭证中间件和临时权限代理所需的工程投入，将权限控制统一下沉到虚拟机监控器与运行时层。