‏کلیدهای پروداکشن رو دست ایجنت‌های کدنویسی می‌ده

نویسندهٔ این پست که ده‌ها سال زیرساخت لینوکسی گردونده، مهندس امنیت و شبکه بوده و روی یه پلتفرم ایجنت کدنویسی با صدها هزار کاربر کار کرده، می‌گه الان حساس‌ترین کلیدهاش رو مستقیم در اختیار ایجنت‌های کدنویسیش می‌ذاره: auth key سرویس Tailscale، کلیدهای خصوصی SSH، توکن‌های OAuth مربوط به Anthropic و Codex، و حتی app password جی‌میلش.

خودش قبول داره که این چیدمان هر سه ضلع چیزی رو داره که Simon Willison بهش می‌گه lethal trifecta (یعنی ایجنت هم به دادهٔ خصوصی دسترسی داره، هم محتوای غیرقابل‌اعتماد می‌خونه، هم می‌تونه با بیرون ارتباط بگیره). پس در تئوری یه مهاجم می‌تونه دستور مخفی رو توی یه صفحهٔ وب یا فایل جا بده و ایجنت رو گول بزنه که کلیدها رو براش بفرسته.

استدلالش اینه که امنیت همیشه یه معاملهٔ بین ریسک و بهره‌وریه. با دسترسی پروداکشن، ایجنت خودش قطعی رو بررسی می‌کنه، لاگ می‌خونه، فیکس رو دیپلوی می‌کنه و درست شدنش رو هم چک می‌کنه؛ بدون این دسترسی همهٔ این مرحله‌ها می‌افته گردن خودش و کار خیلی کند می‌شه. مقایسه‌ای که می‌کنه اینه: به همکار تازه‌وارد هم دسترسی می‌دیم، با اینکه ممکنه فیشینگ بخوره.

به گفتهٔ نویسنده فقط Claude و Codex رو اجرا می‌کنه و برای مسئله‌های سخت سراغ مدل‌های frontier می‌ره. می‌گه به مدل‌های قدیمی‌تر هرگز این حجم دسترسی رو نمی‌داد، ولی prompt injection (یعنی دستور مخربی که توی محتوای خونده‌شده قایم شده) با نسل جدید خیلی کمتر نگرانش می‌کنه، چون مدل‌ها بهتر دستور کاربر رو از دستور داخل محتوا جدا می‌کنن. تأکید می‌کنه این فقط برای کدبیس خودته و باز کردن یه پروژهٔ تصادفی GitHub با این سطح دسترسی کار خیلی بدیه.

با همهٔ اینا هنوز ایجنت‌ها رو توی کانتینرهای Docker جدا اجرا می‌کنه، ولی نه برای مهار یه ایجنت هک‌شده: هر ایجنت checkout خودش رو داره و اشتباه‌های معمولی، مثل پاک‌کردن بازگشتی یه پوشهٔ اشتباه، به خود هاست نمی‌رسه. دربارهٔ least privilege هم می‌گه پنهان‌کردن صرف credential ها ریسک اصلی رو برنمی‌داره؛ ایجنتی که کلید SSH رو نمی‌بینه ولی روت پروداکشن رو داره، بازم می‌تونه همه‌چی رو نابود کنه.

نکات کلیدی:

• کلیدهای در اختیار ایجنت‌ها: Tailscale auth key، کلید خصوصی SSH، توکن OAuth انتروپیک و Codex، و app password جی‌میل.
• این چیدمان هر سه ضلع lethal trifecta رو داره: دادهٔ خصوصی، محتوای غیرقابل‌اعتماد، و امکان ارتباط با بیرون.
• ایجنت‌ها همچنان داخل کانتینر Docker اجرا می‌شن، ولی برای جداسازی کارها، نه برای مهار ایجنت هک‌شده.
• باز کردن یه ریپوی تصادفی GitHub با همین سطح دسترسی خطرناکه.
• ایجنتی که روت پروداکشن رو داره، حتی بدون دیدن کلید SSH هم می‌تونه همه‌چی رو نابود کنه.