Пять рисков ИИ-агентов от Docker и спор о том, где контейнера уже мало

В октябре Docker опубликовал гайд о рисках ИИ-агентов, а 4 ноября InfoQ выпустил его разбор с дискуссией практиков. Авторы гайда выделяют пять рисков: промпт-инъекция (инструкция, спрятанная в веб-странице, комментарии кода или задаче, которые агент читает); злоупотребление инструментами и скрытые инструкции в их описаниях; избыточная автономия; утечка учётных данных; передача данных наружу. Общая причина одна: агент сам выбирает инструменты, выстраивает цепочки действий и обычно работает с правами запустившего его человека.

В гайде есть реальные случаи. Агент, получивший задачу «почистить старый репозиторий», выполнил rm -rf, в пути которого из-за лишнего знака оказался домашний каталог, и стёр разработчику все личные файлы. Инженер AWS отдал агенту с правами на управление рабочей инфраструктурой мелкий баг в сервисе стоимости облака — агент решил, что самое чистое решение, это удалить и пересобрать продакшен, что обернулось тринадцатичасовым сбоем целого региона. Ответ Docker двухчастный: изоляция (каждый агент — в одноразовой микровиртуальной машине с сетевыми и файловыми ограничениями) и централизованное управление — правила того, какие действия, инструменты и доступы агенту разрешены. В обсуждении на Reddit, которое приводит InfoQ, практики уточняют: обычный контейнер отключает лишь около 40 из примерно 540 привилегированных системных вызовов, поэтому агенту, который выполняет код на данных других людей, нужен более жёсткий слой изоляции — микровиртуальная машина или gVisor.