防AI代理人竊取帳密 TRM Labs推安全閘道Gatehouse

隨著人工智慧（AI）Agent被廣泛應用於日常任務，如何防止這些自動化程式竊取或濫用敏感憑證，已成為企業網路安全的重要挑戰。針對此一問題，TRM Labs於週四發表了一項創新的開源解決方案「Gatehouse」，旨在確保AI Agent在執行任務時的安全性。

資深軟體開發者西門·威利森（Simon Willison）將一種極易導致AI Agent洩漏資料的危險組合，稱為「致命三聯症」（lethal trifecta）。他指出，當AI Agent能存取私密資料、接觸不受信任的內容，並能與外部通訊時，任何惡意指令都可能輕易誘導它洩漏敏感資訊。在許多企業環境中，特別是那些處理程式碼的Agent，這種情況幾乎每天都在發生，使得憑證（帳密資料）成為駭客眼中與資料同等寶貴的目標。

為解決這項挑戰，TRM Labs開發了Gatehouse，作為AI Agent的憑證代理。這套系統的核心理念是：Agent本身絕不直接持有任何真實的憑證。Gatehouse會充當Agent與外部系統（例如API、資料庫或GitHub）之間的守門員。當Agent發出請求時，它只會使用一個預留位置（placeholder），而真正的憑證則由Gatehouse在Agent的「沙盒」（sandbox，一個受限的運行環境）之外安全地附加到請求上，再轉發至目標服務。

Gatehouse運作流程嚴謹，每筆請求都會經過多步驟驗證。首先，它會驗證請求的發起者；接著檢查請求內容是否符合預先定義的「目錄」（catalog）規定；然後從安全的秘密管理器中獲取並替換真實憑證；同時將操作記錄下來，並在轉發請求後過濾回覆，確保憑證不會被Agent竊取。若任何環節出現異常，例如Agent試圖將預留位置發送給未經授權的伺服器，或請求獲得的結果中包含憑證，Gatehouse都會立即阻擋，確保敏感資訊滴水不漏。

此外，Gatehouse也能處理資料庫連線與瀏覽器登入。對於資料庫，Gatehouse會要求秘密管理器為每次連線建立一次性（fresh）的使用者帳號，並在連線關閉後移除。在瀏覽器情境中，Agent只會啟動一個帶有預留位置登入狀態的應用程式，而Gatehouse則以服務帳號身分登入，並在應用程式呼叫API時替換真實的通行權杖（token）。藉由整合Kubernetes及Cursor等系統的OpenID Connect（OIDC）通行權杖，Gatehouse也能進行身分驗證，確保每次操作都能追溯到特定的發起者。

這項技術讓企業在導入更多AI Agent時，能有效控制潛在風險。由於Agent本身不持有任何秘密，即使Agent受到挾持，也不會有新的憑證外洩風險。Gatehouse承襲自開源專案Agent Vault，並由TRM Labs進行功能擴充，包含資料庫代理、瀏覽器登入、依儲存庫範圍設定GitHub存取權限，以及整合Cursor和Kubernetes身分驗證等。透過Gatehouse，企業可以確保憑證始終由信任端管理，所有Agent的行為皆透過經過審查的程式碼進行，大幅提升AI Agent操作的安全性。