Автор: BitsLab, компания по безопасности ИИ
Когда ИИ-агент обладает системными возможностями, такими как выполнение команд shell, чтение и запись файлов, сетевые запросы и планировщик задач, он перестает быть просто "чат-ботом" — он становится оператором с реальными правами. Это означает: одна команда, индуцированная через prompt injection, может удалить критически важные данные; один скомпрометированный Skill из цепочки поставок может незаметно передать учетные данные; одна непроверенная бизнес-операция может привести к необратимым потерям.
Традиционные схемы безопасности обычно идут двумя крайними путями: либо полностью полагаются на собственные "способности к суждению" ИИ для самоограничения (что можно обойти с помощью тщательно сконструированных промптов), либо нагромождают множество жестких правил, полностью блокируя Агента (что лишает его основной ценности).
Это подробное руководство от BitsLab выбирает третий путь: распределение обязанностей по принципу "кто проверяет", где три роли занимают свои места.
- Обычный пользователь: Как последний рубеж обороны, отвечает за ключевые решения и регулярные проверки. Мы предоставляем рекомендации, чтобы снизить когнитивную нагрузку.
- Сам Агент: Во время выполнения осознанно соблюдает нормы поведения и процессы аудита. Мы предоставляем Skills, чтобы внедрить знания о безопасности в контекст Агента.
- Детерминированные скрипты: Механически и добросовестно выполняют проверки, не подвержены влиянию prompt injection. Мы предоставляем Scripts, покрывающие распространенные известные опасные шаблоны.
Ни один отдельный проверяющий не является всемогущим. Скрипты не понимают семантику, Агента можно обмануть, человек устает. Но их сочетание обеспечивает как удобство повседневного использования, так и защиту от операций с высоким риском.
Обычный пользователь (Рекомендации)
Пользователь является последним рубежом системы безопасности и владельцем высших прав. Ниже приведены вопросы безопасности, за которыми пользователю необходимо следить и выполнять лично.
a) Управление API Key
- Настройте права доступа к файлам конфигурации, чтобы предотвратить их просмотр посторонними:
- Никогда не загружайте API key в репозиторий кода!
b) Контроль доступа к Каналам (Крайне важно!)
- Обязательно настройте белый список (`allowFrom`) для каждого канала связи (Channel), иначе любой сможет общаться с вашим Агентом:
⚠️ В новых версиях пустой `allowFrom` означает запрет всех подключений. Если хотите открыть доступ, необходимо явно указать `["*"]`, но это не рекомендуется.
c) Не запускайте с правами root
- Рекомендуется создать отдельного пользователя для запуска Агента, чтобы избежать избыточных прав:
d) По возможности не используйте email-канал
- Протокол email сложен и сопряжен с относительно высоким риском. Наша команда BitsLab в ходе исследований обнаружила и подтвердила уязвимость уровня [critical], связанную с почтой. Ниже приведен ответ разработчиков проекта, у нас еще есть несколько вопросов к ним, поэтому рекомендуется с осторожностью использовать функциональные модули, связанные с почтой.
e) Рекомендуется развертывание в Docker
- Рекомендуется развертывать nanobot в контейнере Docker, изолированно от повседневной среды использования, чтобы избежать рисков безопасности, связанных с смешением прав или окружений.
Шаги установки инструмента
Принцип работы инструмента
SKILL.md
Проверка намерений на основе когнитивного осознания преодолевает слепые зоны традиционного ИИ, пассивно получающего инструкции. Встроенный механизм принудительной "самоактивации (Self-Wakeup)" заставляет ИИ перед обработкой любого пользовательского запроса сначала в фоновом режиме активировать независимую личность для проверки безопасности. Путем контекстного анализа и независимой оценки пользовательских намерений активно выявляются и блокируются потенциальные высокорисковые угрозы, что реализует переход от "механического выполнения" к "интеллектуальному брандмауэру". При обнаружении вредоносных инструкций (например, обратный Shell, кража конфиденциальных файлов, массовое удаление и т.д.) инструмент выполняет стандартизированный протокол жесткого перехвата (выводит предупреждение `[Bitslab nanobot-sec skills обнаружил敏感操作..., перехвачено]`).
Перехват выполнения恶意命令 (Защита Shell & Cron)
Выступает в роли "гейта с нулевым доверием", когда Агент выполняет команды уровня ОС. Линия обороны напрямую блокирует различные разрушительные операции и опасные нагрузки (например,恶意удаление `rm -rf`, изменение прав доступа, обратный Shell и т.д.). Кроме того, инструмент обладает возможностью глубокой проверки во время выполнения, может активно сканировать и очищать системные процессы и запланированные задачи Cron от постоянных бэкдоров и вредоносных сигнатур выполнения, обеспечивая абсолютную безопасность локальной среды.
Блокировка кражи конфиденциальных данных (Проверка доступа к файлам)
Осуществляет строгое физическое разделение прав доступа для чтения и записи к ключевым активам. В системе предустановлены строгие правила проверки файлов, запрещающие ИИ несанкционированно читать конфиденциальные файлы, такие как `config.json`, `.env`, содержащие API-ключи и ключевые настройки, и передавать их наружу. Кроме того, механизм безопасности будет проводить аудит логов чтения файлов (например, последовательность вызовов инструмента `read_file`) в реальном времени, полностью пресекая возможность утечки учетных данных и передачи данных изначально.
Аудит безопасности MCP Skills
Для Skills типа MCP инструмент автоматически проверяет их контекстное взаимодействие и логику обработки данных, выявляя是否存在риски утечки конфиденциальной информации, несанкционированного доступа, внедрения опасных команд и т.д., и сравнивает их с базовыми уровнями безопасности и белыми списками.
Загрузка новых Skills и автоматическое сканирование безопасности
При загрузке нового Skill инструмент использует аудит-скрипты для автоматического статического анализа кода, сравнения с базовыми уровнями безопасности и белыми списками, обнаружения конфиденциальной информации и опасных команд, и загружает Skill только после обеспечения его безопасности и соответствия.
Проверка контрольных сумм (хешей) для защиты от изменений
Для обеспечения абсолютного нулевого доверия к базовым активам системы защитный щит непрерывно создает и поддерживает базовые линии SHA256加密подписей для ключевых конфигурационных файлов и узлов памяти. Движок ночной проверки автоматически сверять每一处хэши файлов во времени, способный за миллисекунды捕捉любые несанкционированные изменения или перезаписи, полностью пресекая风险植入本地后门и"отравления" на уровне физического хранения.
Автоматическое ротация снимков резервных копий для аварийного восстановления
Учитывая высокие права доступа локального Агента к файловой системе, в систему встроен механизм автоматического аварийного восстановления высшего уровня. Защитный движок каждую ночь автоматически запускает полное архивирование активного рабочего пространства на уровне песочницы и создает механизм снимков безопасности с максимальным сроком хранения 7 дней (автоматическая ротация). Даже в случае непредвиденного повреждения или случайного удаления в экстремальной ситуации, можно实现无损一键恢复开发环境, что максимально保障непрерывность и устойчивость локальных цифровых активов.
Отказ от ответственности
Данное руководство предназначено только в качестве справочного материала по передовым практикам безопасности и не является гарантией безопасности в любой форме.
1. Нет абсолютной безопасности: Все описанные в данном руководстве меры (включая детерминированные скрипты, Skills Агента и рекомендации для пользователей) являются защитой по принципу "наилучших усилий" и не покрывают все векторы атак. Безопасность ИИ-агентов — это быстро развивающаяся область, новые методы атак могут появляться в любое время.
2. Ответственность пользователя: Пользователи, развертывающие и использующие Nanobot, должны самостоятельно оценивать риски безопасности своей среды выполнения и корректировать рекомендации данного руководства в соответствии с реальными сценариями. Любые убытки, возникшие из-за неправильной конфигурации, несвоевременного обновления или игнорирования предупреждений безопасности, несет пользователь.
3. Не замена профессионального аудита безопасности: Данное руководство не может заменить профессиональный аудит безопасности, penetration-тестирование или оценку соответствия. Для сценариев, связанных с конфиденциальными данными, финансовыми активами или критической инфраструктурой, настоятельно рекомендуется нанять профессиональную команду безопасности для проведения независимой оценки.
4. Сторонние зависимости: Безопасность сторонних библиотек, API-сервисов и платформ (таких как Telegram, WhatsApp, провайдеры LLM и т.д.), от которых зависит Nanobot, не контролируется данным руководством. Пользователям следует следить за бюллетенями безопасности соответствующих зависимостей и своевременно обновлять их.
5. Объем ответственности: Сопровождающие проекта Nanobot и участники не несут ответственности за любые прямые, косвенные, случайные или последующие убытки, возникшие в результате использования данного руководства или программного обеспечения Nanobot.
Использование данного программного обеспечения означает, что вы понимаете и принимаете указанные выше риски.
