Песочница ESACA изолирует ИИ-агентов для кодинга и скрывает от них секреты
Claude и Qwen нашли дыру в ESACA: секреты утекут через легальный Egress
Команда проекта ESACA (European Sovereign Agentic Coding Appliance) представила песочницу для ИИ-агентов, пишущих код. Проблема в том, что агент, запущенный локально, получает те же права, что и разработчик: доступ к файлам, сети и учётным данным. В новой песочнице агент по умолчанию лишён всех этих прав, а доступ к каталогам и внешним сервисам выдаётся явно. Секреты хранятся в отдельном хранилище и подставляются только в момент одобренного запроса. Решение работает с разными агентами, включая Claude Code и OpenCode. Проект развивают mgm technology partners и Fsas Technologies (Fujitsu).
ИИ-агенты, которые пишут код, обычно устанавливаются прямо на рабочую машину разработчика. Технически это значит, что агент видит те же файлы, имеет доступ к той же сети и может дотянуться до локально сохранённых учётных данных — например, к Git-репозиториям, внутренним инструментам или облачным сервисам. Для программы, которая автономно пишет и тестирует код, это серьёзный риск, и он не зависит от того, насколько надёжно работает модель. Достаточно одной неверно понятой команды или скомпрометированной зависимости, чтобы чувствительные данные покинули компанию. Команда проекта ESACA, сокращение от European Sovereign Agentic Coding Appliance, построила песочницу, которая решает эту проблему. Ключевая деталь: агент в принципе никогда не видит учётные данные, даже для тех сервисов, которыми ему разрешено пользоваться. Решение представил Trình Đức Trần из команды ESACA на примере внутреннего HR-проекта. За инициативой стоят mgm technology partners и Fsas Technologies, компания Fujitsu. Проект нацелен на суверенное программирование с помощью ИИ, при котором код и данные не покидают собственный дата-центр. Песочница последовательно изолирует агента от окружения: он работает не на машине разработчика, а в отдельной замкнутой среде. По умолчанию доступа к файлам, сети и учётным данным у него нет. Для каждого проекта разработчики отдельно указывают, какие каталоги агент может видеть и с какими внешними сервисами ему разрешено общаться — это может быть внутренняя база знаний, тикет-система или MCP-сервер, то есть сервер Model Context Protocol. Каждый исходящий запрос из песочницы проходит через компонент Egress-Proxy, который фильтрует соединения и проверяет, есть ли цель запроса в списке разрешённых. Всё остальное блокируется, так что агент получает ровно тот фрагмент внешнего мира, который нужен проекту: не больше и не меньше. Отдельно решён вопрос с секретами. Пароли, API-ключи и токены остаются в Secret Vault — защищённом хранилище на хост-машине — и никогда не попадают в саму песочницу. Токен подставляется только в момент, когда одобренный запрос уже уходит наружу: это делает Egress-Proxy. Агент не видит секрет ни в какой момент, поэтому не может случайно оставить его в сгенерированном коде или передать другому сервису. Чтобы защита не мешала работе, команда сделала слой интеграции с платформой A12 AI Low Code. Из существующего проекта A12 за примерно пять-шесть кликов собирается готовая песочница: агент уже несёт нужные A12-плагины, базу знаний A12 и стандартные правила доступа. Этим путём пошла и команда HR-проекта, которая показала свою песочницу вживую. Сама песочница сделана универсальной и уже сейчас работает с разными кодинг-агентами, среди них Claude Code и OpenCode.