AI Agent平臺權(quán)限失控致隱私泄露：5步加固方案（含systemd沙箱配置）

這事兒怎么發(fā)生的？

先說個真事兒。2026年3月，一位"養(yǎng)蝦人"在群里分享了自己的AI Agent平臺龍蝦模型。本來是技術(shù)交流的好事，結(jié)果有人開始跟他的龍蝦聊天，三言兩語就套出了運行電腦的型號、系統(tǒng)環(huán)境，甚至通過模型間接推斷出了主人的姓名和工作單位。

問題出在哪？AI Agent平臺默認(rèn)配置下，模型進程擁有幾乎完整的系統(tǒng)訪問權(quán)限——能讀文件、能訪問網(wǎng)絡(luò)、能執(zhí)行命令。一旦有人通過提示詞注入（prompt injection）誘導(dǎo)模型泄露環(huán)境信息，你的隱私就裸奔了。

這篇文章幫你堵上這個漏洞。5個步驟，從根源上限制AI工具的權(quán)限邊界。

方案總覽

第1步：用systemd沙箱隔離進程

為什么需要這步？ 默認(rèn)情況下，AI Agent平臺進程和你的瀏覽器、編輯器跑在同一個用戶空間里。沙箱的作用是給它畫一個"圍欄"，讓它只能在圍欄內(nèi)活動，碰不到圍欄外的東西。

創(chuàng)建systemd服務(wù)文件：

sudo nano /etc/systemd/system/ai-agent.service

寫入以下配置：

[Unit]
Description=AI Agent平臺 AI Service (Sandboxed)
After=network.target

[Service]
Type=simple
User=ai-agent
Group=ai-agent
WorkingDirectory=/opt/ai-agent

# 沙箱核心配置
ProtectSystem=strict
ProtectHome=yes
PrivateTmp=yes
PrivateDevices=yes
NoNewPrivileges=yes

# 只允許訪問必要目錄
ReadWritePaths=/opt/ai-agent/data
ReadOnlyPaths=/opt/ai-agent/models

ExecStart=/opt/ai-agent/bin/ai-agent serve --config /opt/ai-agent/config.yaml
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

每行配置的含義：

• ProtectSystem=strict：系統(tǒng)目錄（/usr、/boot等）全部只讀，龍蝦改不了系統(tǒng)文件
• ProtectHome=yes：禁止訪問/home下的用戶目錄，你的文檔、桌面都安全
• PrivateTmp=yes：給進程一個獨立的/tmp目錄，看不到其他程序的臨時文件
• PrivateDevices=yes：屏蔽/dev下的硬件設(shè)備，防止讀取攝像頭、U盤等
• NoNewPrivileges=yes：禁止進程通過setuid等方式提權(quán)

創(chuàng)建專用用戶并啟動：

# 創(chuàng)建專用用戶，禁止登錄
sudo useradd -r -s /usr/sbin/nologin ai-agent

# 設(shè)置目錄權(quán)限
sudo chown -R ai-agent:ai-agent /opt/ai-agent

# 啟用服務(wù)
sudo systemctl daemon-reload
sudo systemctl enable --now ai-agent.service

驗證沙箱是否生效：

# 以ai-agent用戶身份嘗試讀取敏感文件
sudo -u ai-agent cat /etc/shadow
# 預(yù)期輸出：Permission denied

# 查看服務(wù)狀態(tài)
systemctl status ai-agent.service
# 確認(rèn) Active: active (running)

第2步：限制網(wǎng)絡(luò)訪問

為什么需要這步？ 龍蝦模型本身不需要訪問外網(wǎng)。如果它被誘導(dǎo)發(fā)起網(wǎng)絡(luò)請求（比如把你的信息發(fā)到某個服務(wù)器），后果不堪設(shè)想。

在service文件的[Service]段添加：

# 限制網(wǎng)絡(luò)訪問（僅允許本地通信）
RestrictAddressFamilies=AF_UNIX
IPAddressDeny=any
IPAddressAllow=127.0.0.0/8

# 或者完全斷網(wǎng)（如果不需要API調(diào)用）
# PrivateNetwork=yes

如果你的AI Agent平臺需要調(diào)用外部API（比如用Claude做推理），可以精確放行：

# 只允許訪問特定域名
IPAddressDeny=any
IPAddressAllow=127.0.0.0/8
# 配合防火墻規(guī)則放行API地址

配合iptables做白名單：

# 只允許ai-agent用戶訪問Claude API
sudo iptables -A OUTPUT -m owner --uid-owner ai-agent -d api.anthropic.com -j ACCEPT
sudo iptables -A OUTPUT -m owner --uid-owner ai-agent -j DROP

驗證網(wǎng)絡(luò)隔離：

sudo -u ai-agent curl https://www.baidu.com
# 預(yù)期：連接失敗或超時

第3步：鎖定文件權(quán)限

為什么需要這步？ 即使有了沙箱，如果配置文件權(quán)限寬松，龍蝦仍然可能讀到不該讀的東西。最小權(quán)限原則——只給它完成任務(wù)所需的最少文件訪問權(quán)。

# 模型文件：只讀
sudo chmod 444 /opt/ai-agent/models/*
sudo chown root:ai-agent /opt/ai-agent/models

# 數(shù)據(jù)目錄：可讀寫（用于存儲對話記錄）
sudo chmod 750 /opt/ai-agent/data
sudo chown ai-agent:ai-agent /opt/ai-agent/data

# 配置文件：只讀，且不含敏感信息
sudo chmod 440 /opt/ai-agent/config.yaml
sudo chown root:ai-agent /opt/ai-agent/config.yaml

關(guān)鍵檢查： 打開config.yaml，確保里面沒有寫死API密鑰。用環(huán)境變量替代：

# 錯誤寫法
api_key: sk-ant-xxxxxx

# 正確寫法
api_key: ${OPENCLAW_API_KEY}

然后在systemd服務(wù)中注入環(huán)境變量：

EnvironmentFile=/opt/ai-agent/.env

.env文件權(quán)限設(shè)為600：

sudo chmod 600 /opt/ai-agent/.env
sudo chown root:root /opt/ai-agent/.env

第4步：屏蔽系統(tǒng)信息

為什么需要這步？ 回到開頭的案例——龍蝦泄露了運行環(huán)境信息。即使進程被沙箱隔離，模型仍可能通過/proc文件系統(tǒng)或環(huán)境變量讀取系統(tǒng)信息。

在service文件中添加：

# 隱藏系統(tǒng)信息
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectControlGroups=yes
ProcSubset=pid

# 清理環(huán)境變量
Environment=HOSTNAME=
Environment=USER=ai-agent
Environment=HOME=/opt/ai-agent
Environment=PATH=/usr/bin:/bin

驗證系統(tǒng)信息是否被屏蔽：

# 檢查/proc/cpuinfo是否可見
sudo -u ai-agent cat /proc/cpuinfo
# 在ProcSubset=pid配置下，應(yīng)返回空或錯誤

# 檢查hostname
sudo -u ai-agent hostname
# 應(yīng)返回空或默認(rèn)值，而非真實主機名

第5步：監(jiān)控異常行為

為什么需要這步？ 加固不是一勞永逸的。有人可能發(fā)現(xiàn)新的繞過方式。日志監(jiān)控幫你及時發(fā)現(xiàn)問題。

啟用審計日志：

# 安裝auditd
sudo apt install auditd

# 監(jiān)控ai-agent進程的文件訪問
sudo auditctl -w /etc/ -p r -k ai-agent_etc_access
sudo auditctl -w /home/ -p r -k ai-agent_home_access

# 查看審計日志
sudo ausearch -k ai-agent_etc_access

在systemd中啟用詳細(xì)日志：

[Service]
# 記錄所有系統(tǒng)調(diào)用
SystemCallArchitectures=native
SystemCallFilter=@system-service
SystemCallFilter=~@privileged @resources

設(shè)置日志輪轉(zhuǎn)，防止日志撐爆磁盤：

sudo nano /etc/logrotate.d/ai-agent

/var/log/ai-agent/*.log {
    daily
    rotate 7
    compress
    missingok
    notifempty
}

完整配置匯總

把上面所有配置合并，最終的ai-agent.service長這樣：

[Unit]
Description=AI Agent平臺 AI Service (Sandboxed)
After=network.target

[Service]
Type=simple
User=ai-agent
Group=ai-agent
WorkingDirectory=/opt/ai-agent

# 沙箱隔離
ProtectSystem=strict
ProtectHome=yes
PrivateTmp=yes
PrivateDevices=yes
NoNewPrivileges=yes
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectControlGroups=yes
ProcSubset=pid

# 網(wǎng)絡(luò)限制
RestrictAddressFamilies=AF_UNIX
IPAddressDeny=any
IPAddressAllow=127.0.0.0/8

# 文件權(quán)限
ReadWritePaths=/opt/ai-agent/data
ReadOnlyPaths=/opt/ai-agent/models

# 環(huán)境清理
EnvironmentFile=/opt/ai-agent/.env
Environment=HOSTNAME=
Environment=USER=ai-agent
Environment=HOME=/opt/ai-agent

# 系統(tǒng)調(diào)用限制
SystemCallArchitectures=native
SystemCallFilter=@system-service
SystemCallFilter=~@privileged @resources

ExecStart=/opt/ai-agent/bin/ai-agent serve --config /opt/ai-agent/config.yaml
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

常見問題

Q：加了沙箱后龍蝦啟動失敗怎么辦？
A：用journalctl -u ai-agent.service -e查看錯誤日志。常見原因是目錄權(quán)限不對，確保ai-agent用戶對data目錄有寫權(quán)限。

Q：完全斷網(wǎng)后還能用嗎？
A：如果用純本地模型（如Ollama部署的Llama），完全斷網(wǎng)沒問題。如果需要調(diào)用API，用iptables精確放行目標(biāo)地址。

Q：這套方案適用于其他AI工具嗎？
A：完全適用。Dify、Coze本地版、任何本地部署的AI服務(wù)都可以套用這個systemd沙箱模板，只需修改ExecStart和目錄路徑。

下一步學(xué)習(xí)

• 想深入了解Linux安全機制：man systemd.exec，里面有100+個安全相關(guān)的配置項
• 想部署本地大模型：參考Ollama本地部署教程
• 想了解提示詞注入防御：參考AI安全防護指南

記住：AI工具本身是中性的，權(quán)限配置才是安全的關(guān)鍵。 花10分鐘做好加固，省去10天處理泄露的麻煩。