AI代理容器逃逸调查：38%事故靠配置残留，非内核0-day漏洞

在过去的几个月里，我们对109起自主AI代理安全事件（收录了跨工具使用和多代理系统的193条证伪标准）进行了实证事后调查。

数据集中最引人注目的模式之一是：
在38%的容器逃逸中，攻击者和失衡的多步骤代理并没有利用复杂的Linux内核漏洞或虚拟机监控程序0-day漏洞。相反，逃逸向量是琐碎的配置残留：

1. 将/var/run/docker.sock挂载到编码/评估代理沙箱中，以便让它们“构建Docker镜像”。
2. 将父环境变量（API密钥、云令牌、GitHub凭证）直接传递给生成的子代理。
3. 缺乏跨工具输出的严格污点跟踪，导致通过间接提示注入劫持监督者的执行路径（经典的困惑代理问题）。
4. 不受约束的本地套接字绑定，允许针对内部编排器进行SSRF攻击。

我们汇编了完整的数据集（109起事件，199项评估指标），并构建了一个开源的多代理监督者安全防护框架，具备：
- 正式的工具污点传播（未经消毒器验证，受污染的输出不能流入高权限工具参数）。
- 严格的执行边界控制，防止容器套接字暴露。
- 可针对代理运行时测试的自动化复现基准。

所有数据集、两页执行摘要和可复现的基准测试均以开放获取/Apache 2.0许可发布。

我已将GitHub仓库基准和Zenodo DOI数据集链接发布在下方评论中，以遵守子版块的自推广指南。

很想知道部署了自主代理的团队们的看法：你们在规划监督者和工具执行工作进程之间执行了哪些隔离边界？

―― 高票评论(帖子共 8 条讨论)――

[+3] u/doletskyisergey: GitHub仓库（多代理监督者安全防护框架与基准套件）：
https://github.com/mars2021y-gif/autonomous-ai-agent-security-incidents-2026

[+2] u/Bulky-Priority6824: 第4条是常见的失误。

[+1] u/doletskyisergey: 永久Zenodo开放获取专著与数据集（DOI: 10.5281/zenodo.22737862）：
https://zenodo.org/records/14888806
https://doi.org/10.5281/zenodo.22737862

[+-1] u/DinoAmino: 光鲜的新0-day 0 karma机器人今天吃得很开心。我认为MODs欠本版一个解释。