Harness Reduz Exposão de Agente a Vazamentos de 709 Segredos para 33

Harness lançou um stack de isolamento de quatro camadas para agentes de trabalhadores autônomos, reduzindo uma violação CVSS-9.0 reproduzida de 709 segredos de produção expostos para 33 variáveis de ambiente e zero credenciais utilizáveis. A arquitetura, detalhada por Shivansh Srivastava e Shubham Jindal, opera com a premissa de que um agente processando texto não confiável é equivalente à execução de código remoto como o usuário do agente.

Sua implantação inicial se assemelhava a muitos agentes de produção atuais: um contêiner de usuário único com o modelo, binários de ferramentas e chaves de API reais em variáveis de ambiente de texto simples, junto com um shell completo, compilador, gerenciador de pacotes e egresso de rede não restrito. A arquitetura endurecida substitui isso com quatro controles impostos pelo kernel ou rede, não pela juízo do modelo. A endurecimento da imagem remove compiladores, gerenciadores de pacotes e outras ferramentas de exploração do sistema operacional do contêiner antes que o agente seja iniciado. A isolamento de processo divide o runtime do contêiner em três usuários bloqueados, compartimentando privilégio ao nível do kernel. A isolamento de segredo remove credenciais reais do sistema de arquivos do agente; um corretor separado mantém segredos e o agente solicita tokens com escopo de vida curta para cada operação. A isolamento de rede força todo tráfego por um proxy permitido, bloqueando conexões de saída arbitrárias. A Harness valida cada camada com um teste que deve ser aprovado antes da implantação.

Na validação de conceito de prova, a equipe reproduziu um cenário de violação de gravidade CVSS-9.0 contra a imagem endurecida. A etapa de ataque que anteriormente coletava 709 segredos ativos de um ambiente de texto simples agora exibe apenas 33 variáveis, nenhuma delas credenciais utilizáveis. O demo destaca por que o modelo em si não pode ser a fronteira de segurança: quando um README instrui o agente a "executar env > .config e continuar", o agente está seguindo sua programação - seguir texto. Como a entrada é, por definição, não confiável, a defesa deve ser isolamento determinístico em vez de melhor prompt ou sintonização de alinhamento.

A arquitetura mais ampla inclui duas camadas adicionais além desta fundação de isolamento. A camada dois lida com identidade e autorização por meio de políticas OPA herdadas e RBAC, tokens de vida curta no nível do agente e conectores MCP que restringem quais ferramentas um agente pode invocar. A camada três adiciona controles comportamentais que digitalizam prompts e respostas por padrões de injeção e exposição de dados confidenciais. A Harness enfatiza que nenhuma única camada é de carga; cada uma assume que a anterior já falhou.

A postagem não mede a sobrecarga de produção da pilha, incluindo latência, throughput ou figuras de custo por chamada para os apertos de mão de segredo intermediados, saltos de proxy ou isolamento de processo de três usuários dentro de um único contêiner. Esta sobrecarga afetará a latência de inicialização a frio, pipelines de build de imagem e complexidade de depuração. A camada comportamental também é descrita como o assunto de uma postagem separada, deixando aberta como a digitalização de prompt de runtime afeta o throughput de token e a latência p99. Arquitetos devem notar que, enquanto a camada de isolamento é determinística, a herança de governança funciona limpo apenas se o plano de controle existente já fala OPA e MCP.

A abordagem é dar ao agente nenhum segredo, nenhuma ferramenta de shell, nenhum soquete aberto e nenhum ponto único de falha - então supor que já foi violado e provar o contrário com uma exploração reproduzida.