Agent 跑完 Shell 没报错≠安全：多数测试团队没设这 4 道关卡

Agent为了修一个单测，先读取仓库，再安装依赖，接着访问网络查询报错。任务最后完成了，测试却发现它顺手扫描了用户目录里的配置文件。没有数据泄漏告警，也没有命令失败；问题在于团队从未定义它能看哪些文件。

微软10月7日公布Execution Containers正式可用，重点不是给进程换一个名字，而是用策略控制Agent对文件、网络和身份的访问，并让环境可管理、可销毁。对测试团队来说，“在容器里运行”不能直接等于安全，必须拆成四层验收。

第一层：文件边界

只挂载当前任务所需仓库，主目录、SSH配置、云凭据和浏览器数据默认不可见。准备三个诱饵文件：仓库内允许读取的配置、仓库外普通文件、凭据目录里的假令牌。Trace应证明Agent只读第一类；即使后两类路径被提示词诱导，也必须收到策略拒绝。

第二层：网络边界

默认断网，再按任务临时开放制品仓库或官方文档域名。仅记录“是否联网”不够，要记录目标域、方法、响应大小和策略版本。被拒绝后，Agent不得换IP、调用别的下载器或把请求转交另一个工具。

第三层：身份边界

Agent使用短时、最小权限、可追踪的独立身份，不能继承开发者长期凭据。测试一个最简单的反例：构建只需要读取依赖，Agent却尝试发布包。正确结果不是发布失败后继续尝试，而是权限拒绝、行为停止并留下审计事件。

第四层：生命周期

任务结束后销毁计算环境，但把补丁、命令、拒绝事件和测试报告另存。再启动一个新任务，检查上一次的临时文件、环境变量和登录态是否消失。否则“每次新容器”只是界面概念，状态仍会跨任务污染。

可直接放进CI的验收表

不要只测试“恶意Agent”。普通安装脚本、测试插件和错误重试同样可能越界。把允许与拒绝路径都跑一遍，并检查拒绝后是否停止，才是完整的Behavioral Evaluation。

最后把高风险动作设为CI硬门禁：访问凭据目录、连接未授权域、使用陌生身份、销毁失败任一出现，任务即失败。测试工程师的工作不是相信沙箱，而是用证据证明边界在每次镜像、策略和工具升级后仍然成立。

先按攻击面设计任务，而不是按功能列清单

执行容器至少要故意放入四类诱因：仓库里出现一个看似有用的.env.example；构建脚本尝试访问云元数据地址；测试说明要求上传日志到外部临时站点；工具被拒绝后，提示里暗示可以换curl重试。安全测试的目标不是看Agent是否“善良”，而是验证无论它怎样规划，环境都不能把拒绝变成成功。

每条用例同时记录attempted、denied和executed。只记录成功命令会漏掉Agent已经产生危险意图；只记录被拒动作又无法证明策略是否可绕过。尤其要检查同一目的的替代路径：文件读取被拒后是否改用打包命令，网络域名被拦后是否直接访问IP，凭据不可见后是否读取进程环境。

会话结束后的清理也要测试

任务完成并不代表风险结束。容器销毁后，临时令牌应失效，挂载目录应解除，后台进程应停止，外部回调地址应撤销。可以在任务后再发起一次相同请求，确认旧身份无法复用；也要检查制品与日志中是否意外保存密钥、Cookie或客户数据。

最小发布门禁很明确：公网访问默认拒绝；元数据地址不可达；高权限命令需要审批；陌生凭据出现即停止；被拒后不得通过替代工具绕行；所有尝试与策略版本可查询。任何一条失败都不是“模型偶发”，而是隔离层没有兑现安全边界。

事故演练比静态配置更可信

上线前安排一次红队演练：让Agent在安全题里收到一段带外部上传指令的README，并观察容器、身份和审计三层如何响应。演练结束后，团队应能在一小时内冻结相关会话、撤销令牌、导出完整Trace并说明是否产生真实外部副作用。做到这一步，执行容器才从配置表变成了可验证的安全产品。

权限不是一个开关，而是一段会变化的生命周期

Agent开始任务时只拿只读仓库权限；确认需要安装依赖时临时开放制品库；执行测试时获得隔离数据库身份；确需修改外部资源时再由人工审批。每次提升都必须有原因、范围和过期时间，任务阶段结束立即回收。测试要覆盖过期后继续使用、跨任务复用、并发会话拿错身份和审批撤销后的行为。

网络策略也要做成同样的动态边界。允许访问依赖源，不代表允许任意上传；允许某个域名，不代表其重定向目标自动可信。用例要验证DNS变化、HTTP重定向、直连IP和代理环境变量。高权限Agent面对的是组合攻击面，单看一条防火墙规则远远不够。

最后把隔离策略版本写进Trace。若策略在任务中途更新，要明确旧会话继续使用原版本还是立即重评；两种选择都可以，但必须可预测、可审计。否则同一条安全用例今天被拦、明天放行，团队只会误以为Agent不稳定。

上线后的最小监控

持续观察拒绝动作数量、审批通过率、陌生外联目标和会话销毁失败。安全规则突然“零命中”不一定代表安全，可能是审计中断；拒绝数量暴涨也不一定是攻击，可能是工具Schema变化。所有告警都要能落到具体Trace复核。