 wunianxiao
|
a2f88b9b01
|
fix(sandbox): 容器不可用自动降级 + clean_expired 并发回归测试
P1-1 降级机制:
- sandbox 新增 DEGRADED 全局标志，ensure_container 失败时置位
- 新增 ensure_ready_or_degrade: exec 前检测容器运行状态，
不在则重建，重建失败置降级标志并返回 false
- executor 调用 ensure_ready_or_degrade，降级时回退本地执行
（审批已在入口完成，安全边界不受影响）
- spawn_child 保留 spawn 级失败兜底（docker 二进制缺失等）
- 解决: IAS_DOCKER_SANDBOX=1 但 docker 异常时工具不再持续 SpawnFailed
P1-2 并发回归测试:
- approval 新增 create_with_ttl 测试入口（cfg(test)）
- clean_expired_only_removes_expired_entries: 验证只删过期条目
- clean_expired_safe_when_no_pending: 空 pending 不 panic
- clean_expired_skips_entries_already_removed_by_reply:
回归保护——clean_expired 第一阶段收集 hash 后、第二阶段删除前，
条目被 handle_reply 提前移除时，按 hash 查找应安全跳过不误删
P2-5 容器崩溃恢复:
- ensure_ready_or_degrade 统一处理容器崩溃重建
- recover_if_crashed 保留供 spawn 级失败兜底调用
P2-6 build_exec_cmd 用 spec.tool 替代 path 文件名提取，消除隐式耦合
验证: 28 测试通过（原25+3），clippy 22<基线23 无新增警告，
端到端验证容器重建/降级/本地三种路径均正确。
|
2026-06-22 17:46:48 +08:00 |
|
|
wunianxiao
|
142efb070f
|
refactor(sandbox): 长期容器 + docker exec 替代一次性 docker run
容器策略从"每次 docker run 一次性容器"改为"长期容器 + docker exec"：
- 统一产物目录 tools/bin/：build.sh 和 tool_manager 编译后复制产物到
此目录，registry 解析路径优先用 tools/bin/<tool>。
- 长期容器 ias-sandbox：daemon 启动时 ensure（已运行则复用），
tools/bin 只读挂载到 /tools，无网络/只读根/cap-drop ALL/资源限制。
- docker exec 调用：工具执行改为 docker exec -i ias-sandbox
timeout -k 5 <secs> /tools/<name>，省去容器创建开销。
timeout -k 5 确保超时 SIGTERM→SIGKILL，无孤儿进程。
- 新增 src/tools/sandbox.rs：ensure_container + build_exec_cmd。
- executor 删除 build_docker_cmd/sandbox_enabled，docker 分支改用
sandbox::build_exec_cmd。
- env 按 spec 白名单 -e 注入（容器启动时仅有 PATH）。
验证：本地执行 hostname=debian，docker exec hostname=容器ID，
证明确实走长期容器 exec；25 测试通过。
|
2026-06-22 17:11:05 +08:00 |
|
|
wunianxiao
|
092f3b78f2
|
refactor(sandbox): 按威胁模型精确化——仅不受信任代码进容器
http/db 类工具的子进程是瘦壳（纯计算），危险操作全在受信任主进程，
套容器是纯开销无隔离收益。调整为：
- 开发者预写工具：移除 spec 的 sandbox: profile: stdio，回默认 local
本地执行（仍保留 env_clear + 白名单注入）
- tool_manager 产出的工具：spec_yaml 自动写 sandbox: profile: stdio，
不受信任代码（LLM 提供 rust_code）默认进 stdio 容器
- tool_manager 编译：仍走 builder 容器
- 移除 ias-network-runner Dockerfile（当前无工具直接联网）
- executor docker 分支仅保留 stdio/builder，删 network 分支
验证：datetime 本地执行 +08:00；tool_manager 产出工具 spec 含
sandbox: profile: stdio 且容器内执行成功；25 测试通过。
|
2026-06-22 16:53:36 +08:00 |
|
|
wunianxiao
|
20f7c3ba9c
|
feat(sandbox): Docker 一次性容器执行隔离边界（步骤 6-7）
引入两类安全边界：统一审批=授权边界（上一提交），一次性 Docker
容器=执行隔离边界（本提交）。LLM 即使执行恶意代码也只能在受限容器
内运行。
spec.rs: 新增 SandboxSpec（profile/network/memory/cpus/pids_limit/
read_only），默认 profile=local 不启用容器。
executor.rs: 按 sandbox.profile 选择执行后端
- local: 本地 spawn（env_clear + 白名单注入）
- stdio: ias-stdio-runner，--network none --read-only --cap-drop ALL
--security-opt no-new-privileges，仅 bind mount 工具二进制(ro)+tmpfs /tmp
- network: ias-network-runner（预留自行联网工具）
- builder: ias-tool-builder（供 tool_manager 编译）
全局开关 IAS_DOCKER_SANDBOX=1，未启用时行为不变（向后兼容）。
tool_manager: build_tool 支持 IAS_DOCKER_BUILDER=1 在 ias-tool-builder
容器内离线编译（--network none，挂载 tool_dir 到 /work）。
docker/: 三类 Dockerfile + build-images.sh 构建脚本。
- stdio-runner: debian-slim + ca-certificates，无网络只读
- network-runner: 预留联网工具
- tool-builder: rust:1.88-slim 预缓存 serde_json，支持离线编译
spec 迁移: 17 个普通工具追加 sandbox.profile: stdio；tool_manager
保持 local（自身在宿主操作文件系统）。
端到端验证: datetime 工具本地模式 +08:00，Docker 模式 +00:00（UTC），
--rm 无容器残留。
|
2026-06-22 11:38:42 +08:00 |
|
|
wunianxiao
|
4f80e81b0b
|
security(executor): 统一工具级审批 + env 白名单 + 结构化结果
P0-1 统一审批: 高风险工具在 spawn 前统一走审批，与后续消息类型
(result/http/db) 无关，堵住 stdio→result 绕过审批的漏洞。
移除 http/db 分支内重复审批（入口已授权）。
P0-4 env 白名单: spawn 前 cmd.env_clear()，仅注入 PATH + spec 声明
的 env 变量，避免工具读取宿主全部 API key/数据库密码。
tool_manager spec 补充 HOME/CARGO_HOME/RUSTUP_HOME 供 cargo 使用。
P1-10 结构化结果: 引入 ToolRunOutcome{Ok,Err{kind,message}} 与
ToolErrorKind 枚举，executor/registry dispatch 返回结构化结果。
daemon 与 CLI 据此判断成败，删除脆弱的 is_tool_error 字符串前缀
匹配；失败时记录 kind 便于追踪。
|
2026-06-22 10:47:01 +08:00 |
|
|
wunianxiao
|
99c1e9cd6c
|
Refactor tool execution pipeline
|
2026-06-21 14:30:40 +08:00 |
|