2 Commits

Author	SHA1	Message	Date
wunianxiao	092f3b78f2	refactor(sandbox): 按威胁模型精确化——仅不受信任代码进容器 ... http/db 类工具的子进程是瘦壳（纯计算），危险操作全在受信任主进程， 套容器是纯开销无隔离收益。调整为： - 开发者预写工具：移除 spec 的 sandbox: profile: stdio，回默认 local 本地执行（仍保留 env_clear + 白名单注入） - tool_manager 产出的工具：spec_yaml 自动写 sandbox: profile: stdio， 不受信任代码（LLM 提供 rust_code）默认进 stdio 容器 - tool_manager 编译：仍走 builder 容器 - 移除 ias-network-runner Dockerfile（当前无工具直接联网） - executor docker 分支仅保留 stdio/builder，删 network 分支 验证：datetime 本地执行 +08:00；tool_manager 产出工具 spec 含 sandbox: profile: stdio 且容器内执行成功；25 测试通过。	2026-06-22 16:53:36 +08:00
wunianxiao	20f7c3ba9c	feat(sandbox): Docker 一次性容器执行隔离边界（步骤 6-7） ... 引入两类安全边界：统一审批=授权边界（上一提交），一次性 Docker 容器=执行隔离边界（本提交）。LLM 即使执行恶意代码也只能在受限容器 内运行。 spec.rs: 新增 SandboxSpec（profile/network/memory/cpus/pids_limit/ read_only），默认 profile=local 不启用容器。 executor.rs: 按 sandbox.profile 选择执行后端 - local: 本地 spawn（env_clear + 白名单注入） - stdio: ias-stdio-runner，--network none --read-only --cap-drop ALL --security-opt no-new-privileges，仅 bind mount 工具二进制(ro)+tmpfs /tmp - network: ias-network-runner（预留自行联网工具） - builder: ias-tool-builder（供 tool_manager 编译） 全局开关 IAS_DOCKER_SANDBOX=1，未启用时行为不变（向后兼容）。 tool_manager: build_tool 支持 IAS_DOCKER_BUILDER=1 在 ias-tool-builder 容器内离线编译（--network none，挂载 tool_dir 到 /work）。 docker/: 三类 Dockerfile + build-images.sh 构建脚本。 - stdio-runner: debian-slim + ca-certificates，无网络只读 - network-runner: 预留联网工具 - tool-builder: rust:1.88-slim 预缓存 serde_json，支持离线编译 spec 迁移: 17 个普通工具追加 sandbox.profile: stdio；tool_manager 保持 local（自身在宿主操作文件系统）。 端到端验证: datetime 工具本地模式 +08:00，Docker 模式 +00:00（UTC）， --rm 无容器残留。	2026-06-22 11:38:42 +08:00