wunianxiao/iAs - iAs - Gitea: Git with a cup of tea

wunianxiao/iAs

Fork 0

Commit Graph

Author	SHA1	Message	Date
wunianxiao	cacd4436ce	fix(sandbox): builder 容器 --user uid:gid + 离线模式，修 cap-drop 写权限步骤 9: tool_manager build 迁移到 builder 容器验证通过。问题: --cap-drop ALL 丢掉 CAP_DAC_OVERRIDE，容器内 root 无法写 bind mount 的非 root 目录（宿主 xiao:1000）。这是 cap-drop 正确生效的安全行为，非 bug。修复: - builder 容器 --user uid:gid 以宿主用户身份运行，自然能写自己的目录，同时保留 cap-drop ALL + no-new-privileges。 - Cargo.toml 改 CARGO_HOME=/tmp/cargo + chmod 777，使任意 uid 都能复用 serde_json 预缓存。 - cargo build --offline + CARGO_NET_OFFLINE=true，配合 --network none 真正离线编译，杜绝恶意代码下载依赖。端到端: tool_manager create_tool → builder 容器离线编译 → 产物运行成功，审计日志记录正确。	2026-06-22 11:49:31 +08:00
wunianxiao	20f7c3ba9c	feat(sandbox): Docker 一次性容器执行隔离边界（步骤 6-7）引入两类安全边界：统一审批=授权边界（上一提交），一次性 Docker 容器=执行隔离边界（本提交）。LLM 即使执行恶意代码也只能在受限容器内运行。 spec.rs: 新增 SandboxSpec（profile/network/memory/cpus/pids_limit/ read_only），默认 profile=local 不启用容器。 executor.rs: 按 sandbox.profile 选择执行后端 - local: 本地 spawn（env_clear + 白名单注入） - stdio: ias-stdio-runner，--network none --read-only --cap-drop ALL --security-opt no-new-privileges，仅 bind mount 工具二进制(ro)+tmpfs /tmp - network: ias-network-runner（预留自行联网工具） - builder: ias-tool-builder（供 tool_manager 编译）全局开关 IAS_DOCKER_SANDBOX=1，未启用时行为不变（向后兼容）。 tool_manager: build_tool 支持 IAS_DOCKER_BUILDER=1 在 ias-tool-builder 容器内离线编译（--network none，挂载 tool_dir 到 /work）。 docker/: 三类 Dockerfile + build-images.sh 构建脚本。 - stdio-runner: debian-slim + ca-certificates，无网络只读 - network-runner: 预留联网工具 - tool-builder: rust:1.88-slim 预缓存 serde_json，支持离线编译 spec 迁移: 17 个普通工具追加 sandbox.profile: stdio；tool_manager 保持 local（自身在宿主操作文件系统）。端到端验证: datetime 工具本地模式 +08:00，Docker 模式 +00:00（UTC）， --rm 无容器残留。	2026-06-22 11:38:42 +08:00

Author

SHA1

Message

Date

wunianxiao

cacd4436ce

fix(sandbox): builder 容器 --user uid:gid + 离线模式，修 cap-drop 写权限

步骤 9: tool_manager build 迁移到 builder 容器验证通过。

问题: --cap-drop ALL 丢掉 CAP_DAC_OVERRIDE，容器内 root 无法写
      bind mount 的非 root 目录（宿主 xiao:1000）。
      这是 cap-drop 正确生效的安全行为，非 bug。

修复:
- builder 容器 --user uid:gid 以宿主用户身份运行，自然能写自己
  的目录，同时保留 cap-drop ALL + no-new-privileges。
- Cargo.toml 改 CARGO_HOME=/tmp/cargo + chmod 777，使任意 uid
  都能复用 serde_json 预缓存。
- cargo build --offline + CARGO_NET_OFFLINE=true，配合 --network
  none 真正离线编译，杜绝恶意代码下载依赖。

端到端: tool_manager create_tool → builder 容器离线编译 →
产物运行成功，审计日志记录正确。

2026-06-22 11:49:31 +08:00

wunianxiao

20f7c3ba9c

feat(sandbox): Docker 一次性容器执行隔离边界（步骤 6-7）

引入两类安全边界：统一审批=授权边界（上一提交），一次性 Docker
容器=执行隔离边界（本提交）。LLM 即使执行恶意代码也只能在受限容器
内运行。

spec.rs: 新增 SandboxSpec（profile/network/memory/cpus/pids_limit/
  read_only），默认 profile=local 不启用容器。
executor.rs: 按 sandbox.profile 选择执行后端
  - local: 本地 spawn（env_clear + 白名单注入）
  - stdio: ias-stdio-runner，--network none --read-only --cap-drop ALL
    --security-opt no-new-privileges，仅 bind mount 工具二进制(ro)+tmpfs /tmp
  - network: ias-network-runner（预留自行联网工具）
  - builder: ias-tool-builder（供 tool_manager 编译）
  全局开关 IAS_DOCKER_SANDBOX=1，未启用时行为不变（向后兼容）。
tool_manager: build_tool 支持 IAS_DOCKER_BUILDER=1 在 ias-tool-builder
  容器内离线编译（--network none，挂载 tool_dir 到 /work）。
docker/: 三类 Dockerfile + build-images.sh 构建脚本。
  - stdio-runner: debian-slim + ca-certificates，无网络只读
  - network-runner: 预留联网工具
  - tool-builder: rust:1.88-slim 预缓存 serde_json，支持离线编译
spec 迁移: 17 个普通工具追加 sandbox.profile: stdio；tool_manager
  保持 local（自身在宿主操作文件系统）。

端到端验证: datetime 工具本地模式 +08:00，Docker 模式 +00:00（UTC），
  --rm 无容器残留。

2026-06-22 11:38:42 +08:00

2 Commits