本地 LLM 工具存取的沙箱風險

🔑 增強重點摘要

• •研究顯示，LLM 的工具使用（Tool Use）介面常缺乏嚴格的權限最小化原則，導致模型在執行 Python 程式碼或檔案操作時，容易繼承執行環境的完整使用者權限。
• •除了檔案系統存取，針對本地 LLM 的攻擊向量已擴展至『提示注入（Prompt Injection）引發的網路請求』，攻擊者可利用模型存取內部網路服務（SSRF），繞過防火牆限制。
• •目前業界針對此問題的防禦趨勢，正從單純的容器化轉向使用 WebAssembly (Wasm) 沙箱技術，因其具備比 Docker 更細粒度的記憶體隔離與更低的啟動延遲。

🛠️ 技術深入

• •漏洞機制：OpenClaw 等工具通常透過將 LLM 的輸出直接傳遞給 exec() 或 eval() 函數來執行檔案操作，缺乏對路徑遍歷（Path Traversal）的過濾機制。
• •隔離技術對比：Docker 依賴 Linux 核心命名空間（Namespaces）與控制群組（Cgroups），但在預設配置下仍共享核心，若發生核心漏洞則易導致容器逃逸；Wasm（如 Wasmtime）則在使用者空間提供嚴格的線性記憶體隔離，不依賴核心權限。
• •防禦實踐：建議在執行環境中掛載唯讀檔案系統（Read-only Root Filesystem），並透過 seccomp 設定檔限制 LLM 執行環境可呼叫的系統呼叫（Syscalls）清單。

🔮 前景展望AI analysis grounded in cited sources