Edera推对象能力权限模型：AI智能体不拿密钥也能干活

Edera 发布了一套对象能力受限权限模型，主打保护自主 AI 智能体工作负载，让这类工作负载和模型上下文协议（MCP）服务器都碰不到敏感凭证。牵头的人是 Edera 联合创始人、杰出工程师 Ariadne Conill，她此前在底层开源安全技术上做过不少贡献。这套做法把细粒度的对象能力控制直接放在虚拟机监控器层执行，要解决的是企业架构里一个挺急的问题：既不让 AI 智能体拿到常规访问凭证，又得把它的活动范围卡死。所谓对象能力受限权限，就是一种在实施细粒度访问控制的同时，把自主 AI 工作负载和 MCP 服务器同敏感凭证隔开的安全模型。

现在越来越多组织把自主编码智能体和外部工具接进生产环境，结果常常把敏感的 API 令牌、云密钥、管理员访问凭证直接摊在执行环境面前。问题是，这些环境本身还可能被提示注入和供应链操纵影响。

受限权限架构的关键，是把完成任务要用的操作权限，跟执行任务所依赖的底层凭证拆开。过去做容器安全，多靠边界隔离，再往环境变量或配置文件里塞静态密钥。一旦大语言模型驱动的智能体被攻破，攻击者往往能把这些令牌抽出来，在内部系统之间横向移动。Edera 的思路是用虚拟机监控器强制执行对象能力控制，把智能体框在明确界定的操作范围里，密钥根本不进工作负载本身。举个例子，AI 编码助手可以拿到修改某个 GitHub 仓库的权限，但手里不攥个人访问令牌，这样即便被入侵，影响也严格限制在这一范围内。

为了实现这种细粒度隔离，其 Agent Runtime 框架接入了好几个运行时组件。capcurl 管的是无凭证 API 访问，获准的请求经隔离代理转发，底层认证材料不会暴露给智能体。capsudo 类似，负责限定作用域的命令执行，工作负载不用拿长期有效的管理员权限或 root 权限，也能跑特定的特权命令。再通过集成 SPIFFE 和 SPIRE，工作负载身份可以得到密码学验证，双向 TLS 连接和服务身份也能在不依赖长期静态密钥的情况下建立起来。

这些机制同样延伸到模型上下文协议服务器上。MCP 服务器把大语言模型和企业工具、数据库连在一起，自然常被当成高价值攻击目标。安全团队只要在基础设施层把对象能力定清楚，就能把 MCP 服务器限制在特定的外部资源和命令范围内。哪怕宿主模型行为异常，或者碰上提示注入漏洞，也挡得住它不受控地访问资源。这种做法把潜在入侵的影响范围从整个环境缩到离散的、针对特定任务的操作，也算对硬件强制执行的运行时隔离做了补充。

评估自主智能体的工程团队，通常得砸不少开发工作，去搭自定义的凭证处理中间件和临时拼凑的权限代理。受限权限模型想做的，是把这套控制机制下沉到虚拟机监控器和运行时层，让企业系统向行为不确定的软件授权时有个统一方式。聚焦限定作用域的命令执行和工作负载身份的初步功能已经发布；基于凭证代理的 API 访问，以及与编排器的深度集成，会在后续作为更广泛的 Project Lunchbox 计划的一部分推出。