تأمين وكلاء الذكاء الاصطناعي على كوبرنيتس: دليل مهندسي المنصات لإنشاء بيئات تشغيل معزولة

لماذا يحتاج وكلاء الذكاء الاصطناعي إلى بيئات تشغيل معزولة؟

لا تقتصر أعمال وكلاء الذكاء الاصطناعي (AI Agents) على استدعاء واجهات البرمجة السحابية فقط، بل تتعداها إلى تشغيل أوامر السطر البرمجي، وتثبيت الحزم، وقراءة الملفات، وفتح اتصالات شبكية مباشرة. وفي كثير من الحالات، يتصرف الوكيل بناءً على نصوص غير موثوقة تم جلبها من الإنترنت قبل لحظات، مما يجعله بمثابة كود غير موثوق يحمل بيانات اعتماد حقيقية داخل البنية التحتية.

يوفر مشروع OpenShell، الذي بدأته شركة NVIDIA وانضم إلى مشروعات الحاضنة (Sandbox) في مؤسسة CNCF، بيئة تشغيل آمنة للوكلاء عبر عزل كل وكيل داخل حاوية مخصصة. ويعتمد النظام على مشرف موثوق (Supervisor) خارج البيئة المعزولة للتحكم في الصلاحيات عبر أربعة محاور أساسية تنص عليها ملفات YAML:

• نظام الملفات: تقييد المسارات القابلة للقراءة والكتابة باستخدِم تقنية Landlock في نواة لينكس، بحيث تكون مسارات مثل /usr و/etc للقراءة فقط.
• إدارة العمليات: تجريد الحاوية من صلاحيات الجذر (non-root) وإلغاء جميع قدرات النواة وتطبيق قواعد seccomp قبل بدء التشغيل.
• التحكم في الشبكة: حظر حركة المرور الخارجية افتراضياً، مع السماح بنطاقات محددة حسب اسم الملف التنفيذي والمضيف والمفهوم والمنفذ.
• بيانات الاعتماد: إخفاء المفاتيح الحقيقية عن الوكيل واستبدالها برحلات مؤقتة يتولاها المشرف فقط عند الاتصال بالنقاط المصرح بها.

كيفية عمل البيئة المعزولة في بيئة كوبرنيتس

على مستوى كوبرنيتس، لا يحتوي OpenShell على مجدول خاص، بل يستفيد من مشروع Agent Sandbox التابع للمجموعة الاستشارية SIG Apps. ويتولى مدخل OpenShell Gateway إدارة دورة حياة البيئة، بينما يحول Agent Sandbox هذه الطلبات إلى موارد كوبرنيتس قياسية مثل Pods وServices وPVCs وNetworkPolicies.

تبدأ الدورة بإرسال طلب إنشاء بيئة معزولة عبر بروتوكول mTLS إلى Gateway، حيث يتم التثبت من هوية المتصل وترجمة السياسات وإلغاء أي إعدادات غير آمنة. بعد ذلك، تُنشأ سياسات الشبكة لحظر الحركة الخارجية للوكيل واقتصار الاتصال الداخلي على المشرف فقط عبر المنفذ 5500. وفي الخطوة التالية، يتعين على المشرف التحقق من خصائص الأمان للـ Pod المُنشأ، مثل التأكد من عدم استخدام صلاحيات جذر أو مشاركة مساحات أسماء المضيف، قبل رفع قيود الجدولة وبدء تشغيل وكيل الذكاء الاصطناعي.

مقارنة بين OpenShell و Agent Substrate

يوجد مشروع آخر ضمن CNCF يقدم حلاً مشابهاً وهو Agent Substrate. ورغم أن كلا المشروعين يهدفان لعزل وكلاء الذكاء الاصطناعي على كوبرنيتس، إلا أنهما يختلفان جوهرياً في البنية التحتية وحالات الاستخدام:

• دقة السياسات: يفحص OpenShell كل طلب شبكي عند المشرف المخصص لبيئة واحدة، مما يتيح مثلاً قراءة القضايا من GitHub ومنع إنشاء قضايا جديدة باستخدام نفس الأداة. بينما يحلل Substrate الترافيك عند بوابة خروج مشتركة (Egress Gateway) بناءً على النطاق والمضيف.
• الرؤية داخل كوبرنيتس: تُعتبر كل بيئة معزولة في OpenShell مجموعة من الموارد التي يمكن معاينتها وإدارتها عبر أدوات كوبرنيتس الأصلية وRBAC. في المقابل، يحتفظ Substrate بالنماذج والسياسات داخل قاعدة بيانات PostgreSQL خاصة به بعيداً عن خادم API لكوبرنيتس.
• نموذج العزل وقابلية التوسع: يتطلب Substrate تقنيات عزل صارمة مثل gVisor أو Cloud Hypervisor لتمكين إيقاف واستئناف الحاويات الخاملة لتوفير التكلفة، بينما يقدم OpenShell حاويات لينكس قياسية مع إمكانية دمج تقنيات عزل أشد عند الحاجة.

تعزيز الأمان باستخدام محرّك Kyverno

بينما يتحكم OpenShell في السلوك الداخلي للوكيل، تأتي محركات السياسات مثل Kyverno لضمان عدم التلاعب بموارد كوبرنيتس ذاتها عند القبول (Admission Control). يضمن Kyverno التحقق من تثبيت إصدارات الصور البرمجية (Image Digests)، وتحديد الحدود القصوى لاستخدام المعالج والذاكرة، ومنع منح صلاحيات موسعة لأدوار RBAC الخاصة بالمشرفين.

بالإضافة إلى ذلك، تتيح أدوات مراقبة النواة القائمة على eBPF، مثل Runtime for Kyverno، اكتشاف أدوات الذكاء الاصطناعي غير المصرح بها داخل العناقيد، مثل تشغيل عملاء CLI أو الاتصال بنماذج خارجية دون المرور عبر بوابات الأمان المعتمدة.

ما الذي يتغير عملياً لمهندسي المنصات؟

فرض الأمن على تطبيقات الذكاء الاصطناعي لم يعد يقتصر على تأمين واجهات البرمجة API فقط، بل يمتد إلى سياق التشغيل الفعلي للكود داخل الحاويات. يمنح مشروع OpenShell فرق المنصات القدرة على التحكم الدقيق في مستوى الطبقة السابعة (L7) لكل عملية ينفذها الوكيل، بينما يضمن التكامل مع Kyverno الحفاظ على معايير الحوكمة والامتثال البنيوي داخل بيئات كوبرنيتس دون تعقيد تشغيلي إضافي.