AI Agent平臺權限失控致隱私泄露：5步加固方案（含systemd沙箱配置）

這事兒怎么發生的？

先說個真事兒。2026年3月，一位"養蝦人"在群里分享了自己的AI Agent平臺龍蝦模型。本來是技術交流的好事，結果有人開始跟他的龍蝦聊天，三言兩語就套出了運行電腦的型號、系統環境，甚至通過模型間接推斷出了主人的姓名和工作單位。

問題出在哪？AI Agent平臺默認配置下，模型進程擁有幾乎完整的系統訪問權限——能讀文件、能訪問網絡、能執行命令。一旦有人通過提示詞注入（prompt injection）誘導模型泄露環境信息，你的隱私就裸奔了。

這篇文章幫你堵上這個漏洞。5個步驟，從根源上限制AI工具的權限邊界。

方案總覽

第1步：用systemd沙箱隔離進程

為什么需要這步？ 默認情況下，AI Agent平臺進程和你的瀏覽器、編輯器跑在同一個用戶空間里。沙箱的作用是給它畫一個"圍欄"，讓它只能在圍欄內活動，碰不到圍欄外的東西。

創建systemd服務文件：

sudo nano /etc/systemd/system/ai-agent.service

寫入以下配置：

[Unit]
Description=AI Agent平臺 AI Service (Sandboxed)
After=network.target

[Service]
Type=simple
User=ai-agent
Group=ai-agent
WorkingDirectory=/opt/ai-agent

# 沙箱核心配置
ProtectSystem=strict
ProtectHome=yes
PrivateTmp=yes
PrivateDevices=yes
NoNewPrivileges=yes

# 只允許訪問必要目錄
ReadWritePaths=/opt/ai-agent/data
ReadOnlyPaths=/opt/ai-agent/models

ExecStart=/opt/ai-agent/bin/ai-agent serve --config /opt/ai-agent/config.yaml
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

每行配置的含義：

• ProtectSystem=strict：系統目錄（/usr、/boot等）全部只讀，龍蝦改不了系統文件
• ProtectHome=yes：禁止訪問/home下的用戶目錄，你的文檔、桌面都安全
• PrivateTmp=yes：給進程一個獨立的/tmp目錄，看不到其他程序的臨時文件
• PrivateDevices=yes：屏蔽/dev下的硬件設備，防止讀取攝像頭、U盤等
• NoNewPrivileges=yes：禁止進程通過setuid等方式提權

創建專用用戶并啟動：

# 創建專用用戶，禁止登錄
sudo useradd -r -s /usr/sbin/nologin ai-agent

# 設置目錄權限
sudo chown -R ai-agent:ai-agent /opt/ai-agent

# 啟用服務
sudo systemctl daemon-reload
sudo systemctl enable --now ai-agent.service

驗證沙箱是否生效：

# 以ai-agent用戶身份嘗試讀取敏感文件
sudo -u ai-agent cat /etc/shadow
# 預期輸出：Permission denied

# 查看服務狀態
systemctl status ai-agent.service
# 確認 Active: active (running)

第2步：限制網絡訪問

為什么需要這步？ 龍蝦模型本身不需要訪問外網。如果它被誘導發起網絡請求（比如把你的信息發到某個服務器），后果不堪設想。

在service文件的[Service]段添加：

# 限制網絡訪問（僅允許本地通信）
RestrictAddressFamilies=AF_UNIX
IPAddressDeny=any
IPAddressAllow=127.0.0.0/8

# 或者完全斷網（如果不需要API調用）
# PrivateNetwork=yes

如果你的AI Agent平臺需要調用外部API（比如用Claude做推理），可以精確放行：

# 只允許訪問特定域名
IPAddressDeny=any
IPAddressAllow=127.0.0.0/8
# 配合防火墻規則放行API地址

配合iptables做白名單：

# 只允許ai-agent用戶訪問Claude API
sudo iptables -A OUTPUT -m owner --uid-owner ai-agent -d api.anthropic.com -j ACCEPT
sudo iptables -A OUTPUT -m owner --uid-owner ai-agent -j DROP

驗證網絡隔離：

sudo -u ai-agent curl https://www.baidu.com
# 預期：連接失敗或超時

第3步：鎖定文件權限

為什么需要這步？ 即使有了沙箱，如果配置文件權限寬松，龍蝦仍然可能讀到不該讀的東西。最小權限原則——只給它完成任務所需的最少文件訪問權。

# 模型文件：只讀
sudo chmod 444 /opt/ai-agent/models/*
sudo chown root:ai-agent /opt/ai-agent/models

# 數據目錄：可讀寫（用于存儲對話記錄）
sudo chmod 750 /opt/ai-agent/data
sudo chown ai-agent:ai-agent /opt/ai-agent/data

# 配置文件：只讀，且不含敏感信息
sudo chmod 440 /opt/ai-agent/config.yaml
sudo chown root:ai-agent /opt/ai-agent/config.yaml

關鍵檢查： 打開config.yaml，確保里面沒有寫死API密鑰。用環境變量替代：

# 錯誤寫法
api_key: sk-ant-xxxxxx

# 正確寫法
api_key: ${OPENCLAW_API_KEY}

然后在systemd服務中注入環境變量：

EnvironmentFile=/opt/ai-agent/.env

.env文件權限設為600：

sudo chmod 600 /opt/ai-agent/.env
sudo chown root:root /opt/ai-agent/.env

第4步：屏蔽系統信息

為什么需要這步？ 回到開頭的案例——龍蝦泄露了運行環境信息。即使進程被沙箱隔離，模型仍可能通過/proc文件系統或環境變量讀取系統信息。

在service文件中添加：

# 隱藏系統信息
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectControlGroups=yes
ProcSubset=pid

# 清理環境變量
Environment=HOSTNAME=
Environment=USER=ai-agent
Environment=HOME=/opt/ai-agent
Environment=PATH=/usr/bin:/bin

驗證系統信息是否被屏蔽：

# 檢查/proc/cpuinfo是否可見
sudo -u ai-agent cat /proc/cpuinfo
# 在ProcSubset=pid配置下，應返回空或錯誤

# 檢查hostname
sudo -u ai-agent hostname
# 應返回空或默認值，而非真實主機名

第5步：監控異常行為

為什么需要這步？ 加固不是一勞永逸的。有人可能發現新的繞過方式。日志監控幫你及時發現問題。

啟用審計日志：

# 安裝auditd
sudo apt install auditd

# 監控ai-agent進程的文件訪問
sudo auditctl -w /etc/ -p r -k ai-agent_etc_access
sudo auditctl -w /home/ -p r -k ai-agent_home_access

# 查看審計日志
sudo ausearch -k ai-agent_etc_access

在systemd中啟用詳細日志：

[Service]
# 記錄所有系統調用
SystemCallArchitectures=native
SystemCallFilter=@system-service
SystemCallFilter=~@privileged @resources

設置日志輪轉，防止日志撐爆磁盤：

sudo nano /etc/logrotate.d/ai-agent

/var/log/ai-agent/*.log {
    daily
    rotate 7
    compress
    missingok
    notifempty
}

完整配置匯總

把上面所有配置合并，最終的ai-agent.service長這樣：

[Unit]
Description=AI Agent平臺 AI Service (Sandboxed)
After=network.target

[Service]
Type=simple
User=ai-agent
Group=ai-agent
WorkingDirectory=/opt/ai-agent

# 沙箱隔離
ProtectSystem=strict
ProtectHome=yes
PrivateTmp=yes
PrivateDevices=yes
NoNewPrivileges=yes
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectControlGroups=yes
ProcSubset=pid

# 網絡限制
RestrictAddressFamilies=AF_UNIX
IPAddressDeny=any
IPAddressAllow=127.0.0.0/8

# 文件權限
ReadWritePaths=/opt/ai-agent/data
ReadOnlyPaths=/opt/ai-agent/models

# 環境清理
EnvironmentFile=/opt/ai-agent/.env
Environment=HOSTNAME=
Environment=USER=ai-agent
Environment=HOME=/opt/ai-agent

# 系統調用限制
SystemCallArchitectures=native
SystemCallFilter=@system-service
SystemCallFilter=~@privileged @resources

ExecStart=/opt/ai-agent/bin/ai-agent serve --config /opt/ai-agent/config.yaml
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

常見問題

Q：加了沙箱后龍蝦啟動失敗怎么辦？
A：用journalctl -u ai-agent.service -e查看錯誤日志。常見原因是目錄權限不對，確保ai-agent用戶對data目錄有寫權限。

Q：完全斷網后還能用嗎？
A：如果用純本地模型（如Ollama部署的Llama），完全斷網沒問題。如果需要調用API，用iptables精確放行目標地址。

Q：這套方案適用于其他AI工具嗎？
A：完全適用。Dify、Coze本地版、任何本地部署的AI服務都可以套用這個systemd沙箱模板，只需修改ExecStart和目錄路徑。

下一步學習

• 想深入了解Linux安全機制：man systemd.exec，里面有100+個安全相關的配置項
• 想部署本地大模型：參考Ollama本地部署教程
• 想了解提示詞注入防御：參考AI安全防護指南

記住：AI工具本身是中性的，權限配置才是安全的關鍵。 花10分鐘做好加固，省去10天處理泄露的麻煩。