ការ Sandbox Agent៖ ភាពឯកោជា runtime security layer ថ្មី

ការសន្ទនាភាគច្រើនអំពី agent security គឺអំពី ការការពារ៖ របៀបបញ្ឈប់ instruction អាក្រក់ — លាក់ក្នុង web page, ឯកសារ, tool result — ពីការ hijack agent របស់អ្នក។ វាជាសភាវគតិត្រឹមត្រូវ ហើយការស្រាវជ្រាវឆ្នាំ ២០២៦ មានចម្លើយដ៏មិនស្រួលយ៉ាងជ្រៅចំពោះវា។ អ្នកប្រហែលជាមិនអាចទេ។ មិនមែនដោយជឿជាក់ មិនមែនប្រឆាំងនឹងអ្នកវាយប្រហារដែលមានចេតនា ហើយប្រហែលជាមិនដែលឡើយ។ ដែលមានន័យថាសំណួរ security ដែលសមនឹងការយកចិត្តទុកដាក់របស់អ្នកភាគច្រើនមិនមែនជា “តើខ្ញុំបញ្ឈប់ injection យ៉ាងណា?” វាជា “ពេល injection ចុះមកដល់ តើ agent អាចបំផ្លាញបានប៉ុន្មានពិតប្រាកដ?”

ការ reframe នោះ — ពីការការពារទៅការ containment — ជាការផ្លាស់ប្ដូរដែលធ្វើឱ្យ ភាពឯកោជា security layer ដែលផ្ទុកទម្ងន់ នៃ agentic stack។ មិនមែនជា layer តែមួយទេ ប៉ុន្តែជា layer ដែលនៅជាប់ពេល layer ផ្សេងបរាជ័យ។

Defense ដែលមិនអាចឈ្នះពេញលេញ

ចាប់ផ្ដើមជាមួយរបៀបដែលបញ្ហាការពារពិតជាអាក្រក់ ព្រោះវាបញ្ជាក់អ្វីៗគ្រប់យ៉ាងដែលតាមមក។ ការវិភាគជាប្រព័ន្ធឆ្នាំ ២០២៦ មួយនៃ prompt injection ប្រឆាំងនឹង agentic coding assistant — ដាក់ឈ្មោះ Claude Code, GitHub Copilot, និង Cursor ដោយផ្ទាល់ (arXiv 2601.17548) — បាន run meta-analysis នៃ 78 studies ពីឆ្នាំ 2021–2026 ហើយឈានដល់សេចក្ដីសន្និដ្ឋានដ៏ត្រង់៖ attack success rate ប្រឆាំងនឹង defense ទំនើបបំផុតលើសពី 85% នៅពេលប្រើ adaptive attack strategy។ វាចុះបញ្ជី 42 techniques វាយប្រហារផ្សេងគ្នា ហើយក្នុងចំណោម 18 defenses ដែលវាបានពិនិត្យ “ភាគច្រើនសម្រេចបាន mitigation តិចជាង 50% ប្រឆាំងនឹង adaptive attack ដ៏ស្មុគស្មាញ”។

វាកាន់តែជាមូលដ្ឋាន។ ឯកសារឆ្នាំ ២០២៦ ទីពីរ (arXiv 2605.17634) បើកដោយនិយាយត្រង់ៗថា “prompt injection ជាភាពងាយរងគ្រោះសំខាន់បំផុតក្នុង AI agent ដែលបាន deploy” ហើយបន្ទាប់មកអះអាងអ្វីដែលខ្លាំងជាង “defense បច្ចុប្បន្នខ្សោយ”។ វាផ្ដល់ impossibility result៖ ព្រោះព្រំដែនរវាង instruction ស្របច្បាប់ និងអាក្រក់គឺពឹងលើបរិបទ “អ្នកវាយប្រហារតែងតែអាចសាងសង់បរិបទមួយដែលក្រោមនោះ flow ដែលត្រូវបាន block មើលទៅស្របច្បាប់ ឬ defender ដែលដាក់តឹងតែង norm នឹង block flow ដែលស្របច្បាប់ពិតប្រាកដ”។ ម្យ៉ាងវិញទៀត បញ្ហាការពារមិនមែនមិនទាន់ដោះស្រាយព្រោះយើងមិនទាន់ឆ្លាតគ្រប់គ្រាន់ទេ។ មានអំណះអំណាងជាគោលការណ៍ថាវា មិនអាច ដោះស្រាយបានពេញលេញនៅ instruction layer ដោយមិនបំផ្លាញប្រយោជន៍របស់ agent។

អ្នកមិនគួរអាននេះថា “បោះបង់ការការពារ”។ អ្នកគួរអានវាថា “ការការពារនឹងលេច ដោយការរចនា — ដូច្នេះសាងសង់សម្រាប់ការលេច”។

ឈប់សួរ “តើយើងអាច block វាបានទេ?” — សួរ “តើ blast radius ប៉ុន្មាន?”

ពេលអ្នកទទួលយកថា injection ផ្នែកខ្លះនឹងឆ្លងកាត់ security model ត្រឡប់។ អ្នកឈប់ព្យាយាមធានាថា agent មិនដែលធ្វើរឿងខុស ហើយអ្នកចាប់ផ្ដើម កំណត់ព្រំដែនថារឿងខុសអាចមានតម្លៃប៉ុន្មាន។ នោះជាសំណួរ blast radius ហើយវាត្រូវបានឆ្លើយដោយ runtime ដែល agent execute ក្នុង មិនមែនដោយ prompt ទេ។

ជាក់ស្ដែង៖ ពេល agent ដែលត្រូវ hijack run shell command មួយ តើ command នោះអាចឈានទៅដល់អ្វី? បើ agent execute ក្នុង production environment របស់អ្នកជាមួយ credential របស់អ្នក និង network របស់អ្នក injection ជោគជ័យជា breach។ បើវា execute ក្នុង sandbox បោះចោល មាន network កំណត់ គ្មាន credential ដែលត្រូវបំផ្លាញនៅចុងបញ្ចប់នៃ task injection ដូចគ្នាជា incident ដែលត្រូវ contained — អ្នកវាយប្រហារទទួលបានបន្ទប់ជាប់សោដែលគ្មានអ្វីខាងក្នុង។ Injection ដូចគ្នា model ដូចគ្នា លទ្ធផលខុសគ្នាខ្លាំង។ ភាពខុសគ្នាគឺទាំងស្រុងជា isolation boundary ហើយ boundary នោះជាអ្វីដែលអ្នកធ្វើវិស្វកម្ម មិនមែនជាអ្វីដែលអ្នកសង្ឃឹមថា model ធ្វើបានត្រឹមត្រូវ។

នេះជាមូលហេតុដែល “sandbox agent” បានក្លាយជា control ពិតប្រាកដដំបូងស្ងាត់ៗ មិនមែនចុងក្រោយ។ វាជា layer តែមួយដែលការធានារបស់វាមិនពឹងលើការ classify instruction ដ៏ត្រឹមត្រូវ ដែលការស្រាវជ្រាវនិយាយថាអ្នកជារឿយៗមិនអាច classify បាន។ វាជា logic ដូចគ្នាដែលធនាគារប្រើជាមួយថតប្រាក់របស់អ្នកគិតលុយ៖ អ្នកបណ្ដុះបណ្ដាលអ្នកគិតលុយ ហើយអ្នកត្រួតពិនិត្យការក្លែងបន្លំ ប៉ុន្តែអ្នក ក៏ កំណត់ថាមានប៉ុន្មានក្នុងថត ព្រោះអ្នកបានទទួលយកថាប្រតិបត្តិការអាក្រក់ខ្លះនឹងឆ្លងកាត់ ហើយ insurance ថោកបំផុតគឺការកំណត់ព្រំដែនថាប្រតិបត្តិការតែមួយណាមួយអាចយកបានប៉ុន្មាន។ ការកំណត់ថតមិនពឹងលើការចាប់អ្នកក្លែងបន្លំ — ហើយនោះពិតជាមូលហេតុដែលវាដំណើរការ។

Isolation spectrum

មិនមែន isolation ទាំងអស់ស្មើគ្នាទេ ហើយជម្រើសជាការសម្រេចចិត្តវិស្វកម្មពិតប្រាកដ។ Run code ដែលមិនជឿទុកចិត្ត បង្កើតដោយ AI ហើយ spectrum រត់ប្រហែលពីខ្សោយបំផុតទៅខ្លាំងបំផុត៖ OS process sandbox (Seatbelt, bubblewrap) → container ធម្មតា → user-space kernel ដូចជា gVisor ដែល intercept syscall (isolation ខ្លាំងជាង នៅ I/O overhead ធម្មតា 10–30%) → microVM ដូចជា Firecracker ដែលផ្ដល់ workload នីមួយៗនូវ kernel ពិតផ្ទាល់ខ្លួនរបស់វាតាមរយៈ hardware virtualization (Firecracker boot មួយក្នុងប្រហែល 125 ms) → VM ឧទ្ទិសពេញលេញ។ សម្រាប់ code ដែលមិនជឿទុកចិត្តពិតប្រាកដ ឬបង្កើតដោយ agent ការយល់ស្របបានឈរលើ microVM ជា sweet spot ជាក់ស្ដែង៖ ល្បឿនជិត native ជាមួយ isolation កម្រិត VM។

សញ្ញាច្បាស់បំផុតថានេះឥឡូវ mainstream គឺ platform បាន productize វា។ Vercel Sandbox បានទៅ generally available នៅ January 30 2026 សាងសង់លើ Firecracker microVM ជាកន្លែងដែល — តាមពាក្យរបស់ Vercel — “sandbox នីមួយៗឯកោ ជាមួយ filesystem, network, និង process space ផ្ទាល់ខ្លួនរបស់វា”។ វា boot ក្នុងពេលក្រោម​មួយវិនាទី ត្រូវបានសាងសង់ដោយចេតនាដើម្បី run code ដែលមិនជឿទុកចិត្ត ឬបង្កើតដោយ AI ក្នុង environment អាយុខ្លី ហើយឥឡូវនេះកំពុងស្ថិតក្នុង production ជាមួយក្រុម AI coding ដូចជា Roo Code និង Blackbox AI។ Ephemeral-by-default ជាលក្ខណៈសំខាន់៖ environment ឯកោ ស្រស់ ក្នុង task នីមួយៗ ដែលត្រូវ tear down បន្ទាប់ ផ្ដល់ injection នូវគ្មានអ្វីដែលជាប់ឱ្យ compromise និងគ្មានកន្លែងឱ្យ persist។

Isolation ចាំបាច់ មិនមែនគ្រប់គ្រាន់

ការប្រុងស្មោះត្រង់៖ sandbox បង្រួម blast radius វាមិនធ្វើឱ្យ agent មានសុវត្ថិភាពទេ។ Agent ឯកោនៅតែអាចលេចទិន្នន័យដែល នៅ ក្នុង sandbox របស់វា នៅតែអាចធ្វើ outbound call បង្កគ្រោះថ្នាក់បើ egress មិនត្រូវកំណត់ នៅតែអាចត្រឡប់ result ដែលពុលទៅអ្វីដែលប្រើវា។ Isolation ជា backstop ហើយ backstop ត្រូវការ defense ផ្សេងទៀតនៅជុំវិញវា។

ដូច្នេះ runtime layer ពិតជា stack តូចនៃ control ដែលនីមួយៗឯករាជ្យពីការវិនិច្ឆ័យរបស់ model៖ egress filtering (sandbox អាចនិយាយតែទៅ destination ដែលអនុម័ត), tool allowlist និង least privilege (agent កាន់ credential និងសមត្ថភាពអប្បបរមាសម្រាប់ task មិនមែន token god-mode ទេ), ephemeral environment (ស្រស់ក្នុង task នីមួយៗ បំផ្លាញបន្ទាប់), និង output auditing (គ្មានអ្វីដែល agent ផលិតត្រូវបានជឿទុកចិត្ត downstream ដោយគ្មានការពិនិត្យ)។ ហើយនេះ បំពេញ defense នៅ model layer ជាជាងជំនួសវា — ការងារដូចជា ARGUS (arXiv 2605.03378) បង្ហាញថា defense ល្អអាចកាត់ attack success rate មក 3.8% ខណៈរក្សា task utility 87.5%។ ចំណុចនៃ impossibility result មិនមែនថា defense បែបនេះគ្មានតម្លៃទេ វាថាពួកវាកាត់បន្ថយ ភាពញឹកញាប់ មិនមែនលទ្ធភាព — ដូច្នេះអ្នកនៅតែសន្មតថា attack ខ្លះចុះមកដល់ ហើយ sandbox ជាអ្វីដែលចាប់ពួកវាពេលវាចុះមកដល់។

នេះជា runtime counterpart ទៅអំណះអំណាង security ដែលយើងបានធ្វើនៅកន្លែងផ្សេង។ យើងបានសរសេរអំពី បញ្ហា security របស់ MCP — ហានិភ័យក្នុងរបៀបដែល agent ឈានទៅដល់ tool — និងអំពី guardrail ជា product surface។ ការ sandbox ជា layer នៅខាងក្រោមទាំងពីរ៖ ការសន្មតថា guardrail នឹងត្រូវវាយចាញ់ពេលខ្លះ ហើយ tool call នឹងអាក្រក់ពេលខ្លះ ដូច្នេះ execution ខ្លួនវាត្រូវតែ contained។ វាសំខាន់កាន់តែខ្លាំងពេល agent ចាប់ផ្ដើមផ្ទេរទៅ agent ផ្សេងទៀត លើ open protocol ដូចជា A2A ជាកន្លែងដែល compromise អាចមកដល់ពីបី hop ឆ្ងាយ — អ្វីតែមួយដែលអ្នកគ្រប់គ្រងពេញលេញគឺប្រអប់ដែល agent ផ្ទាល់ខ្លួនរបស់អ្នក run ក្នុង។

ហេតុអ្វីនេះអនុគ្រោះអាស៊ីអាគ្នេយ៍

នេះជាផ្នែកដែលសំខាន់សម្រាប់តំបន់នេះ ហើយវាជារូបរាងធ្លាប់ស្គាល់ដែលត្រូវបានធ្វើឱ្យមុតស្រួច។ Runtime security គឺ configuration និងការវិនិច្ឆ័យ មិនមែនដើមទុនទេ។ ការតាំង ephemeral microVM ក្នុង task នីមួយៗ ការសរសេរ egress policy តឹង ការ scope credential least-privilege ការ tear down environment បន្ទាប់ — គ្មានមួយណានោះត្រូវការ frontier model, GPU, ឬថវិកាធំទេ។ វាត្រូវការវិស្វករដែលយល់ threat model ហើយរចនាប្រអប់ដោយប្រុង។ នោះជាជំនាញ laptop ហើយវាពិតជាប្រភេទសមត្ថភាពធន់ គ្មាន GPU ដែលយើងតែងតែអះអាងថាតំបន់ស្ថិតក្នុងទីតាំងល្អក្នុងការសាងសង់។

វាក៏កើនកើបជាមួយ sovereignty។ ក្រុមដែល run agent របស់វាក្នុង sandbox ឯកោ self-hosted — ផ្គូផ្គង model open-weight on-device ដែលយើងបានសរសេរ ជាមួយ on-premise microVM isolation — រក្សាទិន្នន័យរសើបនៅខាងក្នុង boundary ផ្ទាល់ខ្លួនរបស់វា ហើយ contain blast radius បើ agent ត្រូវ hijack។ សម្រាប់ធនាគារកម្ពុជា ឬក្រសួងរដ្ឋាភិបាលដែល deploy agent លើទិន្នន័យដែលត្រូវបានគ្រប់គ្រង ការផ្គូផ្គងនោះមិនមែនជារបស់ល្អដែលគួរមានទេ វាជា architecture ដែលអាច deploy បាន។ Model អាចបើកចំហ runtime អាចក្នុងស្រុក ហើយ isolation អាចជិតស្និទ្ធ — ទាំងអស់លើ infrastructure ដែលក្រុមតូចជាម្ចាស់ និងគ្រប់គ្រង។

Frontier lab នឹងបន្តប្រណាំងធ្វើឱ្យ model ពិបាកបោកជាង ហើយការប្រណាំងនោះសមនឹង run។ ប៉ុន្តែការស្រាវជ្រាវច្បាស់ថាវាជាការប្រណាំងដែលគ្មាននរណាឈ្នះពេញលេញ។ ក្រុមដែលធ្វើឱ្យនេះក្លាយជាផ្នែករបស់ខ្លួន — ដែលចាត់ទុក agent ជាអ្វីដែល នឹង ត្រូវ compromise នៅទីបំផុត ហើយធ្វើវិស្វកម្ម runtime ដើម្បីឱ្យ compromise អាចរស់រានបាន — ship agent ដែលវាអាចជឿទុកចិត្តពិតប្រាកដក្នុង production។ វិន័យនោះជាជំនាញ security ដែលត្រូវបានវាយតម្លៃទាបបំផុតក្នុង agentic stack ហើយវា run លើប្រអប់ដែលអ្នកមានរួចហើយ។