ایجنٹوں کے لیے کوڈ ایگزیکیوشن سینڈ باکسز

جب کوئی ایجنٹ کوڈ تیار کرتا ہے، تو اسے کچھ چلانا پڑتا ہے۔ اس کوڈ کو براہ راست کسی ڈویلپر لیپ ٹاپ یا پروڈکشن سرور پر چلانا خطرناک ہے: کوڈ فائلوں کو حذف کر سکتا ہے، ماحولیاتی متغیرات سے اسناد پڑھ سکتا ہے، سافٹ ویئر انسٹال کر سکتا ہے، مائن کریپٹو کرنسی، یا نیٹ ورک کنکشن کھول سکتا ہے۔ ایک سینڈ باکس کوڈ اور ہر چیز کے درمیان ایک حد رکھتا ہے۔ الگ تھلگ کی کئی پرتیں ہیں، جن میں مختلف ٹریڈ آف ہیں۔ معیاری کنٹینرز (مثال کے طور پر Docker) لینکس کے نام کی جگہوں اور cgroups کا استعمال کرتے ہیں تاکہ کوڈ کو عمل، فائلوں اور نیٹ ورک کا اپنا نظریہ فراہم کیا جا سکے، اور CPU اور میموری کو محدود کیا جا سکے۔ وہ تیزی سے شروع ہوتے ہیں، لیکن ہر کنٹینر میزبان کے دانا کو شیئر کرتا ہے، اس لیے دانا کی کمزوری کوڈ کو فرار ہونے دے سکتی ہے۔ gVisor، Google کا ایک اوپن سورس پروجیکٹ، ایک صارف کی جگہ کا کرنل شامل کرتا ہے جو سسٹم کالز کو روکتا ہے، اور اس کو سکڑتا ہے کہ کون سا ناقابل اعتماد کوڈ حقیقی دانا کو چھو سکتا ہے۔ MicroVMs جیسے Firecracker، اصل میں AWS کی طرف سے Lambda اور Fargate کے لیے بنایا گیا ہے، ہر کام کے بوجھ کو اس کی اپنی ہلکی وزن والی ورچوئل مشین اور دانا دیتے ہیں جب کہ وہ ایک سیکنڈ کے ایک حصے میں بوٹ کرتے ہیں۔ ایجنٹوں کے لیے میزبان سینڈ باکس خدمات، جیسے E2B، اس مائیکرو وی ایم اپروچ پر تعمیر کرتے ہیں۔ سب سے ہلکے آخر میں، WebAssembly رن ٹائمز اور Pyodide جیسے ٹولز Python کو براؤزر میں یا Wasm سینڈ باکس میں بغیر کسی نظام تک رسائی کے چلا سکتے ہیں۔ تنہائی کی ٹیکنالوجی ڈیزائن کا صرف نصف ہے۔ اچھے سینڈ باکسز نیٹ ورک کو بھی محدود کرتے ہیں (اکثر اجازت کی فہرست کے ساتھ ڈیفالٹ سے انکار کرتے ہیں)، فائل سسٹم کو صرف پڑھنے کے لیے ماؤنٹ کرتے ہیں سوائے اسکریچ ڈائرکٹری کے، راز کو ماحول سے مکمل طور پر دور رکھتے ہیں، اور وقت، میموری، عمل کی گنتی اور ڈسک کی حدود کو نافذ کرتے ہیں۔ وہ عام طور پر عارضی ہوتے ہیں: فی کام تخلیق کیے جاتے ہیں اور بعد میں تباہ ہوتے ہیں۔ ایک عام غلط فہمی یہ ہے کہ سینڈ باکس ایک ایجنٹ کو محفوظ بناتا ہے۔ یہ خود کوڈ سے ہونے والے نقصان کو محدود کرتا ہے، لیکن یہ کسی ایجنٹ کو غلط جوابات پیدا کرنے سے نہیں روکتا، اور جو بھی ٹول یا سند آپ سینڈ باکس میں ڈالتے ہیں، وہاں جو بھی کوڈ چلتا ہے، اس تک رسائی کے قابل ہو جاتا ہے، بشمول انجیکشن ہدایات کے جواب میں لکھا گیا کوڈ۔