Kako osigurati lokalnog AI agenta: token, loopback, korijenski direktorij, popis dopuštenih

Lokalni agent je softver na vašem računalu koji može čitati datoteke i, ako mu dopustite, slati mrežne zahtjeve. Lokalno pokretanje uklanja jednu vrstu rizika — dokumenti nisu na tuđem serveru — i dodaje drugu: nalazi se na istom računalu kao i sve ostalo što imate.

Četiri kontrole određuju što može dosegnuti. OpenClerq od verzije 0.4 sve četiri postavlja razumno, ali zadane postavke koriste samo ako znate koje su.

1. Gateway je autenticiran

Svaki endpoint osim /health traži bearer token, generiran pri prvom pokretanju u ~/.clerq/gateway-token i uspoređen u konstantnom vremenu. Razvojne iznimke nema — to je i bila poanta izdanja 0.4, i namjerno je prekid kompatibilnosti sa starijim verzijama.

# bez tokena: odbijeno$ curl -s -o /dev/null -w "%{http_code}\n" http://127.0.0.1:18790/skills401# vezan samo na loopback — nedostupan s mreže$ lsof -nP -iTCP:18790 -sTCP:LISTENnode    41822  you   22u  IPv4  TCP 127.0.0.1:18790 (LISTEN)# token je vjerodajnica — provjerite da ga nitko drugi ne može čitati$ ls -l ~/.clerq/gateway-token-rw-------  1 you  staff  64  8 Sep 09:12 gateway-token

2. Sluša na loopbacku

Slušatelj se veže na 127.0.0.1 osim ako to namjerno ne promijenite. To znači da ga ništa na vašoj mreži ne može dosegnuti — ni kolega, ni kompromitirani pametni uređaj, ni netko na wifiju u kafiću. Ako ga ikad vežete na `0.0.0.0` da mu pristupite s drugog računala, upravo ste objavili API za pokretanje alata. Umjesto toga koristite tunel.

3. Čitanje datoteka ograničeno je na korijen

Alat fs.read svaku putanju razrješava prema korijenu provučenom kroz realpath i odbija sve što iz njega izlazi — prolazak kroz .., apsolutne i UNC putanje, NUL bajtove, simboličke veze koje vode van, sve što nije obična datoteka i sve iznad gornje granice čitanja. Odbija i susjedni direktorij koji dijeli samo početak imena, a ta provjera prije 0.4 nije postojala.

1
2
3
4
5
6{  "fsRoot": "/Users/you/clerq-workspace",  "fsMaxReadBytes": 1048576,  "symlinkPolicy": "refuse-outside-root",  "httpAllowlist": []}

4. Izlazni HTTP je zadano isključen

Alat http.request je onemogućen dok httpAllowlist ne navede konkretne domene. Kad se uključi, privatne, link-local i cloud-metadata adrese blokiraju se na svakom skoku preusmjeravanja, ne samo na prvom — a to je ono što sprječava da se lancem preusmjeravanja dođe do internog servisa ili metapodataka instance.

1. 1.Provjerite da /skills bez tokena vraća 401.
2. 2.Provjerite da slušatelj pokazuje 127.0.0.1, a ne * ili 0.0.0.0.
3. 3.Usmjerite fsRoot na namjenski radni direktorij i provjerite dozvole nad njim.
4. 4.Ostavite httpAllowlist prazan dok nešto stvarno ne zatreba, pa dodajte jednu domenu.
5. 5.Stavite direktorij vještina pod verzioniranje i pregledavajte izmjene.