Chainguard 给 AI 编码智能体造「安全工位」：微型虚拟机加签名证明

一分钟速览

• Chainguard 发布两款测试产品：Workspaces 提供基于加固微型虚拟机的远程开发环境，Checks 把 CI 能力塞进开发流。
• Workspaces 可为每位开发者或智能体分配独立虚拟机，工作目录连同未提交改动一起同步，断线时生成会话快照。
• 凭证不进虚拟机：主机端代理为已批准出站请求注入短期凭证，可选规则拦截未授权端点。
• Checks 在预热好的微型虚拟机中运行 CI 步骤，依赖按锁定文件预置，避免队列拥堵和重复下载。
• 每次运行生成签名证明，绑定环境、判定结果与提交 SHA，合并关卡可验证结果而不必重跑测试。

智能体要权限，公司要安全

让 AI 写代码这件事，已经越过了”能不能写对”的阶段，撞上了”敢不敢让它跑”的墙。

一个编码智能体要真正干活，需要装依赖包、执行 shell 命令、改配置文件，还可能同时开好几个任务并行推进。把这些操作放回开发者本机，等于把企业凭证、内网服务和本地环境一起交出去——代码是模型生成的，第三方的依赖包也可能是别人塞进来的，两层风险叠在一起。

那不许它在本地跑，全丢给 CI？也不行。传统 CI 是按”提交—排队—构建”设计的，智能体的工作节奏是”改一行—跑一下—改回来—再跑一下”，一次任务可能触发几十轮。排队会堵，依赖会被反复下载，反馈延迟从秒级变成分钟级，智能体的迭代速度直接被拖死。

Chainguard 这次发的两款产品，就是冲着这个夹缝去的。

Workspaces：给每个智能体一间隔离的工位

Workspaces 的思路是把开发环境搬到远程的加固微型虚拟机里，一人一机，或者一个智能体一机。

用 chainctl develop 命令可以把本地工作目录同步进去，包括还没提交的改动——这一点很关键，因为智能体大部分时间都在处理”半成品”状态。用户断开连接时，环境会生成会话快照；恢复会话时，文件、进程和 shell 上下文一起回来，不用从头再装一遍环境。

团队还可以为同一个代码库开多个相互隔离的 Workspaces。智能体可以同时尝试几种方案，端口、缓存、进程状态互不干扰，谁跑通了再合并。这比让一个智能体串行试错效率高得多。

凭证处理是这套设计里最考究的部分。长期密钥不放在虚拟机内部，主机端代理只为已批准的出站请求注入短期凭证；可选的出站规则会拦截并记录访问未授权端点的连接。命令、代码变更与网络调用都会被记录，官方称日志具备防篡改特性。

官方把设计目标说得很直白：降低两类损害——依赖包被投毒，以及提示词注入导致智能体失控。这两件事的共同点是，出问题的时候智能体自己并不知道。

Checks：把 CI 拆成随时可跑的小步

Checks 处理的是另一半问题：验证。

它在独立的预热微型虚拟机里跑 CI 步骤，镜像基于 Chainguard 自己的软件包构建，依赖按项目锁定文件预先准备好；锁定文件一变更，快照资源池就重建。开发者可以通过命令行、提交前钩子或 GitHub 应用调用同一套检查任务，AI 智能体则可以通过 MCP 服务器或 SDK 调用。

官方的说法是，目标是让开发者和智能体”安全地测试、报错并修复代码，不用等缓慢的 CI 流程”。

两款产品合用时的体验更完整：Workspace 在测试运行期间挂起，失败的检查把结构化日志送回恢复的会话，智能体可以直接换个改法再来一次，不必重建环境。成功的运行会生成一份签名证明，把环境、判定结果和提交 SHA 绑在一起，合并关卡验证这份证据即可，不需要重跑整套测试。

这个设计有两个前提：被核验的输入必须保持不变，以及代码库要信任 Chainguard 的执行与签名系统。官方公告没有给出 Checks 与主流 CI 的性能对比数据，也没有说明客户如何自行验证”防篡改日志”这个宣称。这两块是目前最需要第三方复现的部分。

这个赛道已经不空

把智能体放进隔离沙箱，并不是新想法。E2B 在 Firecracker 微型虚拟机里跑智能体会话，控制出站流量，把凭证解析放在虚拟机之外；StepSecurity 的 Harden-Runner 监控 GitHub Actions 运行器上的网络、文件与进程活动，可以强制执行出站策略；依赖防护那边，Sonatype Repository Firewall 在构建前拦截或隔离有恶意行为的包，JFrog Curation 在下载阶段执行安全、许可证与包龄策略。

Chainguard 的位置是把这几件事拼在一起，再加上自己的软件包目录、签名证明和智能体执行路径。它真正的差异化不在虚拟机技术，而在于”默认干净的基础镜像”这一层资产——大多数供应链攻击，都是从某个不该存在的包开始的。

对正在把编码智能体接入生产流水线的团队来说，这类产品的价值不在功能列表，而在责任边界。当智能体改坏了东西，你需要能回答三个问题：它当时在哪个环境里、执行了什么、谁批准的。日志和签名证明，就是为回答这三个问题准备的。

Workspaces 目前只支持 Claude，后续计划扩展到其他智能体，按实际消耗算力计费，两款产品都提供 30 天测试试用。真正的考验在后面：当智能体一天跑几百次任务，这套东西的成本和运维复杂度，会不会又变成新的瓶颈。